Dünyada internet saytlarının 70 faizindən çoxunda istifadə olunan PHP proqramlaşdırma dilində iki kritik təhlükəsizlik boşluğu aşkarlanıb. Dünya üzrə səlahiyyətli qurumlar dövlət saytlarını müvəqqəti bağlamağa məcbur olublar. ABŞ Milli Təhlükəsizlik Agentliyi (NSA) yeniləmələri dərhal tətbiq edə bilməyən təşkilatlara saytlarını müvəqqəti bağlamağı tövsiyə edib. Təhlükəsizlik boşluqları süni intellektdən istifadə edilməklə aşkarlanıb.
Qaynarinfo xəbər verir ki, internet saytlarının böyük əksəriyyətinin fəaliyyətini təmin edən PHP proqramlaşdırma dilində aşkar edilmiş təhlükəsizlik boşluqları dünya üzrə həyəcan siqnalına səbəb olub. Yeni müəyyən edilmiş boşluqlara qarşı tədbir olaraq, bir sıra ölkələrdə dövlət saytları müvəqqəti olaraq oflayn rejimə keçirilib.
ABŞ Milli Təhlükəsizlik Agentliyi (NSA) çərşənbə günü PHP-dəki boşluqlarla əlaqədar nadir hallarda yayımladığı ictimai xəbərdarlıqla çıxış edərək, dərhal yenilənə bilməyən saytların fəaliyyətinin dayandırılmasını tövsiyə edib.
NSA sosial şəbəkədəki paylaşımında bildirib: “Dərhal qüvvəyə minməklə, sistemlərində PHP-dən istifadə edən bütün təşkilatlara iki kritik boşluğu aradan qaldıran yeniləməni tətbiq etməyə hazır olmaları tövsiyə olunur”.
Avropada dövlət saytları oflayn rejimə keçirilib
Almaniyanın Federal Rəqəmsal Transformasiya və Dövlət Modernləşdirilməsi Nazirliyi bəzi saytları qabaqlayıcı tədbir olaraq müvəqqəti bağladığını açıqlayıb. Fransanın Daxili İşlər Nazirliyi yerli inzibati qurumların rəsmi saytlarının fəaliyyətini dayandırmağa məcbur edib. Belçika, Niderland, Finlandiya və Çexiyadakı səlahiyyətli qurumlar da PHP boşluğunu aradan qaldırmaq üçün təhlükəsizlik yeniləmələrini tətbiq etmək məqsədilə saytları bağladıqlarını bildiriblər. Yaponiyanın Baş naziri Sanae Takaiçi də sosial şəbəkədə PHP ilə bağlı risk barədə xəbərdarlıq edib.
Kibertəhlükəsizlik mütəxəssisləri “PHP2Shell” adlandırılan iki boşluğu süni intellekt modellərinin köməyi ilə aşkarlayıblar. “Calif” təhlükəsizlik şirkətinin tədqiqatçıları “OpenAI” ilə əməkdaşlıq çərçivəsində ilk boşluq barədə avqustun 11-də məlumat veriblər. “Alphabet” şirkətinə məxsus “Wiz” təhlükəsizlik şirkəti isə ikinci boşluğu avqustun 24-də qeydə alıb.
“Wiz” bu boşluqların “PHP-də aşkarlanmış ən ciddi təhlükəsizlik boşluqları arasında, hətta proqram təminatı tarixindəki ən təhlükəli boşluqlardan biri ola biləcəyini” bildirib.
Şirkətin açıqlamasına görə, bu boşluqların əsasını təşkil edən proqram xətaları onilliklərdir mövcud olsa da, onların real hücumlar üçün istifadə oluna biləcəyini sübut etmək insan tədqiqatçılarının praktik imkanlarının sərhədlərini aşan bir sıra addımlar tələb edib.
Süni intellekt boşluqları tədqiqatçılardan əvvəl aşkarlayıb
Süni intellekt alətləri tədqiqatçılara proqram təminatındakı boşluqları müəyyənləşdirmək üçün insan proqramçıların təkbaşına yoxlaya biləcəyindən daha çox hücum ssenarisini sınaqdan keçirmək imkanı verib.
