2026-yil 21-oktabr kuni AQSh Milliy xavfsizlik agentligi (NSA) internet infratuzilmasi uchun jiddiy tahdid haqida ogohlantirdi: PHP dasturlash tilida ikki kritik zaiflik topildi. PHP Foundation tuzatish yamalarini allaqachon eʻlon qilgan. Zaifliklar 2004-yilda chiqqan PHP 5 versiyasidan beri tilning barcha versiyalarida yashirinib kelgan — yaʻni ular yigirma yildan ortiq hech kimning eʻtiboriga tushmagan. Eng diqqatga sazovor jihati shundaki, bu zaifliklarni odamlar emas, sunʻiy intellekt tizimlari topgan.
NSA: yamash imkoni boʻlmasa, saytni vaqtincha oʻchiring
NSA zaifliklarni shunchalik jiddiy baholadiki, darhol yamoq qoʻllay olmaydigan veb-saytlarni tuzatish imkoni paydo boʻlguncha internetdan vaqtincha uzib qoʻyishni tavsiya qildi. Bunday keskin tavsiya davlat idorasi darajasida kam beriladi — bu zaifliklarning qanchalik ogʻir ekanini koʻrsatadi.
Bu zaifliklar hujumchilarga serverning fayl tizimiga yoki veb-ilova foydalanadigan maʻlumotlar bazasiga kirish imkonini beradi. Amalda bu saytning toʻliq egallanishi degani: fayllar oʻzgartirilishi, maʻlumotlar oʻgʻirlanishi yoki serverning oʻzi keyingi hujumlar uchun tayanch nuqtaga aylantirilishi mumkin. PHP internet saytlarining taxminan 70 foizini quvvatlaydi — bu 33 milliondan ortiq sayt degani; WordPress kabi mashhur kontent boshqaruv tizimlari ham PHPʻga asoslangan. Shunday keng tarqalgan tilagi qadimgi nuqsonlar millionlab saytlarni bir vaqtda zaif holatga soladi.
PHP 8.1 va undan eski versiyalar endi qoʻllab-quvvatlanmaydi, shuning uchun bunday versiyalarda ishlayotgan saytlar yangilanishsiz himoyaga ega emas. Hozirgi joriy versiya — PHP 8.5.12. PHPʻni qoʻllab-quvvatlovchi jamoa veb-dasturchilardan ikkita favqulodda xavfsizlik yamogʻiga tayyor turishni soʻragan.
Zaifliklarni kim va qanday topdi
Zaifliklardan biri OpenAIʻning «Patch the Planet» tashabbusi doirasida topilgan: xavfsizlik sinovlari bilan shugʻullanuvchi Calif kompaniyasi GPT-5.6 Sol modelidan foydalanib uni aniqlagan, OpenAI bu ish haqida oʻz blogida maʻlum qilgan. Bu tashabbusning maqsadi — ochiq manbali ekotizimdagi zaifliklarni sunʻiy intellekt yordamida topish va ularni masʻuliyatli ravishda oshkor qilish.
Wiz kompaniyasi esa mustaqil ravishda oʻzining Wiz Atlas xavfsizlik AI agenti hamda Gemini 4 Argon va GPT-5.6 Sol modellaridan foydalanib PHPʻda bir nechta zaiflik topgan. Ikkala jamoa ham masʻuliyatli tadqiqot amaliyotiga rioya qilgan: zaifliklar ommaga eʻlon qilinishidan oldin PHP jamoasi bilan birga yamoqlar ustida ishlagan, soʻng topilmalarni birgalikda tekshirgan. Bu muhim tafsilot — tadqiqotchilar zaifliklarni toʻgʻridan-toʻgʻri oshkor qilmadi, avval yamoq tayyorlanishini kutdi.
Wiz minnatdorchilik bildirgan kompaniyalar qatorida Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft va Vercel bor — bu kompaniyalar yamoq tarqatilishidan oldin xabardor qilingan va oʻz infratuzilmalarini tayyorlagan. WordPress oʻz bayonotida zaiflik WordPressʻga xos emasligini, biroq uning kontent boshqaruv tizimida ishlaydigan saytlar serverlarini yangilab, xosting provayderlari bilan hamkorlikda himoyani taʻminlashi kerakligini bildirgan.
"With AI this is no longer a barrier. LLMs can help adapt an exploit to different PHP versions, configurations and memory layouts," — Wiz zaifliklar haqidagi blog yozuvida.
Nega aynan hozir va nima uchun xavf yuqori
OpenAIʻning maʻlum qilishicha, zaifliklar xakerlardan oldin tadqiqotchilar tomonidan topilgan — shuning uchun hozircha ularni real hujumlarda qoʻllash holatlari qayd etilmagan. Sunʻiy intellekt paydo boʻlgunicha bu zaifliklarni xakerlar uchun ekspluatatsiya qilish juda qiyin boʻlgan: yigirma yillik kod bazasidagi murakkab nuqsonlarni qoʻlda topish deyarli imkonsiz edi.
Ammo Wiz ogohlantirishicha, sunʻiy intellekt aynan shu zaifliklarni yanada xavfli qiladi: katta til modellari hujum kodini turli PHP versiyalari, konfiguratsiyalar va xotira tuzilmalariga moslashtira oladi. Ilgari hujumchi har bir versiya uchun alohida ekspluatatsiya yozishga majbur edi — endi bu toʻsiq yoʻq. Boshqacha aytganda, bu muammo sunʻiy intellekt tufayli topilib, oldi olingan xavfsizlik muammosi — lekin u aynan sunʻiy intellekt tufayli yuqori xavf tugʻdiradi.
Muammo ommaga eʻlon qilinganidan keyin xakerlar ham undan xabardor boʻldi. Endi poyga boshlangan: xavfsizlik jamiyati yamoqsiz saytlar hujum nishoniga aylanishidan oldin ularning yangilanishini tavsiya qilmoqda. Tarix shuni koʻrsatadiki, bunday keng tarqalgan zaifliklarda yamoq chiqishi bilan uni ekspluatatsiya qilishga urinishlar bir necha kun ichida boshlanadi.
Yamoqlar chiqdi — keyingi qadam
PHP Foundation tuzatish yamalarini eʻlon qilgan, PHPʻni qoʻllab-quvvatlovchi jamoa esa dasturchilardan ikkita favqulodda yamoqqa tayyor turishni soʻragan. Tavsiya aniq: veb-serverni PHPʻning joriy versiyasiga (8.5.12) yangilash. PHP 8.1 va undan eski versiyalar qoʻllab-quvvatlanmaydi — bunday versiyadagi saytlar yangilanishsiz himoyaga ega emas. NSAʻning eng keskin tavsiyasi esa yamashni kechiktirayotganlar uchun: saytni tuzatish imkoni boʻlguncha vaqtincha oflayn qilish. Batafsil texnik tahlil TechCrunch va Ars Technica materiallarida keltirilgan.
