2026-ի հոկտեմբերի 21-ին PHP նախագիծը թողարկեց շտապ անվտանգության թարմացումներ երկու կրիտիկական խոցելիությունների համար՝ CVE-2026-109618 և CVE-2026-109619։ Անվտանգության մասնագետները այս զույգին անվանեցին «PHP2Shell»։ Քանի որ PHP-ով են աշխատում վեբի մեծ մասը, այդ թվում WordPress-ը, Drupal-ը և Joomla-ն, լուրը հասավ կայքերի սեփականատերերին ամբողջ աշխարհում, և Հայաստանը բացառություն չէ։
Ինչ է գտնվել
Երկու թերություններն էլ հիշողության հետ աշխատանքի սխալներ են։ CVE-2026-109618-ի դեպքում PHP-ն կարող է դադարեցնել հարցումի մշակումը, երբ հիշողության հատկացումը ձախողվում է, և հետո մաքրել այն տվյալները, որոնք միայն մասամբ են պատրաստվել։ CVE-2026-109619-ի դեպքում ներքին վիճակի մի մասը ավելի երկար է մնում, քան հիշողությունը, որին այն ցույց է տալիս, և նույն աշխատողի (worker) հաջորդ հարցումը կարող է կարդալ հնացած տվյալներ։ Երկուսն էլ գնահատվել են 9.2՝ 10-ից CVSS 4.0 սանդղակով։ Պարզ ասած՝ հատուկ կազմված հարցումը կարող է շփոթեցնել PHP-ի հիշողությունը և վատագույն դեպքում թույլ տալ հարձակվողին կատարել կոդ սերվերի վրա՝ առանց մուտք գործելու։
Ում է վերաբերում
Վտանգի տակ կարող է լինել ցանկացած սերվեր, որն օգտագործում է PHP վեբ էջեր սպասարկելու համար՝ PHP-FPM, Apache՝ mod_php-ով, php-cgi, LiteSpeed և FrankenPHP։ Ամենամեծ ռիսկը համարվում է Apache-ը mod_php-ով, քանի որ հարձակումը կարող է հաջողվել մինչև կայքի որևէ կոդի աշխատելը։ Հետազոտողները ցուցադրել են հարձակումներ WordPress-ի, Drupal-ի և Joomla-ի ընթացիկ կոնտեյներային տարբերակների դեմ, իսկ Wiz-ի մասնագետները, որոնք գտել են թերությունը, ասում են, որ նույնիսկ նվազագույն «Hello World» PHP էջը խոցելի տարբերակի վրա կարող է վտանգված լինել։ Wiz-ը նաև պնդում է, որ թերությունները վերաբերում են ինտերնետի մոտ 70%-ին, բայց դա նրանց սեփական գնահատականն է։
Ժամանակագրություն
- 2026-ի օգոստոսի 19–24. Wiz-ը գտնում է առաջին սխալը և հայտնում PHP նախագծին։
- Հոկտեմբերի 17. Amazon-ի «խայծ» համակարգը գրանցում է շահագործման փորձ՝ հրապարակումից չորս օր առաջ։
- Հոկտեմբերի 20. մանրամասները արտահոսում են սոցիալական ցանցերում՝ նախատեսված օրից առաջ։
- Հոկտեմբերի 21. PHP-ն թողարկում է ուղղումները և հրապարակում երկու սխալները։
- Հոկտեմբերի 26. ըստ Rapid7-ի՝ CISA-ն թերությունները ավելացնում է Known Exploited Vulnerabilities ցանկում։
Աղբյուրները տարբեր կարծիքներ ունեն, թե որքանով են թերությունները շահագործվում։ Rapid7-ը հայտնում է հանրային օրինակային կոդի և շահագործման փորձերի մասին, իսկ watchTowr-ը ասում է, որ տեսել է իրական հարձակումներ հոկտեմբերի 21-ից։ Եզրակացությունը նույնն է՝ սա պետք է համարել շտապ խնդիր։
Ինչ անել հիմա
Միակ լիարժեք լուծումը PHP-ի թարմացումն է մինչև ուղղված տարբերակ։ Ճշգրիտ տարբերակները և քայլերը նկարագրել ենք PHP2Shell-ի շտկման ուղեցույցում, ինչպես նաև PHP-ի տարբերակը ստուգելու և թարմացնելու մասին առանձին հոդվածում։
Հաճախ տրվող հարցեր
Ի՞նչ է նշանակում PHP2Shell-ը փոքր բիզնեսի կայքի համար
Եթե ձեր կայքն աշխատում է PHP-ով, իսկ գրեթե բոլոր WordPress կայքերը այդպես են, սերվերի PHP տարբերակը կարևոր է։ Չթարմացված սերվերը կարելի է հարձակման ենթարկել, նույնիսկ եթե պլագինները և թեման լրիվ թարմացված են։
Արդյո՞ք իմ WordPress կայքը կոտրվել է այս պատճառով
Պարտադիր չէ։ Թերությունը ռիսկ է ստեղծում, բայց դա չի նշանակում, որ բոլոր կայքերին հարձակվել են։ Սկզբում թարմացրեք PHP-ն, հետո ստուգեք կոտրման նշանները՝ անծանոթ ադմին օգտատերեր կամ անծանոթ PHP ֆայլեր։
Ո՞վ կարող է թարմացնել PHP-ն իմ հոսթինգում
Ընդհանուր հոսթինգում սերվերը սովորաբար թարմացնում է մատակարարը, և PHP-ի տարբերակը հաճախ կարելի է ընտրել կառավարման վահանակից։ VPS-ի կամ նվիրված սերվերի դեպքում դա պետք է անեք դուք կամ ձեր ադմինիստրատորը։
Կարդացեք նաև
- Ինչպես շտկել PHP2Shell-ը. թարմացրեք PHP-ն և պաշտպանեք ձեր կայքը
- Ինչպես ստուգել և թարմացնել ձեր WordPress կայքի PHP տարբերակը
- WordPress-ի անվտանգության ստուգացանկ բիզնես կայքերի համար
Օգնություն է պետք WordPress կայքի անվտանգության համար։ Մենք առաջարկում ենք սպասարկում, թարմացումներ և անվտանգության ստուգում։ Կապվեք մեզ հետ