PHP proqramlaşdırma dili könüllülər tərəfindən dəstəklənir. Qeyri-kommersiya təşkilatı olan PHP Assosiasiyası çərşənbə günü açıqlamasında aşkarlanmış boşluqların qarşılaşdıqları ən ciddi problemlərdən biri olduğunu bildirib və veb-sayt administratorlarını kodlarını dərhal yeniləməyə çağırıb.
Hər iki boşluq yaddaşın müəyyən hissələrinə icazəsiz daxil olmaq və bu imkandan zərərli kodu işə salmaq üçün istifadə etməklə bağlıdır. Bu isə hücumçunun köhnə PHP kodunu işlədən serverdə internet vasitəsilə parol və ya etibarlı hesab məlumatları olmadan uzaqdan əmrlər icra edə bilməsi deməkdir.
PHP Assosiasiyası süni intellektin bu cür təhlükəsizlik zəifliklərinin aşkarlanmasını asanlaşdıracağı barədə xəbərdarlıq edib. Təşkilat onlayn xidmətlərdə genişmiqyaslı fasilələrin qarşısını almaq üçün texnologiya şirkətlərini əlaqələndirilmiş tədbirlər görməyə çağırıb.
Assosiasiyanın açıqlamasında deyilir: “Alətlər artıq səhvləri əvvəlkindən daha sürətlə aşkarlayır. Bu, həm müdafiəçilərə, həm də hücumçulara aiddir. PHP boşluğu kimi hesabatların sayı artmaqda davam edəcək”.
Texnologiya şirkətlərinə əlaqələndirilmiş tədbirlər çağırışı
“Al Jazeera”nın məlumatına görə, PHP Assosiasiyası boşluqların ciddiliyini nəzərə alaraq veb-sayt administratorlarını kodlarını dərhal yeniləməyə çağırıb. Təşkilat vurğulayıb ki, əlaqələndirilmiş tədbirlər onlayn xidmətlərdə böyük fasilələrin qarşısını ala bilər.
Mütəxəssislər təhlükəsizlik boşluqlarının aradan qaldırılması üçün yeniləmələrin mümkün qədər tez tətbiq edilməsinin vacibliyini bildirirlər.
“Yaxın dövrün ən geniş təsirə malik təhlükəsizlik problemlərindən biri”
“OpenAI” məsələ ilə bağlı açıqlamasında son iki ay ərzində PHP-dəki kritik təhlükəsizlik boşluqlarının aradan qaldırılması üçün texniki xidmətə məsul şəxslər, tədqiqatçılar və təhlükəsizlik təminatçılarından ibarət koalisiyaya rəhbərlik etdiyini bildirib.
Şirkətin açıqlamasında deyilir: “Calif şirkəti “Patch the Planet” təşəbbüsümüz çərçivəsində GPT-5.6 Sol modelindən istifadə edərək kritik boşluq aşkarlayıb. “Wiz” də hər iki boşluğu müstəqil şəkildə aşkar edərək onlar barədə məlumat verib. PHP-yə texniki xidmət göstərənlər isə düzəlişlərə və yenilənmiş versiyanın yayımlanmasına rəhbərlik ediblər”.
“OpenAI” bildirib: “Bu boşluqların ciddiliyi və PHP-nin geniş yayılması səbəbindən onları yaxın keçmişin ən geniş təsirə malik təhlükəsizlik problemlərindən biri hesab edirik. Bu vəziyyət süni intellektin internet miqyasında təsirə malik təhlükəsizlik boşluqlarını aşkar edə bildiyini göstərir. Bildiyimiz qədərilə, ən qabaqcıl süni intellekt bu boşluqları hücumçulardan əvvəl aşkarlayıb”.
Şirkət qeyd edib ki, bu, müdafiə tərəfinə təhlükələri aradan qaldırmaq üçün mühüm zaman imkanı yaradır.
