allworld.mediaButun dunyo bo‘ylab yangiliklar
Hakerlar rasmiy ogohlantirishdan oldin PHPdagi jiddiy kamchiliklarni sinab koʻrgan
Batafsil
Tecnoblog
tecnoblog.net

Hakerlar rasmiy ogohlantirishdan oldin PHPdagi jiddiy kamchiliklarni sinab koʻrgan

21-oktabrda eʼlon qilingan PHPdagi ikkita jiddiy zaiflik toʻrt kun davomida hujumlar maqsadi boʻlib kelmoqda. Amazon Web Services (AWS) monitoring tizimlarini tahlil qilish jarayonida 17-oktabrda birinchi shubhali faoliyatni aniqlagan.

PHP2Shell deb nomlangan bu kamchiliklar singdiruvchilarga zaif serverlarda masofadan kod ishga tushirishga urinish imkonini beradi va ular 10 ballik miqyosda 9,2 jiddiy ligida baholangan, bu kompaniyalar va davlat tashkilotlarini tizimlarini yangilashni tezlashtirishga majbur qilmoqda.

AWS birinchi urinishni tijorat anonimlashtirish xizmatiga bogʻliq IP manzilidan kelganini aniqladi. Amazon bu xatti-harakatni potentsial zararli harakat sifatida qaralsa-da, masʼul shaxslar rasmiy eʼlon qilinishidan oldin zaiflik haqida qanday maʼlumot topganlari hali aniq emas.

Vaziyat chorshanba kuni yanada keskinlashdi, chunki AWS boshqa infratuzilmalardan kelib chiqqan koʻplab dalillar va yangi ekspluatatsiya urinishlarini aniqladi. Ishlatilgan kodlar va xizmatlarning xilma-xilligi turli agentlarning ishtirok etishi mumkinligini koʻrsatadi.

Aniqlangan koʻplab urinishlarga qaramay, bu dastlabki harakatlarning haqiqiy serverlarni buzgani tasdiqlanmagan. PHP Foundation ijrochi direktori Elizabeth Barron The Vergega shuni bildirib, hali muvaffaqiyatli ekspluatatsiya holatlari qayd etilmaganini taʼkidladi.

Tuzatishlar nashr etilgandan soʻng, zaifliklarni ekspluatatsiya qilishga qodir kodlar tezda paydo boʻldi. Bu zaifliklar CVE-2026-109618 va CVE-2026-109619 deb belgilangan va PHP vebning katta qismi hamda bloglardan tortib onlayn doʻkonlarga qadar boshqarish uchun ishlatiladigan WordPress kabi mashhur platformalarning asosini tashkil etgani sababli ularning taʼsiri xavotirli hisoblanadi.

Boshqa mamlakatlarda, Masalan, Braziliyada Anatel xizmatlarida uzilishlar kuzatildi va hukumat organlari xavflarni kamaytirish uchun serverlarini yangilash jarayonida Elektron axborotlar tizimi (SEI) ishdan chiqdi.

AWS PHP2Shell internetda keng miqyosda ekspluatatsiya qilinayotganini maʼlum qilmoqda. Masofadan kodni muvaffaqiyatli bajarilganligi tasdiqlanmagan boʻlsa ham, urinishlar hajmi hali ham tuzatishlarni qoʻllamayotgan administratorlar uchun shoshilinch zaruratni kuchaytiradi.

Amazon shu yuzaga kelayotgan vaziyatda sunʼiy intellektning rolini ham taʼkidladi. Kompaniyaning maʼlumotlariga koʻra, AI yordamida yaratilgan vositalar samarali hujum usulini topish uchun kerakli vaqtni qisqartiradi.

PHP2Shell natijasida yuzaga kelgan muammolar 2024-yildan beri muhokama qilinardi. Avvalgi tuzatish urinishlari mavjud tizimlar bilan mos kelmaslik va yangi xavfsizlik zaifliklarini keltirib chiqarish dilemasi bilan duch kelgan. PHP Foundation kelajakda jiddiy zaifliklarga yanada tezkor qarorlar qabul qilishni taʼminlash uchun protseduralarini koʻrib chiqish niyatini bildirdi.

PHP loyihasi ikki zaiflikni bartaraf etish uchun 8.2.35, 8.3.36, 8.4.27 va 8.5.12 versiyalarini chiqarib, darhol yangilashni tavsiya etdi. Ishlab chiquvchilar hech qanday sozlama ushbu yangi versiyalarni oʻrnatmasdan xavflarni butunlay yoʻq qila olmasligini ogohlantirmoqda.

Qoʻshimcha ravishda, AWS foydalanuvchilarga serverlarining yozuvlarini tekshirish, kutilmagan jarayonlarni bajarilishini izlash va 2026-yil 17-oktyabrdan boshlab fayllardagi biron bir shubhalik oʻzgarishlarni tekshirishni maslahat beradi.

Oʻxshash hikoyalar

PHP, eMudhra va sunʼiy intellektga asoslangan dasturiy taʼminotdagi halokatli zaifliklar aniqlandi
Batafsil
www.aajtak.in

PHP, eMudhra va sunʼiy intellektga asoslangan dasturiy taʼminotdagi halokatli zaifliklar aniqlandi

Soʻnggi bir kun ichida kiberxavfsizlik sohasida sezilarli hodisalar koʻpaydi. Turli sohalarda jiddiy xavfsizlik muammolari aniqlandi — veb-saytlar uchun dasturiy taʼminotdan va raqamli sertifikatlardan tortib sunʼiy intellekt vositalari va bulut platformalarigacha. Aniqlangan kamchiliklar orasida hujumchilarga serverda oʻz kodini bajarish imkonini beradigan zaifliklar hamda dasturiy taʼminot yangilanishlariga zararli kodni joylashtirish holatlari mavjud edi.

Eng shov-shuvli voqealardan biri Hindiston kompaniyasi eMudhra ning raqamli sertifikatlari bilan bogʻliq boʻlib, bu kiberxavfsizlik sohasidagi jahon jamiyatining diqqatini jalb qildi.

Bunday koʻp muammolar bir vaqtning oʻzida paydo boʻlishining sabablari haqida savol tugʻiladi. Avvalroq AI sohasidagi yetakchilar kuchli AI modellarining dasturiy taʼminotdagi kamchiliklarni insonlardan ancha tez topa olishi mumkinligini ogohlantirgan. Jamoatchilik AI tomonidan zaifliklarni aniqlash tezligi ularni bartaraf etish tezligidan oshsa, butun dunyo foydalanuvchilarining xavfsizligi va maxfiyligi xavf ostida qolishi mumkinligidan qoʻrqadi.

Bu hodisalar internet xavfsizligi faqat bitta kompaniya yoki veb-saytdan kelib chiqmasligini yana bir bor namoyish etdi. Internetga ishonch brauzerlar, serverlar, DASTURIY TAʼMINOT yangilanishlari va raqamli sertifikatlar kabi koʻplab komponentlarning oʻzaro taʼsiri bilan saqlanadi. Ushbu elementlardan birida buzilish boshqa xizmatlar va kompaniyalarga taʼsir qilishi mumkin. Hozircha katta yoʻqotishlar haqida maʼlumot berilmagan boʻlsa-da, vaziyatni yanada baholash talab etiladi.

Eng muhim voqea dasturlash tili PHP da ikkita halokatli zaiflik aniqlanishi boʻldi. PHP veb-saytlar va veb-ilovalarni yaratish uchun keng qoʻllaniladi va koʻplab serverlar shu platformada ishlaydi. Hindiston kiberxavfsizlik agentligi CERT-In ushbu zaifliklar haqida 21-oktabr kuni ogohlantirish berib, ularga CVE-2026-109618 va CVE-2026-109619 identifikatorlarini berdi.

