PHP dasturlash tilidagi ikkita jiddiy zaiflik hukumatlar va korporatsiyalarni potentsial hujumlarga qarshi saytlarni oldindan oʻchirishga majbur qildi. Ushbu kamchiliklar xalqaro ogʻirlik miqyosida 9,2 ball bilan baholandi va singdiruvchilarga ruxsat bermayotgan holda ochilgan serverlardagi masofaviy buyruqlarni bajarish imkonini beradi.
PHP ishlab chiquvchilari bu muammolarni tuzatish uchun aprel 21-kun, chorshanba kuni yangilanishlarni joriy etishdi. Xavfsizlik vakillari tuzatishlar darhol qoʻllanilishini maslahat berishadi; aks holda, zaif tizimlar himoya taʼminlanmaguncha internetdan ajratilishi kerak.
Zaifliklardan biri 2024-yilda dastlab aniqlanganligi bilan diqqatni tortdi. PHP Foundation maʼlumotlariga koʻra, tuzatish uchun oʻtgan vaqt jarayonning tuzilmaviy nuqsonini koʻrsatadi. Yangilanishlarning eʼlon qilinishi ham mutaxassislar orasida xavotirni oshirdi, chunki singdiruvchilar hali yangilanmagan tizimlardagi ekspluatatsiya usullarini aniqlash uchun parchi (patch)larni oʻrganishi mumkin.
PHP ishlab chiquvchilari ikki jiddiy zaiflikni hal qilish uchun toʻrtta alohida yangilanishni chiqarishdi. PHP Foundation foydalanuvchilarga tizimlarini zudlik bilan yangilash zarurligini taʼkidladi. Fond kamchiliklardan birining 2024-yilda tadqiqotchi tomonidan koʻrsatilganligini tan olib, tuzatishdagi kechikishni tuzilmaviy muammo deb baholadi.
AQSh Milliy xavfsizlik agentligi (NSA) bunday kattalikdagi zaifliklar fayllar va serverlar maʼlumotlar bazalariga kirishni osonlashtirishi mumkinligi haqida ogohlantirish berdi. Agar yangilanishni darhol qoʻllash mumkin boʻlmasa, tavsiya qilingan narsa bu taʼsirlangan tizimlarni tarmoqdan olib tashlashdir.
Biroq, AQSh Kibernetika va Infrastruktura Xavfsizlik Agentligi (CISA) barcha PHP oʻrnatmalarini darhol yangilashni tavsiya qildi. Reuters tomonidan maqola nashr etilgan paytgacha agentlik bu zaifliklardan foydalanish holatini kuzatmagan, ammo tizimlarni himoyasiz saqlash xavfi haqida ogohlantirgan edi.
Sophos Counter Threat Unit (CTU) ning Xavfli Tahdidlar Boʻyicha vitse-prezident Don Smith uchun, tashkilotlar duch keladigan birinchi toʻsiq PHP qayerda ishlatilayotganini aniqlashdir. U shunday dedi: «Zudlikdagi muammo faqat tuzatishni oʻrnatish emas, balki PHP ishlayotgan barcha nusxalarni aniqlash va boshqarishdir».
Mutaxassis tilning turli joylarda mavjud boʻlishi mumkinligini taʼkidladi, masalan, jamoat saytlari, kontentni boshqarish tizimlari, hosting platformalari va uchinchi tomon mahsulotlarida, va baʼzi vaziyatlarda bu mavjudlik infratuzilmani boshqaruvchi tashkilot uchun sezilmasligi mumkin.
Smith xavfsizlik jamoalariga bir nechta harakatlarni ustuvorlashtirishni taklif qildi. Ijrochi shuningdek, zararli agentlar qanday tezkor harakat qilishi mumkinligi, shu jumladan sunʼiy intellekt (AI) dan foydalanishi mumkinligi haqida ogohlantirdi. U tahlilida, bu zaifliklar tuzatishlar eʼlon qilingandan soʻng soatlar va kunlarda asosiy maqsadlar boʻlishi mumkin.
Shunday qilib, Smith tashkilotlarga faqat yangilanishlarni oʻrnatish bilan cheklanmaslikni, balki tuzatishlar qoʻllanilishidan oldin biron bir singdir singdiruvchi muhitga kirib kelganmi yoki yoʻqmi deb tekshirishni ham maslahat berdi.
Calif xavfsizlik kompaniyasining tadqiqotchilari OpenAI bilan hamkorlikda GPT-5.6 Sol modeli yordamida aniqlagan zaifliklardan birini 11-avgustda PHP ishlab chiquvchilariga xabar qilishdi. Alphabet (Google nazoratchisi) ga bogʻliq yana bir xavfsizlik kompaniyasi Wiz muammolarni mustaqil ravishda aniqlab, ikkinchi zaiflik haqida 24-avgustda xabar berdi, bunda ham AI modellaridan foydalanilgan.
Bu kashfiyot AI vositalari keng qoʻllaniladigan dasturlardagi kamchiliklarni topishda tadqiqotchilarga qanday yordam bera olishini namoyish etdi. Biroq, singdiruvchilar tuzatishlarni tahlil qilish imkoniyati taʼsirlangan tizimlarni yangilash va biron bir shubhali faoliyatni kuzatish zarurligini yanada kuchaytirdi.