PHP zaifligi bo'yicha post-mortem: xatolik ikki yil oldin ma'lum bo'lgan

2026-yil oktyabr oyida OpenAI’ning GPT 5.6-Sol modeli ochiq kodli PHP dasturlash tilida kritik zaifliklarni aniqladi. Eʼlon qilingan post-mortem maʼlumotlariga koʻra, dasturchilar jamoasi bu muammo haqida naqd ikki yil oldin xabardor boʻlgan, biroq uchinchi tomon kengaytmalari bilan moslikni saqlash borasida ikkilanib qolgan.

• Sun'iy intellekt yordamida avtomatlashtirilgan xatolarni qidirish jarayoni zaifliklarni aniqlash muddatlarini keskin qisqartirdi.
• Internetdagi veb-saytlarning qariyb 70 foizi PHP’da ishlaydi va ularning 73 foizi qo'llab-quvvatlanmaydigan eskirgan versiyalardan foydalangan.
• Nosozlikning tub ildizi PHP dvigatelining xatolarni qayta ishlashdagi longjmp() funksiyasidan foydalanishiga borib taqaladi.
• Hozirda tarqalayotgan PHP2Shell eksployti xakerlarga serverlarda ixtiyoriy kodni bajarish imkonini bermoqda.

Arhitekturaviy xato va longjmp() funksiyasining roli

Muammoning texnik sababi PHP dvigatelining xatolarni boshqarish mexanizimidagi eski arxitekturaviy qarorga borib taqaladi. PHP jarayoni xotirasi tugaganda u longjmp() C-funksiyasini chaqiradi, bu esa bajarilish jarayonini darhol boshqa joyga ko'chirishni anglatadi.

Asosiy muammo shundaki, agar bunday sakrash ma'lumotlar tuzilmasini shakllantirish paytida yuz bersa, chala qolgan ma'lumotlar xotirada qolib ketadi. PHP dvigatelini tozalash mexanizmi ishga tushganda, u to'liq bo'lmagan baytlar ustida ishlaydi va bu xavfsizlik teshigini yuzaga keltiradi.

PHP Fondining tan olishe va eskirgan versiyalarning ulushi

PHP Fondi boshqaruvdagi xatolarga yo'l qo'yilganini tan oldi, chunki bitta asosiy xodim va 14 nafar vaqtinchalik pudratchidan iborat kichik jamoa internetdagi eng ommabop dasturlardan birini qo'llab-quvvatlashga qiynalgan edi. Saytlarning katta qismi hali ham PHP 7 va undan eski versiyalarda qolgani vaziyatni yanada og'irlashtirdi.

Ko'pchilik tizim administratorlari Linux distributivlari xavfsizlik yamoqlarini o'zi yetkazib berishiga umid qilgan edi. Biroq millionlab serverlarning bir xil eskirgan versiyalarda qolishi xakerlar uchun keng ko'lamli nishonni yaratdi.

Himoya choralari va PHP2Shell eksploytining oqibatlari

PHP2Shell eksployti tarqalishi fonida ishlab chiquvchilar va tijorat vendorlari PHP 5.6 dan boshlab eski versiyalar uchun ham maxsus yamoqlar va paketlar chiqara boshladi. CloudLinux, AlmaLinux va turli Debian dasturchilari eskirgan versiyalar uchun xavfsizlik yangilanishlarini taqdim etdi.

Vaqtinchalik himoya sifatida Cloudflare, Fastly va Immunify360 kabi WAF tizimlari, shuningdek CrowdStrike xavfsizlik vositalari zararli so'rovlarni bloklashga kirishdi. Mutaxassislar esa barcha tizimlarni yangi va qo'llab-quvvatlanadigan PHP versiyalariga o'tkazishni tavsiya qilmoqda.

Bu dasturchilar va biznes uchun nimani anglatadi: PHP2Shell hodisasi texnik qarz va ochiq kodli loyihalardagi mablag' yetishmovchiligi qanday oqibatlarga olib kelishini yana bir bor ko'rsatdi. O'zbekiston va MDH mamlakatlaridagi IT-kompaniyalar o'z serverlaridagi PHP versiyalarini zudlik bilan tekshirib, xavfsizlik choralarini kuchaytirishlari zarur.