Asosiy ma’lumotlar
- PHPning ikki kritik zaifligi aniqlandi — CVE-2026-109618 va CVE-2026-109619, autentifikatsiyasiz masofadan kod bajarishga imkon beradi
- Yaponiya sog‘liqni saqlash, mehnat va ijtimoiy ta’minot vazirligi, BASE, Tokio chet tillar universiteti va Sakura Internet xizmatlarni to‘xtatdi yoki chekladi
- NSA va FBI zudlik bilan yangilanishga chaqirdi; OpenAI o‘z modellari Patch the Planet tashabbusi doirasida zaifliklarni topishga yordam berganini ma’lum qildi
Yaponiyada xizmatlarning to‘xtatilishi
2026-yil 21-oktabr, chorshanba kuni Yaponiya keng qo‘llaniladigan PHP dasturlash tilida kritik zaifliklar aniqlangandan so‘ng, davlat xizmatlari ham qamrab olingan bir qator saytlar ishini to‘xtatdi, deb xabar qildi Kyodo agentligi. Sog‘liqni saqlash, mehnat va ijtimoiy ta’minot vazirligi ehtiyot chorasi sifatida ma’lumotlarni ochiq berish tizimi saytini vaqtincha o‘chirib qo‘ydi. Internet-do‘konlar xizmati BASE favqulodda xizmat ko‘rsatuvni ishga tushirdi, Tokio chet tillar universiteti veb-serverlarni zudlik bilan tekshirishni buyurdi, Sakura Internet kompaniyasi esa ba’zi xizmat funksiyalarini to‘xtatdi.
Zaifliklarning mohiyati
PHP ishlab chiquvchilari chorshanba kuni foydalanuvchilarni xavfsizlik yangilanishlarini zudlik bilan o‘rnatishga chaqirdi, chunki hujumchilarga zararli kodni masofadan bajarish imkonini beruvchi ikki kritik zaiflik aniqlandi. Tuzatilgan versiyalar chiqarildi; ishlab chiquvchilar autentifikatsiyasiz hujumlar mumkinligi haqida ogohlantirdi. Tavsiyalarda PHP jamoasi veb-so‘rovlarni qayta ishlaydigan barcha o‘rnatishlar potensial xavf ostida ekanini bildirdi. Zaifliklar CVE-2026-109618 va CVE-2026-109619 sifatida identifikatsiya qilingan bo‘lib, ular xotirani qayta ishlashdagi xatolar va so‘rovlar o‘rtasida saqlanib qoladigan eskirgan ichki holatlar bilan bog‘liq.
AQSh hokimiyatining reaksiyasi
AQSh Milliy xavfsizlik agentligi (NSA) PHPdan foydalanayotgan tashkilotlarni zudlik bilan yangilanishga tayyorlanishga chaqirib, zaifliklar hujumchilarga serverning fayl tizimi yoki ma’lumotlar bazalariga to‘g‘ridan-to‘g‘ri kirish imkonini berishi mumkinligi haqida ogohlantirdi. «Bu zaifliklar ko‘pincha serverning fayl tizimi yoki ma’lumotlar bazasiga to‘g‘ridan-to‘g‘ri yo‘l ochadi. Agar zudlik bilan yangilash imkonsiz bo‘lsa, xavf to‘liq bartaraf etilmaguncha tizimni o‘chirib qo‘yish tavsiya etiladi», — deyiladi agentlik xabarida, u batafsilroq tavsiyalar berishga va’da berdi. FBI kiberbo‘limi zararlangan PHP o‘rnatishlarini zudlik bilan yangilash, PHPdagi tizimlarni inventarizatsiya qilish, internetga chiqish imkoniga ega serverlar va uchinchi tomon mahsulotlariga ustuvor e’tibor qaratish, shuningdek shubhali faoliyatni — masalan, PHP jarayonlarining kutilmagan buyruq qobiqlarini ishga tushirishini yoki fayllarni yuklab olishini kuzatib borishga chaqirdi.
Yaponiya va Avstraliyadagi reaksiya
Yaponiya Milliy kiberxavfsizlik agentligi foydalanuvchilarni xavfsizlik yamalarini o‘rnatishga chaqirdi. «Biz vaziyatni diqqat bilan kuzatib bormoqdamiz», — dedi hukumatning rasmiy vakili. Avstraliya Signal direktorati (Signals Directorate) tashkilotlar va jismoniy shaxslarga o‘z PHP-ilovalarini kuzatib borish va yangilanishlarni o‘rnatishga tayyorlanishni tavsiya qildi.
OpenAI roli va muammoning qamrovi
OpenAI o‘z modellari tadqiqotchilarga Patch the Planet tashabbusi doirasida zaifliklarni aniqlashga yordam berganini ma’lum qildi; bu tashabbus ma’lumot ommaviy oshkor qilinishidan oldin tuzatishlar tayyorlash uchun ishlab chiquvchilar, tadqiqotchilar va xavfsizlik yechimlari yetkazib beruvchilarini birlashtirdi. Kompaniya aytishicha, tayyorlash ikki oy vaqt oldi, chunki zaifliklarni bartaraf etish PHP dvigatelining murakkab o‘zgartirilishini talab qilgan. PHP internetda keng qo‘llaniladi: OpenAI bahosiga ko‘ra, u saytlarning taxminan 70 foizi ishlashini ta’minlaydi, shu sababli yamalanmagan tizimlar hujumchilar uchun sezilarli imkoniyatlar bo‘lishi mumkin.
