Hackers PHPda kritik xavfsizlik zaifliklarini ekspluatatsiya qila boshlagan

AQSh siyosiy agentligi CISA PHP web dasturiy ta'minotidagi kritik xavfsizlik zaifliklarini ekspluatatsiya qiluvchi hakerlar borligini tasdiqladi. Federal agentliklar 3 kun ichida tizimlarini yangilashga buyurildi.

Bu og'ir ogohlantirish PHP dasturlash tilining yoshligidan beri mavjud bo'lgan ikki zaiflikni tuzatishdan kamida bir hafta o'tib berildi. Bu zaifliklar hakerlarga internet orqali parol talab qilmay, uzoqdan tizimlarga kirish imkonini beradi. PHP dasturi 70% dan ortiq web-serverlarda ishlatiladi, bu esa katta veb-saytlar va ilovalarni xavf ostiga qo'yadi.

Bu zaifliklar yuqori darajadagi xavfni keltirib chiqaradi, chunki ular ekspluatatsiya qilingan taqdirda juda katta zarar yetkazishi mumkin. Ammo, xavfsizlik mutaxassislari bu zaifliklarni ekspluatatsiya qilish qiyin bo'lsa-da, mumkin ekanligini aytishdi. Hali ham, bu zaifliklar ekspluatatsiya qilinayotganligi tasdiqlanishi, tashkilotlarga tizimlarini yangilashga majbur qildi.

CISA bayonotida kim bu zaifliklarni ekspluatatsiya qilayotgani haqida ma'lumot berilmagan. Ammo, bu bayonotdan oldin xavfsizlik mutaxassislari bu zaifliklarni ekspluatatsiya qilinayotgani haqida dalillar topganliklarini aytishgan.

Bu zaifliklar, PHP2Shell deb nomlanuvchi zaifliklar, dasturda yillar davomida aniqlanmagan zaifliklarni ekspluatatsiya qiladi. Bu zaifliklar ikki yil oldin aniqlangan, lekin PHP dasturini rivojlantiruvchi notijorat fondi bu zaifliklarni ekspluatatsiya qilishning amaliy yo'li yo'qligini aytib, ularni tuzatmagan. Bu, bu yil boshida, Calif xavfsizlik tadqiqot firmasining tadqiqotchilari AI modelidan foydalangan holda bu zaifliklarni ekspluatatsiya qilish usullarini topganlarigacha davom etdi.

PHPdagi bu ikki zaiflik, AI modellari ko'p zaifliklarni aniqlash va ekspluatatsiya qilish qobiliyatini oshirganligi sababli, hali aniqlanmagan yoki kam ahamiyat berilgan ko'plab zaifliklardan biridir. Bu zaifliklar bir nechta zaifliklarni birlashtirib, birgalikda ekspluatatsiya qilish mumkin.

PHP, internet va zamonaviy texnologiyalarni ishga tushirishda yordam beruvchi ko'plab eskirgan veb texnologiyalaridan biridir. Ammo, bu texnologiyalar yillar davomida kam resurs va mablag'ga ega bo'lganligi sababli, PHP kabi ochiq manbali loyihalar uchun xavfsizlik ko'riklarini moliyalashtirish qiyin bo'lib kelgan. Bu esa zaifliklarni erta aniqlash imkoniyatini kamaytirgan.