23:01
PHP-də serveri ələ keçirməyə imkan verən 2 kritik boşluq tapılıb
ABŞ-nin Milli Təhlükəsizlik Agentliyi 21 oktyabrda PHP proqramlaşdırma dilində tapılan 2 kritik təhlükəsizlik boşluğu barədə təcili xəbərdarlıq yayıb. “PHP2SHELL” adlanan boşluqlardan yararlanan hücumçu serverdəki fayllara və məlumat bazasına daxil ola, hətta serveri ələ keçirə bilər. PHP internet saytlarının təxminən 70 faizində, yəni 33 milyondan çox saytda işləyir. “WordPress” kimi məşhur sayt idarəetmə sistemləri də PHP-dən yararlanır.
PHP Fondu təhlükəsizlik düzəlişlərini artıq yayımlayıb. Sayt administratorlarına serverləri PHP 8.5.12 versiyasına yeniləmək tövsiyə olunur. PHP 8.1 və daha köhnə versiyalar artıq dəstəklənmir. Buna görə onları yeniləmək əlavə iş tələb edə bilər. Düzəlişi dərhal quraşdırmaq olmursa, agentlik saytı müvəqqəti olaraq internetdən ayırmağı məsləhət görür. Boşluqlardan birini “OpenAI” şirkətinin “Patch the Planet” proqramına qoşulan “Calif” təhlükəsizlik şirkəti tapıb. Bunun üçün “GPT‑5.6 Sol” modelindən yararlanılıb. “Wiz” də hər iki boşluğu ayrıca aşkarlayıb. Şirkət araşdırma zamanı “Wiz Atlas”, “Gemini 4 Argon” və “GPT‑5.6 Sol” alətlərini işlədib. Tədqiqatçılar məlumatları açıqlamazdan əvvəl düzəlişləri PHP komandası ilə birlikdə sınaqdan keçiriblər. İşə “Cloudflare”, “AWS”, “Microsoft”, “Akamai”, “Fastly”, “Imperva”, “Vercel” və “Automattic” də qoşulub. İş 2 aylıq hazırlıqdan sonra tamamlanıb və boşluqların 22 oktyabrda açıqlanması planlaşdırılıb. Ancaq detallar vaxtından əvvəl yayıldığı üçün PHP komandası düzəlişləri 21 oktyabrda çıxarıb. Boşluqların nə vaxtdan qaldığı barədə fərqli məlumatlar var. “OpenAI” rəhbəri Greg Brockman problemin 14 ildir davam etdiyini deyib. Digər araşdırmaya görə isə boşluq PHP 5-in çıxdığı 2004-cü ildən bəri bütün versiyalarda qalıb. Problemin daha kiçik variantı 2024-cü ildə tapılsa da, həmin vaxt ciddi təhlükə sayılmayıb. “Calif” daha təhlükəli variantı avqustda aşkarlayıb. “OpenAI” komandası problemin daha tam formasını sentyabrda ayrıca tapıb. Hələlik hücumçuların bu boşluqlardan yararlandığına dair məlumat yoxdur. Bununla belə, süni intellekt alətləri hücum kodunu fərqli PHP versiyalarına və server quruluşlarına daha tez uyğunlaşdıra bilər. “Wikipedia” 21 oktyabrda bir müddət açılmayıb. “Wikimedia Foundation” nasazlığın PHP boşluqları ilə əlaqəli olduğunu təsdiqləyib. Qurum düzəlişlər quraşdırılanadək digər sistemləri də ehtiyat tədbiri kimi söndürüb. “Asana”, “Duolingo”, “Bitbucket”, “Moodle”, “GOG” və “Internet Archive” daxil olmaqla başqa xidmətlərdə də problemlər qeydə alınıb. Ancaq bu halların PHP ilə əlaqəsi təsdiqlənməyib. Yaponiyanın baş naziri də sayt sahiblərini 21 oktyabr saat 18.00-da yayımlanan düzəlişi dərhal quraşdırmağa çağırıb. “OpenAI” vacib xidmətləri qoruyan təşkilatların təhlükəsizlik alətlərindən yararlanması üçün 1 milyard dollar (1,7 milyard manat) ayıracağını açıqlayıb. Şirkət administratorların işlədikləri PHP versiyasını yoxlaması üçün ayrıca alət də çıxarıb. Ağ Ev və ABŞ-nin kibertəhlükəsizlik qurumları cavab tədbirlərinə qoşulub. “OpenAI” boşluqlar barədə daha tez xəbər vermək üçün yeni sistem də təklif edir. Buna səbəb “Node.js” daxil olmaqla başqa geniş yayılmış texnologiyalarda da ciddi problemlərin aşkarlanmasıdır.
PHP Fondu təhlükəsizlik düzəlişlərini artıq yayımlayıb. Sayt administratorlarına serverləri PHP 8.5.12 versiyasına yeniləmək tövsiyə olunur. PHP 8.1 və daha köhnə versiyalar artıq dəstəklənmir. Buna görə onları yeniləmək əlavə iş tələb edə bilər. Düzəlişi dərhal quraşdırmaq olmursa, agentlik saytı müvəqqəti olaraq internetdən ayırmağı məsləhət görür. Boşluqlardan birini “OpenAI” şirkətinin “Patch the Planet” proqramına qoşulan “Calif” təhlükəsizlik şirkəti tapıb. Bunun üçün “GPT‑5.6 Sol” modelindən yararlanılıb. “Wiz” də hər iki boşluğu ayrıca aşkarlayıb. Şirkət araşdırma zamanı “Wiz Atlas”, “Gemini 4 Argon” və “GPT‑5.6 Sol” alətlərini işlədib. Tədqiqatçılar məlumatları açıqlamazdan əvvəl düzəlişləri PHP komandası ilə birlikdə sınaqdan keçiriblər. İşə “Cloudflare”, “AWS”, “Microsoft”, “Akamai”, “Fastly”, “Imperva”, “Vercel” və “Automattic” də qoşulub. İş 2 aylıq hazırlıqdan sonra tamamlanıb və boşluqların 22 oktyabrda açıqlanması planlaşdırılıb. Ancaq detallar vaxtından əvvəl yayıldığı üçün PHP komandası düzəlişləri 21 oktyabrda çıxarıb. Boşluqların nə vaxtdan qaldığı barədə fərqli məlumatlar var. “OpenAI” rəhbəri Greg Brockman problemin 14 ildir davam etdiyini deyib. Digər araşdırmaya görə isə boşluq PHP 5-in çıxdığı 2004-cü ildən bəri bütün versiyalarda qalıb. Problemin daha kiçik variantı 2024-cü ildə tapılsa da, həmin vaxt ciddi təhlükə sayılmayıb. “Calif” daha təhlükəli variantı avqustda aşkarlayıb. “OpenAI” komandası problemin daha tam formasını sentyabrda ayrıca tapıb. Hələlik hücumçuların bu boşluqlardan yararlandığına dair məlumat yoxdur. Bununla belə, süni intellekt alətləri hücum kodunu fərqli PHP versiyalarına və server quruluşlarına daha tez uyğunlaşdıra bilər. “Wikipedia” 21 oktyabrda bir müddət açılmayıb. “Wikimedia Foundation” nasazlığın PHP boşluqları ilə əlaqəli olduğunu təsdiqləyib. Qurum düzəlişlər quraşdırılanadək digər sistemləri də ehtiyat tədbiri kimi söndürüb. “Asana”, “Duolingo”, “Bitbucket”, “Moodle”, “GOG” və “Internet Archive” daxil olmaqla başqa xidmətlərdə də problemlər qeydə alınıb. Ancaq bu halların PHP ilə əlaqəsi təsdiqlənməyib. Yaponiyanın baş naziri də sayt sahiblərini 21 oktyabr saat 18.00-da yayımlanan düzəlişi dərhal quraşdırmağa çağırıb. “OpenAI” vacib xidmətləri qoruyan təşkilatların təhlükəsizlik alətlərindən yararlanması üçün 1 milyard dollar (1,7 milyard manat) ayıracağını açıqlayıb. Şirkət administratorların işlədikləri PHP versiyasını yoxlaması üçün ayrıca alət də çıxarıb. Ağ Ev və ABŞ-nin kibertəhlükəsizlik qurumları cavab tədbirlərinə qoşulub. “OpenAI” boşluqlar barədə daha tez xəbər vermək üçün yeni sistem də təklif edir. Buna səbəb “Node.js” daxil olmaqla başqa geniş yayılmış texnologiyalarda da ciddi problemlərin aşkarlanmasıdır.