N環球 
"PHP2Shell": PHP இரண்டு முக்கியமான CVSS-9.2 குறைபாடுகளுக்கு அவசர இணைப்புகளை அனுப்புகிறது
Wiz, Calif மற்றும் OpenAI இன் ஆராய்ச்சியாளர்களால் கண்டறியப்பட்ட PHP2Shell (CVE-2026-109618, CVE-2026-109619) என அழைக்கப்படும் இரண்டு முக்கியமான குறைபாடுகளை சரிசெய்து அக்டோபர் 21 அன்று PHP அவசரகால புதுப்பிப்புகளை வெளியிட்டது. ஒருங்கிணைந்த வெளிப்படுத்தலுக்கு முன்னதாக விவரங்கள் கசிந்தன, மேலும் பேட்ச் அனுப்பப்படுவதற்கு முன்பு கிளவுட்ஃப்ளேர் உண்மையான தாக்குதல்களைக் கவனித்தது. இணைய கோரிக்கைகளை வழங்கும் ஒவ்வொரு PHP நிறுவலும் பாதிக்கப்படுகிறது.
அது ஏன் முக்கியம்
இது ஆண்டுகளில் மிகவும் கடுமையான இணைய பாதிப்புகளில் ஒன்றாகும். PHP ஆனது உலகின் இணையதளங்களில் (WordPress, Drupal, Joomla) பெரும் பங்கை வழங்குகிறது, மேலும் இந்த முறை குறைபாடு மொழி இயந்திரத்திலேயே உள்ளது - சரியாக எழுதப்பட்ட தளம் கூட பாதுகாப்பை அளிக்காது. தாக்குபவர்களுக்கு கணக்கு தேவையில்லை; ஒரு கோரிக்கை சேவையகத்தில் குறியீட்டை செயல்படுத்தும்.
பாதுகாப்பு ஆராய்ச்சியில் AI இன் இரட்டைப் பாத்திரத்தின் கூர்மையான விளக்கமும் இதுவாகும்: விஸ் கூறுகையில், பல தசாப்தங்களாக குறைபாடுகள் பதுங்கியிருந்தன, மேலும் சுரண்டலை நிரூபிக்க ஒரு சங்கிலி 'மனித ஆராய்ச்சியாளர்கள் நடைமுறையில் அடையக்கூடியவற்றின் விளிம்பில்' தேவைப்பட்டது. எல்லைப்புற AI மாதிரிகள் அந்த தடையை கணிசமாகக் குறைத்து, நீண்டகால குறைபாட்டை ஒரு வேலை சுரண்டலாக மாற்றியது.
முழு அறிக்கை
PHP இன் பாதுகாப்புக் குழு அக்டோபர் 21 அன்று CVE-2026-109618 மற்றும் CVE-2026-109619 ஆகியவற்றை சரிசெய்யும் அவசரகால புதுப்பிப்புகளை வெளியிட்டது, இவை இரண்டும் CVSS v4.0 9.2 என மதிப்பிடப்பட்டது மற்றும் கூட்டாக PHP2Shell என்று பெயரிடப்பட்டது. ஒரு கோரிக்கை அசாதாரணமாக முடிவடையும் போது இரண்டும் சிதைந்த நினைவக நிலையிலிருந்து உருவாகின்றன, மேலும் தொலை குறியீடு செயல்படுத்தலை அடைய அங்கீகரிக்கப்படாத தாக்குபவர்களால் இரண்டையும் பயன்படுத்திக் கொள்ளலாம்.
PHP-FPM, Apache mod_php, php-cgi, FrankenPHP மற்றும் LiteSpeed உட்பட இணைய கோரிக்கைகளை வழங்கும் ஒவ்வொரு PHP நிறுவலும் பாதிக்கப்படுகிறது. mod_php க்கு ஆபத்து அதிகம் என்று குழு கூறுகிறது, அங்கு ஏதேனும் பயன்பாட்டுக் குறியீடு இயங்குவதற்கு முன் ஒரு நிரூபிக்கப்பட்ட சுரண்டல் தூண்டுகிறது. ஒரு குறைபாடு, மற்ற கோரிக்கைகளின் கடவுச்சொற்கள், டோக்கன்கள் மற்றும் API விசைகளை வைத்திருக்கும் தொழிலாளி நினைவகத்தை தாக்குபவர் படிக்க அனுமதிக்கலாம்.
விஸ், கலிஃப், ஓபன்ஏஐ (அதன் பேட்ச் தி பிளானட் திட்டத்தில் பங்குதாரர்) மற்றும் குவார்க்ஸ்லேப் ஆகியவற்றின் ஆராய்ச்சியாளர்களால் குறைபாடுகள் கண்டறியப்பட்டன. திட்டமிட்ட ஒருங்கிணைந்த வெளிப்பாட்டிற்கு முன்னதாக அக்டோபர் 20 அன்று தொழில்நுட்ப விவரங்கள் கசிந்தன, PHP ஒரு நாள் முன்னதாக வெளியிட தூண்டியது. அக்டோபர் 21 அன்று பேட்ச் அனுப்பப்பட்டு WAF விதிகளை செயல்படுத்துவதற்கு முன்பு தனது வாடிக்கையாளர்களுக்கு எதிரான தாக்குதல் போக்குவரத்தை கவனித்ததாக Cloudflare கூறியது. பல டச்சு மற்றும் ஜப்பானிய தளங்கள் (டச்சு DigiD சேவை மற்றும் பிரதிநிதிகள் சபையின் இணையதளம் உட்பட) முன்னெச்சரிக்கையாக ஆஃப்லைனில் சென்றன.
நிர்வாகிகள் உடனடியாக PHP 8.5.12, 8.4.27, 8.3.36 அல்லது 8.2.35 க்கு புதுப்பிக்குமாறு கேட்டுக் கொள்ளப்படுகிறார்கள்; PHP 7 மற்றும் அதற்கு முந்தையது அதிகாரப்பூர்வ புதுப்பிப்புகளைப் பெறாது.
💬 Comments
No comments yet. Be the first!