PHP екі қауіпті осалдыққа шұғыл патч шығарады
watchTowr мәліметінше, осалдықтар PHP-дің бесінші нұсқасынан бергі барлық нұсқасына әсер етеді, ал компания олардың бірін қайталап та үлгерген.
Изображение: BleepingComputer
PHP әзірлеушілер командасы 21 қазанда UTC бойынша 14:00-де (Астана уақытымен 19:00) екі сыни осалдықты жабатын жаңартулар шығарады. Әрқайсысы CVSS v4.0 шкаласы бойынша 10 ұпайдың 9,2-сін алды. Команда PHP пайдаланушыларының бәрін түзетулер шыға салысымен жаңартуға дайын болуға шақырды.
PHP – сайттарға арналған ең кең тараған тілдердің бірі. Контентті басқару жүйелері, интернет-дүкендер және көптеген веб-сервистер осы тілде жұмыс істейді. Әзірлеушілер техникалық мәліметтерді әзірге ашпай отыр. Қай нұсқалар зардап шегетінін және түзетілген нұсқалардың нөмірін релизбен бірге жарияламақ.
Мәлімет мерзімінен бұрын тарап кетті
Осалдықтар туралы ақпарат жоспарланған уақыттан бұрын желіге шығып кетті. watchTowr компаниясының бас директоры Бенджамин Харрис BleepingComputer-ге бұл қашықтан код орындауға мүмкіндік беретін екі осалдық екенін айтты. Мұндай қате арқылы шабуылдаушы бөгде серверде өз командаларын іске қоса алады. «Бұл осалдықтардың шын екенін растай аламыз», – деді Харрис.
Оның айтуынша, екі осалдық та PHP-дің 5, 6, 7 және 8-нұсқаларына әсер етеді, ал қауіптілігін ол ең жоғары 10 ұпайға бағалады. watchTowr мамандары олардың бірін, CVE-2026-109618-ді қайталап көрді. Бірақ техникалық мәліметтерді патчтар шыққаннан кейін ғана жарияламақ. Екінші осалдыққа CVE-2026-109619 нөмірі берілді.
watchTowr дерегінше, ақпаратты алғашында 22 қазан, бейсенбіге ашу жоспарланған. PHP командасы мәліметтер жария болса немесе нақты шабуыл белгілері байқалса, түзетулерді ертерек шығару құқығын өзіне қалдырды. watchTowr айтуынша, әзірге бұл осалдықтар арқылы жасалған шабуыл байқалмаған.
Қорғаныс туралы не белгілі
Әзірлеушілер уақытша қорғаныс жолын ұсынған жоқ, сондықтан жалғыз шара – жаңарту. PHP 8.2–8.5-тің соңғы жоспарлы нұсқалары 24 қыркүйекте шықты, алайда олар жаңа осалдықтарды жабатыны туралы ештеңе айтылмаған. PHP 8.6 тармағы әлі сынақ кезеңінде.
Ең алдымен WordPress сияқты танымал қозғалтқыштағы сайттар қауіпке ұшырайды. Мұндай сайттардың иелері осы аптада басқа шабуылға да тап болды: хакерлер Rank Math плагиніне бэкдор салған.
Дереккөздер: BleepingComputer – PHP екі сыни осалдық туралы ескертті, PHP.net – түзетулер шығару туралы хабарландыру
