PHP-ийн хоёр ноцтой цоорхой интернетийг сүйрүүлэх шахсан
Лхагва гарагт PHP программчлалын хэлний PHP2Shell гэж нэрлэгдсэн хоёр цоорхойн засварыг PHP Foundation олон нийтэд гаргасан. Эдгээр цоорхойгоор нууц үггүйгээр системд нэвтэрч болдог тул олон байгууллага вэбсайтаа түр хаасан. Мэргэжилтнүүд олон систем засвар хийгдээгүй хэвээр байгааг анхааруулж байна.
PHP бол хэдэн арван жилийн настай, нээлттэй эхийн вэб технологи. Түүний хоёр цоорхойг саяхан ашиглах арга олдсон. Цоорхойг PHP2Shell гэж нэрлэсэн бөгөөд CVE-2026-109618, CVE-2026-109619 гэсэн албан ёсны дугаартай. Эдгээрийг ашиглавал PHP ажиллуулдаг вэбсайт, сервер рүү нууц үггүйгээр нэвтэрч, өгөгдлийг нь өөрчилж болно.
PHP-ийг хөтөлдөг PHP Foundation лхагва гарагт засварыг олон нийтэд гаргасан. Үүнээс өмнө PHP-д түшиглэдэг зарим томоохон компани, вэб хостинг үйлчилгээ үзүүлэгчид засварыг эрт авсан байна. Засварыг тодорхой хугацаа хүртэл нууцалсан (embargo) нь тэдэнд түрүүлж суулгах боломж олгох зорилготой байв.
Лхагва гарагаас эхлэн засгийн газрууд иргэд, вэбсайттай компаниудад арга хэмжээ авахыг уриалсан. Банк, дэлгүүр, тоглоомын сайт, эмнэлэг, төрийн зарим байгууллага системээ засахын тулд сервер, үйлчилгээгээ түр хаасан. Одоогоор их хэмжээний халдлага гараагүй гэж мэдээлэгдсэн ч олон систем засвар хийгдээгүй, эмзэг хэвээр байна гэж судлаачид анхааруулав.
Цоорхойг Calif компанийн судлаачид олсон. Тэд 2024 онд анх илрүүлсэн ч тэр үед ашиглах боломжгүй гэж үзэж, засаагүй байв. Саяхан ашиглах арга олдсон тул PHP Foundation-д мэдэгдсэн. Хүний оролцоогүйгээр алсаас, холбоос дарах шаардлагагүйгээр системийг бүрэн хянах боломж олгодог тул энэ төрлийн цоорхой хамгийн хортой нэгд тооцогддог. PHP нь вэбийн ойролцоогоор 70 хувьд ашиглагддаг. WordPress, Drupal, Joomla, Википедиа ажилладаг MediaWiki зэрэг нь түүнд тулгуурладаг.
Calif нь OpenAI болон Wiz компаниудын Hack the Planet санаачилгад оролцож байсан бөгөөд Wiz нь тэдний гаргасан нотолгоог баталгаажуулсан. Судлаачдын тайлбарласнаар хиймэл оюун цоорхойг ашиглахад тусалсан ч ихэнх ажил нь PHP-ийн кодын талаарх тэдний өөрсдийн мэдлэг дээр тулгуурласан. Calif: "Энгийн промптоор бүх цоорхойг олж чадах загвар байхгүй. Ядаж одоохондоо."
Засвар гарахаас өмнө ч халдлага болсон байна. Amazon блогтоо засвараас ойролцоогоор долоо хоногийн өмнө PHP2Shell-ийг ашигласныг илрүүлснээ мэдэгдэж, хамгаалагчид 10 дугаар сарын 17-ноос эхлэн ул мөр хайхыг зөвлөсөн. Халдагч мэдээллийг хэрхэн олсон нь тодорхойгүй. PHP Foundation нэг компани засварыг хориглосон хугацаанаас хэдэн цагийн өмнө нийтэлсэн гэж буруутгасан ч энэ нь Amazon-ы тэмдэглэсэн долоо хоногийн үйл ажиллагааг тайлбарлахгүй. Пүрэв гарагийн орой Palo Alto Networks болон Trail of Bits халдлага амжилттай болсныг баталгаажуулсан ч хохирогч тодорхойгүй байна.
Cloudflare-ийн гүйцэтгэх захирал Matthew Prince энэ долоо хоногт мэдээлснээр, цоорхойг ашиглах оролдлогын тоо огцом өссөн. PHP нь вэб серверээс гадна хөгжүүлэгчийн хэрэгсэл, роутер, хадгалах төхөөрөмж, галт хана, VPN зэрэгт ашиглагддаг. Тиймээс жижиг IT баг, ганцаарчилсан хөгжүүлэгчид удаан шинэчилж магадгүй. Шинэчлэх боломжгүй хуучин системүүдэд үр дагавар хэдэн жил үргэлжилж болзошгүй.
Нийтлэлийн зохиогчийн дурдсанаар PHP нь санах ойн хувьд аюулгүй бус (memory unsafe) хэл юм. АНУ-ын Үндэсний аюулгүй байдлын агентлагийн мэдээлснээр идэвхтэй ашиглагдаж буй цоорхойн ойролцоогоор 75 хувь нь санах ойтой холбоотой. Python, Rust, Swift зэрэг санах ойн хувьд аюулгүй хэл рүү шилжих хөдөлгөөн үүнээс үүдэлтэй.
«Энгийн промптоор бүх цоорхойг олж чадах загвар байхгүй. Ядаж одоохондоо.»— Calif
Вэбсайтуудын ихэнх нь PHP ашигладаг тул вэб хөгжүүлэгчид, байгууллагууд болон энгийн хэрэглэгчдийн өгөгдлийн аюулгүй байдалд нөлөөлж болзошгүй.
Энэ мэдээ таны онлайн аюулгүй байдлын талаарх бодолд хэрхэн нөлөөлөв?
Сонгосны дараа бусад уншигчид юу гэж бодож байгааг харна. Сэтгэгдэл бичих хэсэг байхгүй — trend.mn доромжлол, хуурамч мэдээллийн оронд уншигчдын бодит хандлагыг харуулна.
Монгол буулгалт, тайлбар чипүүдийг AI хийж, тайлбар бүрийг вэб дэх эх сурвалжтай тулгасан. Хүний мэдэгдлийг үнэлсэн тайлбар редактор баталсны дараа л нийтлэгдэнэ. Алдаа олбол бидэнд мэдэгдээрэй.