“OpenAI” həmçinin daha çox müdafiəçinin bu imkanlardan yararlanması üçün “Daybreak” proqramı çərçivəsində 1 milyard dollar dəyərində güzəştli çıxış imkanı təqdim etməyi öhdəsinə götürdüyünü açıqlayıb.
Şirkətin qiymətləndirməsinə görə, “Bu xətalar əhəmiyyətli olsa da, indiyədək aşkarladığımız və aradan qaldırılması üzərində işlədiyimiz ciddi boşluqların yalnız bir hissəsidir. Qarşıdakı aylarda oxşar aşkarlamaların sayının sürətlə artacağını gözləyirik”.
Təhlükəsizliklə bağlı tövsiyələr
“OpenAI” PHP-dəki boşluqların aradan qaldırılması üçün ilk növbədə yeniləmələrin dərhal tətbiq olunmasını tövsiyə edir. ABŞ Milli Təhlükəsizlik Agentliyi (NSA) yeniləmələri dərhal quraşdırmaq imkanına malik olmayan təşkilatlara veb-saytlarını müvəqqəti olaraq oflayn rejimə keçirməyi məsləhət görüb. PHP Assosiasiyası da sayt administratorlarını kodlarını mümkün qədər tez yeniləməyə çağırıb.
“OpenAI” bildirib ki, sistem administratorları riskə məruz qalma səviyyəsini, boşluqlardan istifadə cəhdlərini və mümkün təsirləri qiymətləndirmək üçün ABŞ-ın Kibertəhlükəsizlik və İnfrastruktur Təhlükəsizliyi Agentliyinin (CISA) prioritetləşdirmə və aradan qaldırılması təlimatlarından istifadə edə bilərlər.
Bu təlimatlara əsasən, təcili təhlükəsizlik yeniləməsinin tətbiqi, riskin dərhal azaldılması və ya planlı yeniləmə kimi müxtəlif yanaşmalar seçilə bilər. Mütəxəssislər, həmçinin sistemlərin daha əvvəl hücuma məruz qalıb-qalmadığını müəyyənləşdirmək üçün ilkin rəqəmsal ekspertiza araşdırmasının aparılmasının vacibliyini vurğulayırlar.
PHP nədir?
PHP internet saytları və veb tətbiqlər hazırlamaq üçün istifadə edilən, server tərəfində işləyən proqramlaşdırma dilidir. Adı “PHP: Hypertext Preprocessor” ifadəsinin qısaltmasıdır. Bu dil dinamik veb-səhifələrin yaradılmasına, istifadəçi məlumatlarının emalına və verilənlər bazaları ilə əlaqə qurulmasına imkan verir. PHP ilə yazılmış kodlar serverdə icra olunur və nəticələr istifadəçinin brauzerinə göndərilir.
PHP xüsusilə məzmun idarəetmə sistemlərinin, elektron ticarət platformalarının, xəbər saytlarının və onlayn xidmətlərin hazırlanmasında geniş istifadə olunur. Dünyanın ən çox istifadə edilən məzmun idarəetmə sistemlərindən biri olan “WordPress”in də əsasını PHP təşkil edir.
Açıq mənbəli olması və müxtəlif əməliyyat sistemlərində, eləcə də veb-serverlərdə işləyə bilməsi bu dili tərtibatçılar üçün çevik alətə çevirir.
PHP istifadəçilərin hesablarına daxil olmasından və onlayn ödəniş sistemlərinin fəaliyyətindən tutmuş, məzmunun avtomatik yayımlanmasına və verilənlər bazasındakı məlumatların yenilənməsinə qədər bir çox prosesdə mühüm rol oynayır.
Dil müntəzəm yenilənsə də, onun təhlükəsiz və səmərəli istifadəsi üçün tərtibatçılar aktual versiyalardan istifadə etməli, proqram xətalarını aradan qaldırmalı və zəruri təhlükəsizlik tədbirlərini həyata keçirməlidirlər.
Aydın
