Шабуылдаушылар PHP бағдарламалау тіліндегі PHP2Shell деп аталатын аса қауіпті осалдықтарды алғаш рет сәтті пайдаланды. Әлемдегі сайттардың шамамен 70%-ы, оның ішінде қазақстандық сайттардың басым бөлігі осы тілде жұмыс істейді. Мұндай шабуыл құпиясөзсіз-ақ веб-серверді басып алуға және оның жадынан құпиясөздерді, қолжетімділік кілттерін, пайдаланушылардың сессия деректерін шығарып алуға мүмкіндік береді. Зерттеушілер расталған бұзуды 24 қазанда тіркеді. Бұл туралы BleepingComputer хабарлайды.
Әңгіме CVE-2026-109618 және CVE-2026-109619 деген екі қатеге қатысты. Екеуі де кодты қашықтан орындауға жол ашады: хакер сайтқа арнайы құрастырылған сұрау жіберсе болғаны, бөтен серверде өз командаларын іске қоса алады. Қателер PHP-дің өз «қозғалтқышында» болғандықтан, WordPress, 1С-Битрикс, Laravel, Drupal, Joomla, Magento және басқа да танымал платформалардағы сайттар қауіп төнген аймақта тұр.
Шабуылды Perplexity компаниясының қауіптерді анықтау тобының басшысы Адель Карими «тұзақ» серверлерде байқаған. Бұл — интернетке әдейі қойылған осал серверлер. Оның айтуынша, бұл жай ғана ақау емес, «кодтың қашықтан орындалғаны расталған» жағдай: шабуылдаушылар алдымен сервер жадынан шамамен 800 КБ дерек шығарып алып, кейін оны шабуылдың келесі кезеңінде қолданған. Бұл тұжырымды Expel компаниясының зерттеушісі Маркус Хатчинс тексеріп, растады. Карими шабуыл бұзушыларға қолайлы сервер баптауында жасалғанын ескертті. Сондықтан оның басқа серверлерде қаншалықты сенімді жұмыс істейтіні әзірге белгісіз.
PHP әзірлеушілері түзетулерді 21 қазанда шығарды: 8.2.35, 8.3.36, 8.4.27 және 8.5.12 нұсқалары қорғалған. Ескірген 7.4, 8.0 және 8.1 нұсқалары үшін команда жамауларды бастапқы код түрінде жариялады, бірақ бұл нұсқаларға ресми қолдау енді көрсетілмейді. Amazon шабуыл әрекеттерін жаңартулар шығудан төрт күн бұрын, 17 қазанда-ақ тіркеген. VirusTotal бағалауынша, интернетте PHP орнатылған 5,1 млн-нан астам сервер бар.
23 қазанда әзірлеушілер үшінші осалдық — CVE-2026-115560 туралы да хабарлады. Оған әзірге түзету жоқ. Ол тек баптаулар мен сайт кодының сирек үйлесімінде ғана қауіпті. Жамау шыққанға дейін әкімшілерге PHP баптауларында файл жүктелуін бақылауды өшіру ұсынылады (session.upload_progress.enabled=0 параметрі).
Қазақстанда PHP2Shell туралы 22 қазанда Компьютерлік инциденттерге ден қою қызметі KZ-CERT ескертті. Қызмет сайттың өз кодын түзету жеткіліксіз екенін, серверлік ортаны жаңарту қажет екенін атап өтті. KZ-CERT қазақстандық мемлекеттік жүйелер, банктер мен ірі сервистер жаппай бұзылғаны туралы расталған дерек келтірген жоқ. eGov-қа қызмет көрсететін «Ұлттық ақпараттық технологиялар» АҚ бұған дейін бұл осалдықтар eGov.kz порталына әсер етпейтінін, портал қалыпты режимде жұмыс істеп тұрғанын мәлімдеген.
PHP2Shell туралы белгілі болған кезде Еуропаның бірнеше елі жаңартуларды орнату үшін мемлекеттік сайттарын уақытша өшірді. Олардың қатарында Нидерланды, Финляндия, Франция, Германия және Чехия бар.
Сайт иелері мен әкімшілері PHP нұсқасын тексеріп, оны 8.2.35, 8.3.36, 8.4.27 немесе 8.5.12 нұсқасына дейін жаңартуы және веб-серверді қайта іске қосуы керек. Қарапайым пайдаланушыларға сайт не сервис бұзылғаны туралы хабарласа, құпиясөзді ауыстырған, әр сайтқа бір құпиясөзді қолданбаған және мүмкін болған жерде екі факторлы аутентификацияны — SMS немесе қосымшадан келетін қосымша кодпен кіруді қосқан жөн.