Ushbu zaifliklardan foydalanib, hujumchilar avtorizatsiya qilish shartmasdan baʼzi zaif serverlarda oʻz kodini bajara olgan. Bu server ustidan nazoratni olish va uning ustida ishlayotgan xizmatlarga taʼsir qilish xavfini keltirib chiqardi. PHP jamoasi bu kamchiliklarni tuzatish uchun yangi xavfsizlik yangilanishlarini chiqardi: PHP 8.5 uchun 8.5.12, PHP 8.4 uchun 8.4.27, PHP 8.3 uchun 8.3.36 va PHP 8.2 uchun 8.2.35. Zarar koʻrgan saytlar va server foydalanuvchilari tegishli yangilanishlarni zudlik bilan oʻrnatishlari tavsiya etildi.

Xatarlar haqida maʼlumot eʼlon qilingandan soʻng, hujumchilar faoliyati sezilarli darajada oshdi. Reutersning 22-oktabrgi hisobotiga koʻra, Cloudflare zaifliklar haqidagi maʼlumot ommaga oshgandan soʻng, PHP ga hujum qilish urinishlarining keskin koʻtarilishini qayd etdi. Agar avval bunday urinishlar minglab miqdorda boʻlsa, oshkor qilingandan soʻng ular millionlarga yetdi. Turli mamlakatlardagi koʻplab davlat xizmatlari va kompaniyalar tizimlarini tezda tekshirishni va xavfsizlik yangilanishlarini qoʻllashni boshladilar.

Biroq, tizimga hujum qilish urinishi va maʼlumotlarning muvaffaqiyatli oʻgʻirlanishi ikki xil jarayon. Dastlabki hisobotlar ushbu hodisa bilan bogʻliq hech qanday keng koʻlamli muvaffaqiyatli hujumlarning mavjudligini tasdiqlamadi.

PHP zaifliklari tarixi sunʼiy intellekt bilan bogʻliq jihatni ham oʻz ichiga oladi. OpenAI maʼlumotlariga koʻra, eng muhim zaifliklardan biri kompaniya 'Patch the Planet' tashabbusi doirasida GPT-5.6 Sol yordamida aniqlangan. Mustaqil ravishda, Wiz kompaniyasi ham bu ikkala zaiflikni mustaqil aniqlagan va xabar berdi. Shundan soʻng, PHP jamoasi va boshqa xavfsizlik kompaniyalari ularni tuzatish ustida birgalikda ishledi.

Bu holat sunʼiy intellekt faqat kontent yaratish yoki savollarga javob berish uchun emas, balki dasturiy taʼminotdagi yashirin zaifliklarni topish uchun ham qoʻllanilishi mumkinligini namoyish etadi. Bunday texnologiyalar xavfsizlik jamoalariga kamchiliklarni tezroq aniqlash va yechimlarni ishlab chiqishga yordam berishi mumkin. Biroq, teskari tomoni ham mavjud: agar hujumchilar ham zaifliklarni izlash, hujumlar tayyorlash va zaif tizimlarni aniqlash uchun shunga oʻxshash usullardan foydalanishni boshlasa, kompaniyalarning reaksiya vaqti qisqaradi. Shu sababli, AI yordamida kiberxavfsizlikni mustahkamlashga umid qilinishiga qaramay, hujumlar yanada tezlashishi mumkinligi haqidagi xavotir ortib bormoqda.

Shu bilan birga, Hindiston kompaniyasi eMudhra ning raqamli sertifikatlari bilan bogʻliq muammo yuzaga keldi. Ushbu kompaniya internetda xavfsiz ulanishni taʼminlash uchun ishlatiladigan raqamli sertifikatlarni chiqaradi. Bunday sertifikatlar brauzerlarga veb-sayt ishonchli ekanligini aniqlashga yordam beradi va xavfsiz ulanish toʻgʻri resursga yoʻnaltirilganligini kafolatlaydi.

CERT-In maʼlumotlariga koʻra, eMudhra ning sakkizta vositachilik sertifikati oʻz xususiy kriptografik kalitlari noxavfsiz usulda shakllantirilganligi sababli zaiflikka ega edi. Ushbu kalitlar...

Mashhur