Бүх нийтлэлүүд
2026.10.233 min read#кибераюулгүйбайдал#Кибер аюулгүй байдал#PHP#Эмзэг байдал#Web security
Интернэтийн 70% аюулд орсон уу? PHP хэлний нууц цоорхой
Э.Доржсэмбэ
Багш
Э.Доржсэмбэ
Багш
Сүүлийн үед цахим орчинд шуугиан тариад буй PHP дээр олдсон эмзэг байдлын талаар сонссон уу? Энэ хэл дээр бичигдсэн бүх зүйлс одоо ганхаж байна.
Учир нь PHP бол дэлхий дээрх маш олон вебсайт, онлайн үйлчилгээ, байгууллагын мэдээллийн сан, нэвтрэх системийн ард ажилладаг технологийн нэг юм. Тиймээс PHP-ийн үндсэн ажиллагаанд ноцтой алдаа илэрнэ гэдэг нь зөвхөн нэг програмын асуудал биш, маш олон веб орчинд нөлөөлж болох хэмжээний эрсдэл гэсэн үг. PHP-ийн баг 2026 оны 10-р сарын 21-нд хоёр critical буюу маш аюултай түвшний эмзэг байдлын талаар анхааруулж, яаралтай шинэчлэл гаргасан байна. Эмзэг байдлын үнэлгээ гаргадаг албан ёсны CVSS v4.0 үнэлгээний системээр 9.2/10 гэж тодорхойлогдсон.
Веб технологийн хэрэглээг судалдаг W3Techs байгууллагын 2026 оны 10-р сарын 23-ны мэдээллээр сервер талын програмчлалын хэл нь тодорхойлогдсон вебсайтуудын 69.3% нь PHP ашиглаж байна гэсэн судалгаа гаргасан байна.
PHP гэдэг нь вебсайт болон веб аппликейшны сервер талын ажиллагааг боловсруулах зориулалттай, нээлттэй эхийн програмчлалын хэл юм. Өөрөөр хэлбэл, хэрэглэгчийн дэлгэц дээр шууд харагддаггүй, харин вебсайтын “арын хэсэгт” ажилладаг логикийг боловсруулахад ашиглагддаг гэсэн үг. Жишээ нь: хэрэглэгч нэвтрэх, бүртгүүлэх, захиалга хийх, мэдээллийн сантай холбогдох, хайлт хийх зэрэг олон үйлдлийг PHP боловсруулж чадна.
Өөрөөр хэлбэл, HTML, CSS нь вебсайтын харагдах бүтцийг бүрдүүлдэг бол PHP нь түүний ард ажиллах бизнес логик, мэдээлэл боловсруулалтын чухал хэсэг юм.
2026 оны 10-р сарын 21-нд PHP-ийн хөгжүүлэгчид CVE-2026-109618 болон CVE-2026-109619 гэсэн хоёр ноцтой эмзэг байдлыг засах яаралтай шинэчлэлт гаргасан. CVE (Common Vulnerabilities and Exposures) гэдэг нь программ хангамж, системд илэрсэн аюулгүй байдлын эмзэг байдлыг бүртгэж, танихад зориулсан албан ёсны дугаарлалтын систем юм. Энэхүү 2 алдааг хамтад нь PHP2Shell гэж нэрлэсэн ба учир нь PHP-ийн эмзэг байдлыг ашиглан shell буюу серверийн команд интерфейс дээр алсаас команд ажиллуулах боломжийг өгдөг. Ингэснээр халдагч таны апп, вебсайт, серверийг хүссэнээрээ удирдах боломжтой болж байгаа юм. Үүнийг RCE буюу Remote Code Execution гэж нэрлэдэг. Дээрээс нь зөвхөн сервер дээр код ажиллуулах бус, санах ойд түр хадгалагдаж буй мэдээллийг алдагдуулах эрсдэлтэй. Үүнийг Memory Disclosure буюу санах ойн мэдээлэл задрах эмзэг байдал гэдэг.
