Աշխարհի տեղեկատվական անվտանգության թիմերը շտապ կարգով պաշտպանում են վեբ սերվերները PHP ծրագրավորման լեզվում հայտնաբերված երկու կրիտիկական հեռավար կոդի գործարկման խոցելիությունների բացահայտումից հետո, որոնք հայտնի են որպես PHP2Shell և հետևվում են որպես CVE-2026-109618 և CVE-2026-109619։ PHP-ի մշակման թիմի կողմից թողարկված վթարային թարմացումները վերաբերում են այն խնդիրներին, որոնք ազդում են վեբ հարցումներ սպասարկող բոլոր PHP տեղադրումների վրա, ընդ որում՝ հիմքում ընկած թերությունները գոյություն են ունեցել տասնամյակներ շարունակ։ Մինչ ադմինիստրատորները շտապում են տեղադրել շտկումները, հետազոտությունները ցույց են տալիս, որ չարագործներին հաջողվել է թիրախավորել խոցելիությունները հանրային զգուշացումների հրապարակումից օրեր առաջ։
Համաձայն WIRED-ում հրապարակված վերլուծության՝ Amazon Web Services-ը բացահայտել է, որ առնվազն մեկ հարձակվող փորձել է շահագործել խոցելիությունները հոկտեմբերի 17-ին՝ ուղղումների և հանրային բացահայտման պաշտոնական հրապարակումից չորս օր առաջ։ AWS-ի վերլուծաբանները հայտնաբերել են այս ակտիվությունը՝ ստուգելով ներքին հոնիպոտների (խաբուսիկ սերվերների) ցանցի գրանցամատյանները և նշելով, որ հարձակումը ծագել է առևտրային անանունացման պրոքսի ցանցի հետ կապված IP հասցեից։ AWS-ի տեղեկատվական անվտանգության գծով գլխավոր տնօրեն Սի Ջեյ Մոզեսը նշել է, որ չնայած խոցելիությունը գտնվել է խիստ արգելքի տակ, անանուն աղբյուրից խաբուսիկ սերվերի թիրախավորումը վկայում է նպատակաուղղված սպառնալիքի գործողության մասին, թեև հարձակվողի կողմից շահագործման մանրամասները նախապես ստանալու հստակ եղանակը դեռևս անհայտ է։
Տասնամյակների վաղեմություն ունեցող ճարտարապետական թերություններ
PHP2Shell անվանումն ընդգրկում է երկու առանձին խոցելիություններ, որոնք կարող են չհաստատված հեռավար կոդի գործարկում ապահովել վեբ սերվերների վրա նախքան որևէ հավելվածի կոդի գործարկումը։ Համաձայն Help Net Security-ի՝ CVE-2026-109618-ը բխում է հիշողության սպառման կոռուպցիայից, երբ ոչ պատշաճ մշակումն ընդհատում է PHP-ն, մինչդեռ ներքին հարցման տվյալները միայն մասամբ են նախաստեղծվել, ինչը թույլ է տալիս մաքրման գործընթացներին անվավեր տվյալները դիտարկել որպես վավեր։ Միևնույն ժամանակ, CVE-2026-109619-ը ներառում է հնացած գլոբալ վիճակ, որը պահպանվում է այն բանից հետո, երբ դրա հիմքում ընկած հիշողությունն ազատվել է, ինչի հետևանքով հաջորդ հարցումները մշակում են այդ հնացած տվյալները նախքան նորմալ նախաստեղծման զրոյացումը։
Wiz-ի անվտանգության հետազոտողները բացատրել են, որ այս խորը արմատացած ճարտարապետական թերությունների շահագործելիության ապացուցումը պահանջել է մարդկային հետազոտական հնարավորությունների սահմաններում գտնվող բացառապես բարդ քայլերի հաջորդականություն։ Այնուամենայնիվ, արհեստական բանականության ժամանակակից մոդելները զգալիորեն նվազեցրել են այդ արգելքը՝ երկար տարիների թերությունը վերածելով գործող շահագործման գործիքի։ Տուժել է վեբ տրաֆիկը սպասարկող բոլոր ստանդարտ PHP տեղադրումները, ներառյալ PHP-FPM-ը, Apache mod_php-ով, php-cgi-ն, FrankenPHP-ն և LiteSpeed-ը, ընդ որում՝ mod_php կոնֆիգուրացիաները բախվում են ամենաբարձր ռիսկային մակարդակին։
Խոցելիության կրճատվող պատուհանը
Հոկտեմբերի 17-ի նախնական բացահայտման շահագործման փորձն ընդգծում է կիբերանվտանգության բնագավառում առկա կառուցվածքային տեղաշարժը։ Անվտանգության փորձագետները զգուշացնում են, որ ավտոմատացված վերլուծությունն ու արհեստական բանականության գործիքները կտրուկ կրճատում են խոցելիության ուղղման և աշխատող շահագործման միջև ընկած ժամանակահատվածը։ Նախկին անվտանգության ցիկլերում պաշտպանները կարող էին հույս դնել էմբարգոյի ժամանակահատվածի վրա՝ թարմացումները տեղադրելու համար, նախքան հմուտ հարձակվողները հակադարձ ինժեներիայի ենթարկեին զգուշացումները։ Այժմ ավտոմատացված վերլուծությունն այդ պատուհանը կրճատում է մինչև ժամեր կամ նույնիսկ րոպեներ։
Սպառնալիքի լրջությանը հակազդելու նպատակով Մեծ Բրիտանիայի Ազգային կիբերանվտանգության կենտրոնը կոչ է արել կազմակերպություններին դիտարկել անհապաղ չշտկվող ցանկացած խոցելի համակարգ անջատելու հնարավորությունը։ Cloudflare-ը հաճախորդների բոլոր մակարդակներում տեղակայել է վեբ հավելվածների պատնեշի սկզբնական կանոններ՝ հայտնի շահագործման վեկտորների դեմ, մինչդեռ կամավորների կողմից սպասարկվող շտեմարանները խորհուրդ են տվել օգտատերերին անմիջապես անցնել պաշտոնական բաշխման փաթեթներին կամ կառուցել ելային կոդից՝ անհապաղ թարմացումներ ապահովելու համար: