PHP-ის კრიტიკული ხარვეზები ინტერნეტს საფრთხეს უქმნის

უსაფრთხოებისა და შესაბამისობის საკითხების დიდი ხნის კონსულტანტი დევი ოტენჰაიმერი ამბობს: „ვებგვერდების უმეტესობა PHP-ზე მუშაობს, ხარვეზი კი ფაილის ატვირთვის ინტერფეისშია, რომელიც ჩაუკეტავ შესასვლელ კარს ჰგავს. თავდამსხმელს არ სჭირდება იცოდეს, რომელ საიტს ესხმის თავს ან რა პროგრამა მუშაობს იქ. ის ნებისმიერ ნაპოვნ სერვერზე სპეციალურად მომზადებულ ფაილს აგზავნის და ამით თავდასხმა სრულდება“.

PHP-ის განახლებული ვერსიების გამოჩენამდე ზოგმა ორგანიზაციამ სიფრთხილის მიზნით ვებსაიტები გათიშა. ცნობების თანახმად, ფინეთის მთავრობის რამდენიმე ვებსაიტი, მათ შორის მიწის ეროვნული სამსახურის ვებსაიტი, მიუწვდომელი იყო. როიტერსის ცნობით, ასევე გაითიშა საფრანგეთის მთავრობის ვებსაიტები და როტერდამის პორტის ვებსაიტი.

ოლეინიკი ამბობს: „ყველამ დაუყოვნებლივ უნდა დააყენოს შესწორებები, რადგან ხარვეზების გამოყენება შეიძლება ძალიან სწრაფად და ფართო მასშტაბით დაიწყოს“. მისი თქმით, ხელოვნური ინტელექტი ამ ხარვეზების გამოყენებას გადაუდებელ საკითხად აქცევს. „საუბარია, მართლაც, დაახლოებით ერთ წუთზე“.

Google-ის კუთვნილმა უსაფრთხოების კომპანია Wiz-მა განაცხადა, რომ მისმა მკვლევრებმა ხარვეზები ნაწილობრივ ხელოვნური ინტელექტის ინსტრუმენტების გამოყენებით აღმოაჩინეს. OpenAI-მ და უსაფრთხოების კომპანია Calif-მა ასევე განაცხადეს, რომ პრობლემები დამოუკიდებლად აღმოაჩინეს და ერთობლივად იმუშავეს. Wiz-ის მკვლევრები ექსპლოიტის დემონსტრაციას php2shell-ს უწოდებენ და წერენ, რომ ზოგ შემთხვევაში ხარვეზების გამოყენება „საკმაოდ მარტივია“.

Wiz-ის კვლევაში წერია: „ხარვეზები არაავტორიზებულ თავდამსხმელებს საშუალებას აძლევს, დაზიანებულ სერვერებზე კოდი გაუშვან ან პროცესის სენსიტიური მეხსიერება წაიკითხონ“. ამ მეხსიერებაში შესაძლოა იყოს პაროლები, ავთენტიფიკაციის ნიშნულები, API-გასაღებები და სხვა მოთხოვნების ან თავად სერვერის სერტიფიკატები.

PHP-ის მოვლა-პატრონობაზე პასუხისმგებელმა პირებმა ხარვეზების შესახებ პირველი ინფორმაცია 20 ოქტომბერს გამოაქვეყნეს. PHP-ის ვებსაიტზე მოკლე პოსტში ფონდმა დაწერა, რომ უსაფრთხოების ხარვეზებისა და გამოსწორებების გამოშვების შესახებ წინასწარ აფრთხილებდა მომხმარებლებს. კონკრეტული ხარვეზებისა და დაზიანებული ვერსიების დასახელების გარეშე, ფონდმა ორივე ხარვეზს „კრიტიკული“ უწოდა. CVSS-ის, ანუ უსაფრთხოების ხარვეზების შეფასების საერთო სისტემის, 10-ქულიან შკალაზე მათ 9,2 ქულა მიანიჭეს.

