PHP2Shell эмзэг байдлын зөвлөмж

PHP программчлалын хэлний цөмд илэрсэн хоёр ноцтой эмзэг байдал буюу "PHP2Shell" нь байгууллагуудыг вэб сайтаа түр хаахад хүргэсэн билээ. PHP-ийн аюулгүй байдлын баг 2026 оны 10-р сарын 21-нд яаралтай засвар гаргасан ч халдагчид засвар гарахаас өмнө ч энэ цоорхойг туршиж эхэлсэн байна.

Эмзэг байдал нь аппликейшний код ажиллахаас өмнө идэвхждэг тул WordPress, Drupal, Joomla зэрэг вебийн удирдлагын систем бүрэн шинэчлэгдсэн ч доор нь буй PHP-г шинэчлэх хүртэл эрсдэлтэй хэвээр байна. АНУ-ын CISA агентлаг 10-р сарын 26-нд энэхүү хоёр эмзэг байдлыг "идэвхтэй ашиглагдаж буй эмзэг байдал" (KEV)-ын жагсаалтад нэмсэн байна.

PHP2Shell гэж юу вэ ?

PHP2Shell нь CVE-2026-109618, CVE-2026-109619 гэсэн хоёр эмзэг байдлын нэгдсэн нэр бөгөөд CVSS 4.0 үнэлгээгээр 9.2 оноо буюу "ноцтой" түвшинд хамаардаг. Эмзэг байдлыг ашигласнаар нэвтрэх эрхгүй халдагч этгээд зөвхөн HTTP хүсэлт илгээж серверт дурын код ажиллуулах боломжтой байна.

Үзүүлэлт

Мэдээлэл

Нөлөөлөх хувилбарPHP 5.4-өөс хойшхи бүх хувилбар (14 жил)Засварласан хувилбар8.5.12, 8.4.27, 8.3.36, 8.2.35Нөлөөлөх орчинApache mod_php, PHP-FPM, php-cgi, FrankenPHP, LiteSpeedХамгийн өндөр эрсдэлApache mod_phpИнтернэтэд ил сервис~36.7 сая (Censys, 10-р сарын 22)

PHP 8.1 болон түүнээс өмнөх хувилбарууд нь хэрэглээнээс гарсан буюу албан ёсны шинэчлэлт байхгүй тул шинэ хувилбарт шилжих шаардлагатай.

Засгийн газрууд сайтаа хаав

АНУ-ын CISA болон Үндэсний аюулгүй байдлын агентлаг (NSA) нь байгууллагуудыг нэн даруй шинэчлэлтийг хийх, боломжгүй бол системээ шинэчлэх хүртэл сүлжээнээс салгахыг уриалсан. Хуучин болон дэмжлэггүй PHP хувилбар ашиглагчдад ч мөн адил зөвлөсөн.

Нидерланд, Финланд, Франц, Австрали зэрэг улсууд урьдчилан сэргийлэх үүднээс засгийн газрын зарим үйлчилгээгээ түр зогсоогоод байна. Энэ асуудлаас болж Францын Дотоод хэргийн яам сайтаа хаасан бол Канадын засгийн газар системүүдээ засварлах явцад зарим сайт түр тасалдсан ч халдлагад өртсөн шинж илрээгүй гэж мэдэгджээ.

Халдлага өргөн хүрээнд эхэлсэн

Palo Alto Networks-ийн “Unit 42” багийн судлаачид Европын нэгэн засгийн газрын байгууллагад халдсан кибер халдагчид эхний нэвтрэлтээс хойш хоёр цагийн дотор нууц үгийн хэш болон давхар баталгаажуулалтын (MFA) нууц түлхүүрт хандсан болохыг тогтоосон юм. Улмаар халдагчид системд нэвтэрсний дараах үйлдлээ автоматжуулах зорилгоор агент төрлийн хиймэл оюуны платформ ашигласныг мэдэгдээд байна.

Өөрийн веб сайтын PHP хувилбарыг шалгах

1.Docker дээр ажиллаж байгаа тохиолдолд:

docker compose pull wordpress

docker compose up -d wordpress

docker compose exec wordpress php -v

2. Веб хостинг үйлчилгээ:

Хостинг үйлчилгээ үзүүлж буй байгууллагаас cPanel руу хандаж MultiPHP Manager хэсгээс PHP хувилбарыг шалгуулах.

3. Линукс сервер дээр ажиллаж байгаа тохиолдолд:

php -v

4. Платформоор дамжуулан шалгах:

SOCRadar PHP2Shell Checker: https://socradar.io/free-tools/php2shell-checker холбоосоор хандаж байгууллагын домэйн хаягийг оруулж, тус эмзэг байдалд өртөх эрсдэлтэй эсэхийг шалгах боломжтой.

Иймд байгууллагынхаа веб серверийг болзошгүй кибер халдлагад өртөхөөс урьдчилан сэргийлэх үүднээс ашиглаж буй PHP хувилбараа шалгаж, аюулгүй байдлын шинэчлэлтийг хийхийг зөвлөж байна.

Мөн PHP ашиглагдаж буйг баталгаажуулсан тохиолдолд веб серверийн хандалт, алдааны гэх логуудыг 10 дугаар сарын байдлаар шалгаж сэжигтэй хүсэлт хандалт, тус төрлийн эмзэг байдал ашиглагдсан байж болзошгүй нөхцөл байдлыг тогтооно уу. Цаашид байгууллагын мэдээллийн системтэй холбоотойгоор гарч буй эмзэг байдлын мэдээллүүдтэй цаг тухайд танилцаж, шинэчлэл засварыг цаг тухайд хийж хэвших дадлыг бий болгох нь шаардагдах асуудал юм.

Эх сурвалж: Bleepingcomputer

Tenable

Cybersecurity and Infrastructure Security Agency