OpenAI-дың php2shell тексергіші PHP тәуекелдерін көрсетеді, бірақ оның қауіпсіз екенін дәлелдемейді
OpenAI PHP орнатылымдарының CVE-2026-109618 және CVE-2026-109619 атты екі аса қауіпті осалдыққа ұшырауы мүмкін екенін тексеруге арналған php2shell-checker ашық кодты құралын шығарды. Бұл осалдықтар арнайы жасалған HTTP сұраулары арқылы аутентификациядан өтпеген шабуылдаушыларға серверде код орындатуға мүмкіндік беруі мүмкін.
php2shell-checker құралын Codex дағдысы ретінде немесе Node.js пәрмені арқылы іске қосуға болады. URL мекенжайын тексергенде құрал тек HEAD сұрауын жіберіп, сервер тақырыптарын оқиды; эксплойт коды жіберілмейді. Нәтижелер OK, VULNERABLE немесе UNKNOWN деп белгіленеді. Автоматты сканерлеу үшін JSON пішіміндегі шығыс та қолжетімді.
OpenAI OK нәтижесі нұсқа нөмірлеріне негізделетінін және түзетудің тиімді екенін тәуелсіз түрде тексермейтінін ескертеді. Жасырылған тақырыптар мен Linux жүйесіне кері көшірілген қауіпсіздік түзетулері де UNKNOWN нәтижесін беруі мүмкін; бұл жүйеге патч орнатылған дегенді білдірмейді. Әкімшілер PHP нұсқасын ресми қауіпсіздік нұсқауларымен салыстырып тексеріп, түзетілген нұсқаға жаңартуы керек. CISA PHP 8.5.12, 8.4.27, 8.3.36 және 8.2.35 нұсқаларын түзетілген нұсқалар ретінде көрсетті.
Бұл мәселе криптовалюта компаниялары үшін маңызды, өйткені көптеген веб-сайт PHP қолданады, соның ішінде биржалардың немесе жобалардың беттері орналастырылуы мүмкін платформалар да бар. Бұзылған сайт фишинг үшін немесе әмиян мекенжайларын өзгерту үшін пайдаланылуы мүмкін. Құрал бастапқы түгендеуге көмектеседі, бірақ патч орнатуды немесе веб-қосымшаларға арналған брандмауэр қорғанысын алмастырмайды.
Neutral
php2shell-checker құралының шығарылуы — киберқауіпсіздік саласындағы жаңалық, криптовалюта бағасына тікелей әсер ететін фактор емес. Ол токендер ұсынысын, протокол экономикасын, реттеуші жағдайды немесе саудаға қолжетімділікті өзгертпейді, сондықтан нарықтың бірден әрі кең ауқымда реакция білдіруі екіталай. Дегенмен трейдерлер криптовалюта биржаларының немесе криптожобалар веб-сайттарының бұзылғаны туралы хабарларды бақылауы мүмкін, өйткені мұндай оқиғалар фишингке, әмиян мекенжайларын өзгертуге немесе қызметтердің уақытша үзілуіне әкелуі ықтимал. Мақалада байқалған осалдықты пайдалану жағдайлары туралы қарама-қайшы мәліметтер келтірілген, сондықтан кез келген оқиғаның ауқымы белгісіз.
Қысқа мерзімде нарыққа ықтимал негізгі әсер көңіл күйге байланысты болып, жекелеген компанияларға ғана қатысты болады: расталған бұзушылық зардап шеккен платформаға деген сенімді әлсіретіп, оның токені немесе байланысты активтердің құбылмалылығын арттыруы мүмкін. Бұл бұрынғы Log4Shell сияқты кеңінен талқыланған бағдарламалық осалдықтарға ұқсайды: сол кезде назар криптонарықтағы біркелкі қозғалысқа емес, шабуылға осал қызметтер мен операциялық тәуекелдерге ауды. Ұзақ мерзімде бұл құрал қауіпсіздікті тексеруді жеделдетуге ықпал етуі мүмкін, бірақ жүйелерді өзі жөндемейді; жаңартулар, WAF арқылы қорғау және тиісті тексеру бәрібір қажет. Жалпы алғанда, бұл жаңалықты кеңірек криптонарық үшін бейтарап деп бағалаған жөн, алайда кейіннен бұзылғаны расталған кез келген платформа үшін шартты түрде төмендеу қаупі бар.