Эхний эмзэг байдал болох CVE-2026-109618 нь PHP санах ойн нөөц дууссан үед алдааг хэрхэн боловсруулдагтай холбоотой. Програмд олгосон санах ойн хязгаар дуусахад PHP тухайн хүсэлтийг зогсоох шаардлагатай болдог. Гэвч зарим тохиолдолд бүрэн боловсруулагдаагүй өгөгдлийг цэвэрлэх үйл явц санах ойн төлөвийг эвдэж, халдагчид ашиглаж болох нөхцөл үүсгэдэг байна.
Хоёр дахь эмзэг байдал болох CVE-2026-109619 нь өмнөх хүсэлтийн санах ой чөлөөлөгдсөн байхад PHP-ийн дотоод төлөв түүнд заасан холбоосоо хадгалж үлддэгтэй холбоотой. Дараагийн хүсэлт уг хүчингүй болсон санах ойн холбоосыг ашиглах үед Use-After-Free (программ санах ойн тодорхой хэсгийг чөлөөлсний дараа тухайн хэсгийг дахин ашиглах боломжтой байх) алдаа гарч болно.
PHP-ийн хөгжүүлэгчид санах ойн буруу удирдлагаас үүссэн асуудлуудыг үндсэн кодод засвар хийж шийдвэрлэсэн. Ингээд 2026 оны 10-р сарын 21-нд PHP 8.5.12, 8.4.27, 8.3.36 болон 8.2.35 гэсэн аюулгүй байдлын шинэчлэлтүүдийг гаргасан.
Байгууллагууд өөрсдийн сервер дээр ажиллаж буй PHP хувилбарыг шалгаж, шаардлагатай шинэчлэлтийг суулган, веб үйлчилгээгээ дахин шалгах хэрэгтэй. PHP 8.1 болон түүнээс өмнөх хувилбарууд албан ёсны дэмжлэгээс гарсан тул шинэ хувилбарт шилжих эсвэл тухайн системийн нийлүүлэгчээс тусгай хамгаалалтын засвар авсан эсэхээ баталгаажуулах шаардлагатай.
Галт хана болон WAF нь зарим халдлагын оролдлогыг хааж болох ч PHP-ийн үндсэн эмзэг байдлыг бүрэн засахгүй. Тиймээс шинэчлэлт хийх нь хамгийн чухал хамгаалалт юм.
PHP2Shell-ийн мэдээлэл олон нийтэд хүрсний дараа байгууллагуудын өмнө хамгийн түрүүнд тулгарсан асуудал нь өөрсдийн аль систем PHP ашиглаж байгааг тогтоох, аль нь эмзэг хувилбартай байгааг шалгах ажил болсон. Дэлхий даяар инженерүүд маш хурдан сайжруулалт хийж өөрсдийгөө хамгаалах уу? эсвэл халдагчид, хакерууд түүнээс нь өмнө халдлага хийж, хохирол учруулах уу? гэдэг аймшигтай уралдаан болж байна.
Зүгээр нэг шинэчлэх гэдэг амархан санагдаж магадгүй. Гэхдээ энэ нь таны бодож байгаагаас ч төвөгтэй. Нэг байгууллага олон вебсайт, API үйлчилгээ, контейнер, VPS, cloud сервер болон гаднын үйлчилгээ үзүүлэгчтэй байх боломжтой. Тэдгээрийн зарим нь хуучин PHP хувилбар ашигладаг, зарим нь бусад программтайгаа нягт уялдсан байдаг. Тиймээс системийн инженерүүд зөвхөн PHP-ийн хувилбарыг шинэчлэх бус, шинэчлэлтээс үүдэх нийцтэй, хэвийн байдлын асуудал, үйлчилгээний тасалдал, өгөгдлийн бүрэн бүтэн байдал, халдлагын шинж тэмдгийг зэрэг хянах шаардлагатай болж байгаа юм.
Одоо PHP2Shell яагаад сүүлийн өдрүүдэд цахим орчинд алдартай сэдэв болсныг ойлгосон байх. Дэлхий даяар өргөн ашиглагддаг технологид илэрсэн ганц л эмзэг байдал олон сая вебсайтын аюулгүй байдалд эрсдэл учруулж болох юм.