Maʼlumotlarni siqish tizimidagi halokatli zaiflik texnologik kompaniyalarni serverlar va ilovalarni buzishi mumkin boʻlgan hujumlarning oldini olish uchun xavfsizlik yangilanishlarini chiqarishga majbur qilmoqda. HTTP2Shell deb nomlangan bu zaiflik Google tomonidan ishlab chiqilgan va internet infratuzilmasining turli elementlarida qoʻllaniladigan Brotli texnologiyasiga taʼsir qiladi.
Bu yoriq juda jiddiy deb tasniflanadi va oʻn ballik miqyosida 9,2 bahoga ega. U xotira shikastlanishi, maʼlumotlar sizib chiqishi, xizmatlarning toʻxtashi va maʼlum sharoitlarda masofadan kodni bajarishga sabab boʻlishi mumkin. Oxirgi ssenariy hujumchiga zaif tizimda buyruqlarni bajarish imkonini beradi.
CVE-2026-111497 kodi bilan aniqlangan muammo Node2Shell va Broccoli2Shell sifatida ham tanilgan. Potensial ravishda xavf ostida boʻlgan dasturiy taʼminotlar orasida Brotli dekoderining zaif versiyalaridan foydalanuvchi Node.js, .NET ilovalari va Python paketlari mavjud.
TechRadar maʼlumotlariga koʻra, koʻplab kompaniyalar va loyihalar allaqachon tuzatishlarni tarqatishni boshlashgan. Biroq, material chop etilgan paytda ushbu zaiflikning haqiqiy zararli hujumlarda ishlatilayotgani tasdiqlanmagan.
Muammo turli loyihalarni xavfsizlik yangilanishlarini chiqarishga undadi. Google 21-oktabrda Brotli kutubxonasini 1.0.10, 1.1.1 va 1.2.1 versiyalarini chiqarib yangiladi. Oʻsha kuni Node.js ham tuzatishlarni chiqardi. Zaiflik brauzerlar tashqarisida JavaScript kodini ishga tushirish uchun ishlatiladigan 22.x, 24.x va 26.x ishga tushirish muhiti chiziqlariga taʼsir qiladi.
Dam olish kunlari Microsoft .NET uchun favqulodda yangilanishni eʼlon qildi. Kompaniya muvaffaqiyatli ekspluatatsiya yuqori huquqlar olishga olib kelishi mumkinligini ogohlantirdi. Bundan tashqari, dekoderdan foydalanuvchi Python paketlari 23-oktabrda tuzatishlarni oldi.
TechRadar tuzatilgan versiyalarning roʻyxatini keltirdi, ammo bu versiyalarning mavjudligi ushbu texnologiyalardan foydalanuvchi barcha tizimlarning zaif ekanligini anglatmasligini taʼkidladi. Xavf oʻrnatilgan versiyalarga, ishlatilayotgan kutubxonalarga va har bir ilova maʼlumotlarni qanday qayta ishlashiga bogʻliq. Shuningdek, baʼzi dasturlar dekoderning oʻz nusxasini oʻz ichiga olishini unutmang, shuning uchun administratorlar bogʻliqliklarni tekshirishi va amalda ishlatilayotgan komponentlarni yangilashi kerak.
HTTP2Shellni bartaraf etish uchun boʻlgan bu poyga raqobatining raqamli infratuzilmaning kengroq muammosiga eʼtiborni qaratadi, u koʻplab komponentlar, kutubxonalar va doim yangilanmaydigan serverlardan iborat. Yangi PHP — saytlar yaratish uchun keng qoʻllaniladigan yana bir texnologiya bilan bogʻliq ogohlantirish, agar texnik xizmat koʻrsatuvchilar xavfsizlik parchalarini qoʻllamasalar, bu muammo qanday kuchayishi mumkinligini koʻrsatdi. Garchi PHP zaifliklari HTTP2Shell dan farqli boʻlsa-da, ikkala holat ham turli tashkilotlar tomonidan qoʻllab-quvvatlanadigan dasturiy komponentlarga bogʻliq tizimlarni himoya qilishdagi qiyinchiliklarni namoyish etadi.
CNET xabariga koʻra, tilning xavfsizligi va ishlab chiqilishini qoʻllab-quvvatlovchi nodavlat tashkilot boʻlgan PHP Foundation faqat bitta shtat xodimi va kengash volontyorlari bundan tashqari yarim stavkada taxminan 14 nafar xodim bilan ishlaydi. Tashkilot ijrochi direktori Elizabeth Barron Reutersga PHP kodidagi xavfsizlik oʻzgarishlariga boʻlgan talab sunʼiy intellekt (AI) tomonidan aniqlangan tahdidlar kengayishi tufayli oshganini, ammo xodimlar sonining tegishli darajada oʻsmaganligini bildirgan.
Sayt egalarining ongliligi ham toʻsiq hisoblanadi. CNET tomonidan iqtibos berilgan va oʻz saytini saqlaydigan 121 kichik biznes egasi oʻrtasida oʻtkazilgan tadqiqot shuni koʻrsatdiki, 45% PHP haqida hech qachon eshitmagan, 71% esa oʻz sayti ulardan foydalanayotganini bilmagan.
Tuzatishlarni qoʻllash masʼuliyati infratuzilmaga qarab farq qiladi. Baʼzi boshqariladigan hosting xizmatlari mijozlar uchun yangilanishlarni amalga oshiradi, boshqa tomondan, oʻz serverlariga ega egalar mustaqil harakat qilishlari kerak. Saytlarning oddiy tashrifchilari uchun brauzerni yangilash yoki parollarni almashtirish boshqa tashkilotning serveridagi zaiflikni bartaraf etmaydi; himoya birinchi navbatda komponentlarni oʻz vaqtida yangilash va ilovalar uchun masʼul shaxslar tomonidan tegishli xavfsizlik choralarini koʻrishga bogʻliq.
Asosiy tavsiya taʼsir qiluvchi komponentlar uchun mavjud yangilanishlarni oʻrnatishdir. Tuzatilgandan soʻng, xizmatlar zaif versiyalardan foydalanmasligini taʼminlash uchun jarayonlarni qayta ishga tushirish va konteyner tasvirlarini qayta qurish talab qilinishi mumkin.
Agar tuzatishni darhol qoʻllash mumkin boʻlmasa, xatarni kamaytirish uchun vaqtinchalik choralar mavjud. Python ilovalari uchun vaqtinchalik yechim Brotli ning zaif paketlarini va ulardan foydalanuvchi ixtiyoriy bogʻliqliklarni oʻchirishdir. Administratorlar shuningdek, Brotli ga qadoqlangan tana bilan maʼlum soʻrovlarni bloklash uchun proksi, yuk muvozanatlash yoki ilova tarmoq devorlarini sozlashlari mumkin. Biroq, bu choralar boshqa serverlardan zararli javoblarni oladigan va ularni ochishga urinayotgan ilovalarga toʻliq himoya bermaydi. Node.js uchun yangilanishdan toʻliq muqobil yoʻq.
HTTP2Shell nomi PHP2Shell deb nomlangan boshqa yaqinda yuzaga kelgan zaiflikka ishora qiladi, bu PHPga taʼsir qildi, bu esa veb-saytlar va ilovalarni ishlab chiqishda keng qoʻllaniladigan til. Ikkala zaiflik ham xavotirli umumiy jihatga ega: maʼlum sharoitlarda ular masofadan kodni bajarish yoʻliga ochilishi mumkin. Bu uni internetga ochiq tizimlarni saqlaydigan tashkilotlar uchun tuzatishni ayniqsa muhim qiladi.
Biroq, oʻzlari zaifliklar farq qiladi va turli komponentlarga taʼsir qiladi. PHP2Shell ni tuzatish avtomatik ravishda muhitni HTTP2Shell dan himoya qilmaydi, shunday qilib Brotli yangilanishi ham PHP ning maxsus muammolarini hal qilmaydi. HTTP2Shell holatida TechRadar jamoatchilik isbotlari konsepsiyalarini tilga olgan, ammo real dunyoda tasdiqlangan ekspluatatsiyani koʻrsatmagan. Bunga qaramay, tuzatishlarning mavjudligi va muammoning potentsial jiddiyati zaif tizimlarni tekshirishni ustuvor vazifa qiladi. «Falha crítica ameaça sites e pode permitir que hackers executem códigos remotamente» maqolasi birinchi marta Olhar Digitalda eʼlon qilingan.
