PHP-ის კრიტიკული ხარვეზები: მილიონობით ვებსაიტი საფრთხის ქვეშაა
კრიტიკული საფრთხე PHP-ის მომხმარებლებისთვის
პოპულარულმა პროგრამირების ენამ PHP-მ გამოუშვა გადაუდებელი განახლებები, რომლებიც ორ კრიტიკულ, დისტანციური კოდის შესრულების (Remote Code Execution - RCE) ხარვეზს ასწორებს. სპეციალისტები აფრთხილებენ ვებ-ადმინისტრატორებს, რომ საფრთხე რეალურია და ჰაკერები უკვე ცდილობენ დაუცველი სერვერების ექსპლუატაციას. აღნიშნულ ხარვეზებს, რომლებიც CVE-2026-109618 და CVE-2026-109619 ინდექსებით არის ცნობილი, უსაფრთხოების ექსპერტებმა 9.2 ქულა მიანიჭეს 10-ბალიანი სისტემით.
პირველი ხარვეზი მეხსიერების არასწორ დამუშავებას უკავშირდება, ხოლო მეორე ე.წ. „use-after-free“ ტიპის მეხსიერების შეცდომაა. ორივე მათგანი თავდამსხმელებს საშუალებას აძლევს, სერვერზე თვითნებური კოდი შეასრულონ, რაც ხშირად სრული კონტროლის მოპოვებით სრულდება. PHP-ის ოფიციალური განცხადებით, საფრთხის ქვეშ დგას ყველა ინსტალაცია, რომელიც ვებ-მოთხოვნებს ემსახურება, მათ შორის Apache (mod_php), PHP-FPM, FrankenPHP და LiteSpeed სერვერები.
ჰაკერული თავდასხმები და გაჟონილი ინფორმაცია
სიტუაცია განსაკუთრებით დაიძაბა მას შემდეგ, რაც ხარვეზების შესახებ ინფორმაცია ოფიციალურ პატჩებამდე ორი დღით ადრე გავრცელდა. ამან კიბერკრიმინალებს მოქმედებისთვის საჭირო დრო მისცა. ევროპის მასშტაბით არაერთმა სამთავრობო, საგანმანათლებლო და სამედიცინო დაწესებულებამ პრევენციის მიზნით დროებით შეაჩერა საკუთარი ვებსაიტების მუშაობა. უსაფრთხოების კომპანიებმა, მათ შორის Cloudflare-მა, დაადასტურეს, რომ თავდასხმების პირველი ტალღები ჯერ კიდევ პატჩების გამოსვლამდე დაიწყო.
განახლებები ხელმისაწვდომია PHP-ის 8.5.12, 8.4.27, 8.3.36 და 8.2.35 ვერსიებისთვის. თუ თქვენი სერვერი იყენებს PHP 8.1-ს ან უფრო ძველ ვერსიას, უნდა იცოდეთ, რომ მათთვის ოფიციალური მხარდაჭერა შეწყვეტილია და ისინი აღარ მიიღებენ უსაფრთხოების განახლებებს. მიუხედავად ამისა, PHP-ის უსაფრთხოების გუნდმა გამონაკლისი დაუშვა და მინიმალური ტექნიკური მხარდაჭერა უზრუნველყო 7.4, 8.0 და 8.1 ვერსიებისთვის, რათა მომხმარებლებს სისტემების დაცვა მაინც შეეძლოთ.
როგორ დავიცვათ თავი?
ყველაზე ეფექტური გზა PHP-ის უახლეს ვერსიაზე გადასვლაა. თუმცა, იმ შემთხვევებში, როდესაც განახლება მყისიერად ვერ ხერხდება, დეველოპერები რამდენიმე დროებითი ზომის მიღებას გვირჩევენ. მეხსიერებასთან დაკავშირებული შეტევების შესამცირებლად რეკომენდებულია მეხსიერების ლიმიტების მკაცრი კონტროლი და შემომავალი ფაილების ზომის შეზღუდვა. ასევე, მიზანშეწონილია სესიების ატვირთვის პროგრესის თვალთვალის გამორთვა და აპლიკაციის შეცდომების ისე გასწორება, რომ მათ სისტემის კრახი არ გამოიწვიონ.
საქართველოში მოქმედი ვებ-დეველოპერებისა და სისტემური ადმინისტრატორებისთვის ეს სიახლე კრიტიკულად მნიშვნელოვანია. ვინაიდან მილიონობით საიტი კვლავ მოძველებულ PHP ვერსიებზე მუშაობს, რისკი მაღალია. გირჩევთ, დაუყოვნებლივ გადაამოწმოთ თქვენი სერვერების კონფიგურაცია და დარწმუნდეთ, რომ უსაფრთხოების უახლესი პატჩები დაინსტალირებულია, რათა თავიდან აიცილოთ მონაცემთა გაჟონვა ან სერვერზე არასანქცირებული წვდომა.