Bu hafta, PHP nomli ochiq manbali web texnologiyasi internetni buzishga yaqin kelgan. Bu xavfli nuqsonlar PHP2Shell deb nomlangan va CVE-2026-109618 va CVE-2026-109619 raqamlariga ega. Bu xavflar PHPni ishlatadigan onlayn tizimlarga, masalan, veb-saytlar yoki internetga ulangan serverlarga kirish imkonini beradi, shu jumladan parol talab etilmaydi.
Calif nomli xavfsizlik tadqiqotchilari PHPda ikkita xavfli nuqson topdilar. Bu nuqsonlar 2024-yilda topilgan, lekin ularning ekspluatatsiya qilinishi mumkinligi aniqlanmagan edi. Tadqiqotchilar bu nuqsonlarni ekspluatatsiya qilish usullarini topdilar va PHP Foundationga xabar berdilar. PHP Foundation bu xavflarni tuzatish uchun patchlarni tayyorladi va ularga asoslanib, eng yirik internet kompaniyalari va veb-xostlarga oldindan patchlarni o'rnatish imkonini berdi.
PHP2Shell xavflari juda xavfli, chunki ular internet orqali uzoqdan ekspluatatsiya qilinishi mumkin. Bu turdagi xavflar odatda uzokdan kod ijrosi deb ataladi va ular odatda katta zarar keltirishi mumkin, chunki ular xakerlarga tizimni to'liq nazorat qilish imkonini beradi. Bundan tashqari, bu xavflar tizimga parol yoki boshqa kimlikni talab etmasdan kirish imkonini beradi, bu esa xavfni yanada oshiradi.
Bu xavflar juda xavfli, chunki PHP juda mashhur texnologiya. PHP 70% veb-saytlar tomonidan ishlatiladi. Bu texnologiya bepul va oson foydalanilishi uchun mashhur. PHPni ishlatadigan mashhur veb-saytlar orasida WordPress, Drupal, Joomla va MediaWiki bor.
Calif tadqiqotchilari PHP kodini tekshirish jarayonida bu xavflarni topdilar. Calif tadqiqotchilari AI yordamida bu xavflarni ekspluatatsiya qilish usullarini topdilar, lekin bu ishning asosiy qismi tadqiqotchilarning PHP kod bazasini yaxshi bilishi bilan bog'liq edi.
Xavflar haqidagi ma'lumotlar patchlar e'lon qilinishidan oldin ham ekspluatatsiya qilindi. Amazon bu xavflarning ekspluatatsiya qilinishi haqida xabar berdi, bu esa bu xavflarning patchlar e'lon qilinishidan oldin ham ekspluatatsiya qilinishi mumkinligini ko'rsatadi.
Xavfsizlik tadqiqotchilari bu xavflar haqida ma'lumotlarni patchlar e'lon qilinishidan oldin ham tarqatishgan. Bu esa bu xavflarning patchlar e'lon qilinishidan oldin ham ekspluatatsiya qilinishi mumkinligini ko'rsatadi.
PHP Foundation bu xavflarni tuzatish uchun patchlarni tayyorladi va ularga asoslanib, eng yirik internet kompaniyalari va veb-xostlarga oldindan patchlarni o'rnatish imkonini berdi.
Xavfsizlik tadqiqotchilari bu xavflar haqida ma'lumotlarni patchlar e'lon qilinishidan oldin ham tarqatishgan. Bu esa bu xavflarning patchlar e'lon qilinishidan oldin ham ekspluatatsiya qilinishi mumkinligini ko'rsatadi.
PHP Foundation bu xavflarni tuzatish uchun patchlarni tayyorladi va ularga asoslanib, eng yirik internet kompaniyalari va veb-xostlarga oldindan patchlarni o'rnatish imkonini berdi.
Xavfsizlik tadqiqotchilari bu xavflar haqida ma'lumotlarni patchlar e'lon qilinishidan oldin ham tarqatishgan. Bu esa bu xavflarning patchlar e'lon qilinishidan oldin ham ekspluatatsiya qilinishi mumkinligini ko'rsatadi.
Argus — bu AI agentlari yordamida agentik hujumlarga qarshi himoya beruvchi ochiq manbali xavfsizlik platformasi. U turli xil aktivlarni inventarizatsiya qiladi va xavfsizlik vositalarini boshqaradi.
Nemis sudining qarori bo'yicha Google, Google Earth va Google Maps xizmatlarida odamlar mulklarini ko'rsatish orqali Germaniya qattiq maxfiylik qonunlariga zid kelmoqda.
Energize Lab, Eiliko robotlarining xavfsizligi bo'yicha muammolarni hal qilish uchun mustaqil xavfsizlik firmasini yollaydi. Hali ham xavfsizlik muammolari mavjud.
PHP kamchiliklarini eksploatlashga uringan xakerlar borligi ma'lum bo'ldi. Bu kamchiliklar 17-oktyabrda eksploatlashga uringan bo'lib, bu 25-oktyabrda e'lon qilinganidan 4 kun oldin bo'lgan.