PHP-ის ვებსაიტზე ოთხშაბათის გამოშვებამდე გამოქვეყნებულ გაფრთხილებაში ეწერა: „ჩვენ ვიტოვებთ უფლებას, განახლებები უფრო ადრე გამოვუშვათ, თუ რომელიმე ხარვეზის დეტალები საჯარო გახდება ან თუ აქტიური გამოყენების ნიშნები გამოჩნდება“. Bleeping Computer-ისა და Ars Technica-ს ცნობებით, ხარვეზების ზოგი დეტალი შესაძლოა ოფიციალურ გამოქვეყნებამდე გაჟონა.

PHP-ის ფონდის წინასწარმა გაფრთხილებამ შესაძლოა ზოგ დეველოპერს, უსაფრთხოების გუნდსა და კომპანიას PHP-ზე მომუშავე სისტემების განახლებისთვის მომზადების დრო მისცა. დეტალების გამოქვეყნებამდე ევროკავშირის კომპიუტერულ ინციდენტებზე რეაგირების ჯგუფმა (EU-CERT) და ავსტრალიის კიბერუსაფრთხოების სააგენტომ გააფრთხილეს IT-გუნდები, რომ სისტემების რაც შეიძლება სწრაფად განახლებისთვის მზად ყოფილიყვნენ. შესწორებების დაყენებისას შესაძლოა ვებსაიტების გათიშვა გამხდარიყო საჭირო.

გაერთიანებული სამეფოს კიბერუსაფრთხოების ეროვნულმა ცენტრმაც (NCSC) გამოაქვეყნა გაფრთხილება, რომ ორგანიზაციები PHP-ის გამოყენებით მომუშავე სისტემების დაუყოვნებლივ განახლებისთვის უნდა მომზადებულიყვნენ. სააგენტომ ონლაინ დაწერა: „თუ პრობლემის დაუყოვნებლივ გამოსწორება შეუძლებელია, ორგანიზაციებმა უნდა განიხილონ სისტემის გათიშვა, სანამ ხარვეზი სრულად არ გამოსწორდება“.

NCSC ორგანიზაციებსა და კომპანიებს ურჩევს, ტექნოლოგიურ ინფრასტრუქტურაში PHP-ზე მომუშავე სისტემები გამოავლინონ. განსაკუთრებული ყურადღება უნდა დაეთმოს ინტერნეტთან დაკავშირებულ სისტემებს, მათ შორის შესაძლო თავდასხმების ნიშნების შემოწმებას. შემდეგი ნაბიჯებია PHP-ის განახლებების გამოშვებისთანავე დაყენება და პროგრამული უზრუნველყოფის კომპანიების განახლებების თვალყურის დევნება, რადგან მათ შესაძლოა PHP საკუთარ პროგრამებსა თუ მომსახურებებში გამოიყენონ.

გამოძიების ფედერალური ბიუროს (FBI) კიბერუსაფრთხოების მიმართულების დირექტორის თანაშემწემ ბრეტ ლიტერმანმა ონლაინ დაწერა: „თუ სისტემის გატეხვის ნიშნებს აღმოაჩენთ, გამოყავით ის ქსელიდან, შეინახეთ ვებ-სერვერისა და PHP-ის ჟურნალები და აცნობეთ თქვენს ადგილობრივ FBI-ის ოფისს“. მისი თქმით, ეს ცნობები გამოძიებას დამნაშავეების გამოვლენასა და სხვა ორგანიზაციების გაფრთხილებაში დაეხმარება, სანამ ისინი მსხვერპლი გახდებიან.

თემებილუკაშ ოლეინიკიAdobeCloudflarePHP-ის ფონდიSansecლონდონის კინგს კოლეჯიDrupalMagentoPHPWordPress

გამოქვეყნდა 21 ოქტომბერი, 2026