PHP-ში 2 კრიტიკული ხარვეზი გამოვლინდა და განახლება დაუყოვნებლივ მოითხო

PHP-ის ოფიციალურმა გუნდმა 21 ოქტომბერს, 2026 წელს, 2 კრიტიკული ხარვეზის შესახებ გააფრთხილა მომხმარებლები. CVE-2026-109618 და CVE-2026-109619 ავთენტიფიკაციის გარეშე კოდის დისტანციური გაშვების შესაძლებლობას ქმნის, ამიტომ განახლება ჩვეულებრივ გეგმიურ სამუშაოდ აღარ დარჩა.

ოფიციალური აღწერით, პირველი გზა მეხსიერების ამოწურვისას დაზიანებულ მდგომარეობას ტოვებს, მეორე კი ძველი გლობალური მდგომარეობის ხელახლა გამოყენებას ეხება. ორივე შემთხვევა მოთხოვნის დამუშავებაში წარმოიქმნება და წარმატებულ შეტევას ავტორიზაციის მონაცემები არ სჭირდება. ამ ორი ხარვეზის შესწორება შევიდა 8.5.12, 8.4.27, 8.3.36 და 8.2.35 ვერსიებში.

PHP-ის გუნდი წერს, რომ განახლება ერთადერთი სრული გამოსწორებაა. კონფიგურაციის დროებითი ცვლილებები ცალკეულ გზებს ამცირებს, მაგრამ ორივე ხარვეზს მთლიანად ვერ ხურავს. ძველი ვერსიების მომხმარებლებისთვისაც გამოქვეყნდა მიმართულება: PHP-ის პროექტი 7.4, 8.0 და 8.1 ვერსიებისთვის მინიმალურ backport-ებს ასახელებს, ხოლო მხარდაჭერილ ხაზებზე სრულ განახლებას ითხოვს.

Calif-ის უსაფრთხოების მკვლევრებმა, OpenAI-სა და Wiz-ის Patch the Planet ინიციატივის ფარგლებში, კოდის აუდიტი ჩაატარეს. პირველადი კვლევა მიუთითებს, რომ ხარვეზების პოვნა ადამიანურმა მკვლევრებმა განახორციელეს და ხელოვნური ინტელექტი მხოლოდ სამუშაო პროცესის ნაწილში დაეხმარა.

Calif-ის ქრონოლოგიაში 2024 წლის აუდიტი ცალკე ეტაპად ჩანს, რადგან მაშინ პრობლემა სრულად ექსპლუატირებადად არ ითვლებოდა. 2026 წლის შემოწმებამ ძველი კოდის რამდენიმე შეწყვეტის წერტილი ერთმანეთთან დააკავშირა და დისტანციური კოდის გაშვების სცენარი ჩამოაყალიბა.

Calif-ის კვლევაში PHP-ის უსაფრთხოების მკვლევარი შტეფან ესერი ადრინდელი აღმოჩენების კონტექსტშია ნახსენები. ჯგუფმა 2024 წლის აუდიტის კვალს 2026 წელს დაუბრუნდა და მეხსიერების მართვისა და მოთხოვნის შეწყვეტის რამდენიმე გზა შეისწავლა.

Calif-ის კვლევის მიხედვით, ენობრივი მოდელის თანამგზავრი მკვლევრებს კვლევისა და ანალიზის პროცესში დაეხმარა. იგივე ტექსტი ამბობს, რომ ერთი მარტივი მოთხოვნით ყველა ხარვეზის აღმოჩენა არ მომხდარა და შედეგი მკვლევრების PHP-ის ცოდნასა და კოდის ისტორიის გაგებას ეყრდნობოდა.

Amazon-ის უსაფრთხოების გუნდმა MadPot-ის ტელემეტრიაში 17 ოქტომბრით დათარიღებული ექსპლუატაციის მცდელობა ნახა. ეს საჯარო გამჟღავნებამდე 4 დღით ადრე მოხდა, თუმცა AWS-მა მიუთითა, რომ სისტემაში წარმატებული შეღწევა დადასტურებული არ იყო. Amazon-ის ჩანაწერში ნათქვამია, რომ მცდელობა კომერციულ ანონიმიზაციის ქსელთან დაკავშირებული IP-დან მოვიდა.

ემბარგო 21 ოქტომბერს 14:00 UTC-ზე მოიხსნა. იმავე დღის პირველ საათებში Amazon-მა კიდევ რამდენიმე დადასტურების საცდელი კოდი და დამატებითი მცდელობა დააფიქსირა, ხოლო მოგვიანებით ფართო სკანირება დაიწყო. AWS-ის მიხედვით, მცდელობები ერთმანეთისგან განსხვავდებოდა და რამდენიმე ანონიმიზებულ ინფრასტრუქტურას იყენებდა, თუმცა ყველა მოთხოვნის წარმატება არ დადასტურებულა.

AWS-ის ოფიციალური ჩანაწერი ამბობს: „Upgrade immediately to the fixed PHP versions.“ ორგანიზაციის რეკომენდაცია ეხება სისტემების მფლობელებს, რომლებიც PHP-ს ინტერნეტთან დაკავშირებულ სერვერებზე იყენებენ.

Amazon Integrated Security-ის CISO-მ, CJ Moses-მა, დაწერა, რომ ასეთი შემთხვევა თავდაცვითი ვადების გადახედვას მოითხოვს. AWS-ის სისტემები წუთში 200 მილიარდზე მეტ მოვლენას აანალიზებს, მაგრამ ეს მაჩვენებელი კონკრეტული დაზარალებული საიტების რაოდენობას არ ნიშნავს. AWS ხელოვნური ინტელექტის როლს მომავალი ექსპლუატაციის დაჩქარების ფაქტორად აღწერს და არ ამბობს, რომ PHP2Shell-ის კონკრეტული წინასწარი მცდელობა AI-მ შეასრულა.

AWS რეკომენდაციას აძლევს გუნდებს, განახლებასთან ერთად შეამოწმონ ვებმოთხოვნები, პროცესების მოულოდნელი გაშვება და ფაილების ცვლილებები. 7-დღიანი ან 30-დღიანი პაჩირების ვადა კრიტიკული ინტერნეტსისტემებისთვის შეიძლება უკვე დაგვიანებული იყოს, თუ ექსპლუატაცია გამჟღავნებამდე იწყება.

მონიტორინგის რეკომენდაცია ასევე მოიცავს საეჭვო POST მოთხოვნებს, პროცესების გაუთვალისწინებელ გაშვებას და ვებაპლიკაციის ფაილების ცვლილებებს. ასეთი ნიშნები გამოძიებას ეხმარება, მაგრამ ინდიკატორის არსებობა თავისთავად კომპრომეტირებას არ ადასტურებს.

ამ მოვლენაში დადასტურებულია ძველი, ფართოდ გამოყენებული პროგრამის 2 კრიტიკული ხარვეზი, ადამიანური კვლევა, ხელოვნური ინტელექტის შეზღუდული დამხმარე როლი და საჯარო გამჟღავნებამდე დაფიქსირებული მცდელობა. ეს ფაქტები არ ამტკიცებს, რომ ხელოვნურმა ინტელექტმა მთელი ინტერნეტი გატეხა, მაგრამ აჩვენებს, რატომ მცირდება დაცვასა და შეტევას შორის დრო.