PHP-ის კრიტიკული მოწყვლადობა: ჰაკერები სისტემებზე შეტევას ახორციელებენ
PHP-ის კრიტიკული ხარვეზები უკვე აქტიურად გამოიყენება კიბერშეტევებისთვის, რაც საფრთხეს უქმნის მილიონობით ვებგვერდს.
PHP2Shell-ის საფრთხე: რა უნდა იცოდეთ
აშშ-ის კიბერუსაფრთხოებისა და ინფრასტრუქტურის უსაფრთხოების სააგენტომ (CISA) PHP-ის ორ კრიტიკულ მოწყვლადობას, რომლებიც გაერთიანებულია სახელწოდებით PHP2Shell, ოფიციალურად მიანიჭა „აქტიურად ექსპლოატირებადი“ სტატუსი. ეს ხარვეზები, რომლებიც დაფიქსირებულია CVE-2026-109618 და CVE-2026-109619 იდენტიფიკატორებით, თავდამსხმელებს საშუალებას აძლევს, დისტანციურად შეასრულონ კოდი (Remote Code Execution - RCE) დაუცველ სისტემებზე. განსაკუთრებით საგანგაშოა ის ფაქტი, რომ შეტევის განხორციელება პრივილეგიების გარეშეც არის შესაძლებელი.
PHP-ის უსაფრთხოების გუნდმა შესაბამისი განახლებები 21 ოქტომბერს გამოუშვა, თუმცა, როგორც Amazon-ის უსაფრთხოების მკვლევარები აღნიშნავენ, ჰაკერებმა ამ ხარვეზების გამოყენება ოფიციალურ პატჩებამდე ოთხი დღით ადრე დაიწყეს. მიუხედავად იმისა, რომ თავდაპირველად გავრცელებული ინფორმაცია და საცდელი ექსპლოიტები (Proof-of-Concept) არასრულფასოვანი იყო, უახლესმა მონაცემებმა დაადასტურა, რომ შეტევები უკვე წარმატებით ხორციელდება რეალურ გარემოში.
რატომ არის ეს საფრთხე მასშტაბური
PHP არის ინტერნეტის ერთ-ერთი ყველაზე ფართოდ გამოყენებადი ტექნოლოგია, რომელიც ვებგვერდების დაახლოებით 70%-ის საფუძველს წარმოადგენს. VirusTotal-ის მონაცემებით, ონლაინ რეჟიმში 5,1 მილიონზე მეტი PHP ჰოსტია ხელმისაწვდომი, საიდანაც დაახლოებით 3,8 მილიონი ინსტანცია პოტენციურად დაუცველია, რადგან მათ გააჩნიათ ღია პორტები, რაც თავდამსხმელებს ხელს უწყობს.
კიბერუსაფრთხოების ექსპერტებმა, მათ შორის Perplexity-ის წარმომადგენლებმა, დააფიქსირეს შეტევები Apache mod_php-ის კონფიგურაციებზე, რომლებიც იყენებდნენ PHP 8.4.26 ვერსიას. გარდა ამისა, PHP-ის გუნდმა გააფრთხილა მომხმარებლები კიდევ ერთი ახალი RCE ხარვეზის (CVE-2026-115560) შესახებ, რომელზეც ჯერჯერობით არ არსებობს პატჩი და რომელიც ვლინდება კონფიგურაციებისა და აპლიკაციის კოდის სპეციფიკური კომბინაციის დროს.
რა ნაბიჯები უნდა გადადგან ადმინისტრატორებმა
CISA-მ აშშ-ის ფედერალური უწყებებისთვის გამოსცა დირექტივა, რომლის მიხედვითაც, სისტემების დაცვა და პატჩების დაყენება უმოკლეს ვადაშია სავალდებულო. მიუხედავად იმისა, რომ ეს მოთხოვნა ოფიციალურად მხოლოდ სახელმწიფო სტრუქტურებს ეხება, სააგენტო ყველა კერძო ორგანიზაციას მოუწოდებს, პრიორიტეტულად მიუდგნენ აღნიშნული მოწყვლადობების აღმოფხვრას.
ქართველი ვებ-დეველოპერებისა და სისტემური ადმინისტრატორებისთვის რეკომენდებულია, დაუყოვნებლივ გადაამოწმონ სერვერებზე არსებული PHP-ის ვერსიები და განაახლონ ისინი უსაფრთხოების უახლეს ვერსიებამდე. იმის გათვალისწინებით, რომ PHP-ზე დაფუძნებული საიტების რაოდენობა საქართველოშიც ძალიან დიდია, ამგვარი სერვერული ხარვეზები შესაძლოა გახდეს არა მხოლოდ მონაცემთა გაჟონვის, არამედ საიტების სრული გათიშვის ან ჰაკერული კონტროლის ქვეშ მოქცევის მიზეზი. აუცილებელია სისტემების მონიტორინგი და უსაფრთხოების პოლიტიკის გამკაცრება, რათა თავიდან ავიცილოთ პოტენციური ინციდენტები.