PHP-ի հիմնական խոցելիությունները և դրանց վերացումը

Անվտանգության հետազոտողները Calif-ում հայտնաբերել են երկու կրիտիկական վրիպակ PHP-ում: Այս երկու վրիպակները առաջին անգամ հայտնաբերվել էին 2024 թվականին, բայց այդ ժամանակ չէին համարվել շահագործելի: Ավելի ուշ պարզվել է, որ PHP ծրագրային ապահովման վերջերս հայտնաբերված խոցելիությունները տարիներ շարունակ աննկատ մնացել էին համակարգերում:

Շահագործում և վտանգներ

Այս վրիպակները թույլ են տալիս չարտոնված մուտք ունենալ առցանց համակարգեր՝ առանց գաղտնաբառի պահանջի: PHP2Shell-ը կարող է շահագործվել հեռակա կարգով համացանցի միջոցով՝ առանց օգտատիրոջ ներգրավման: Հարկ է նշել, որ PHP-ն օգտագործվում է վեբ-կայքերի մոտ 70 տոկոսի կողմից, իսկ այնպիսի հայտնի կայքեր, ինչպիսիք են WordPress-ը, Drupal-ը, Joomla-ն և Wikipedia-ն, հիմնված են PHP ծրագրերի վրա:

Ամազոնը հայտնաբերել էր PHP2Shell-ի շահագործումը չորեքշաբթի օրը հասանելի դարձած թարմացումներից մոտ մեկ շաբաթ առաջ: Ամազոնը առաջարկել էր, որ շահագործման ապացույցները կարող են գտնվել արդեն հոկտեմբերի 17-ին: Բացի այդ, Palo Alto Networks-ի և Trail of Bits-ի կողմից հաստատված վնասված և հետշահագործման գործունեության մասին հաշվետվություններ են ներկայացվել ուշ ուրբաթ օրը:

Թարմացումներ և արձագանք

Calif-ը տեղեկացրել է PHP Foundation-ին այս վրիպակների մասին: PHP Foundation-ը չորեքշաբթի օրը հրապարակայնորեն թողարկել է թարմացումներ, որոնք շտկել են խոցելիությունները: Մինչ այդ, PHP Foundation-ը վաղաժամկետ հասանելիություն էր տրամադրել կարկատաններին խոշոր ինտերնետային ընկերությունների և վեբ հոսթերների համար:

Cloudflare-ի գործադիր տնօրեն Մեթյու Փրինսը հայտարարել է, որ իր ընկերությունը նկատել է վրիպակները շահագործելու փորձերի էքսպոնենցիալ աճ՝ դրանց հրապարակումից հետո: Այս միջադեպը տեղի է ունենում նախորդ տարիների խոշոր տեխնոլոգիական խափանումների ֆոնին, ինչպիսին էր 2024 թվականի CrowdStrike-ի սխալ թարմացումը, որը հանգեցրել էր Windows համակարգչային մասշտաբային համաշխարհային խափանման: