Вэбийн 70%-ийг донсолгосон "PHP2Shell": AI-ийн илрүүлсэн критикал цоорхой ба хөгжүүлэгчдийн авах арга хэмжээ

Интернет ертөнцийг сандаргасан 24 цаг

Сүүлийн 24 цагийн дотор дэлхийн мэдээллийн аюулгүй байдлын ертөнцөд жинхэнэ түгшүүр зарлагдлаа. Дэлхийн нийт вэбсайтуудын бараг 70 орчим хувийг (WordPress, Laravel, Drupal тэргүүтэй системүүд) нуруун дээрээ үүрч явдаг PHP хэлний цөмөөс (core runtime) нэвтрэх эрх шаардахгүйгээр алсаас дурын код ажиллуулах (Remote Code Execution - RCE) боломжтой маш ноцтой хоёр цоорхой илэрлээ.

CVE-2026-109618 болон CVE-2026-109619 дугаараар бүртгэгдсэн уг эмзэг байдлыг олон улсад "PHP2Shell" хэмээн нэрлэж, аюул заналын түвшинг нь CVSS v4.0 9.2 (Critical) гэж үнэлсэн байна. Уг цоорхойтой холбоотой мэдээлэл цацагдмагц Финландын засгийн газар зарим цахим үйлчилгээгээ түр зогсоож, дэлхийн кибер хамгаалалтын агентлагууд (NSA, CERT-EU) бүх байгууллагуудад "нэн даруй патч суулгах, эсвэл түр хугацаанд системээ олон нийтийн сүлжээнээс салгах"-ыг зөвлөлөө.

Хамгийн жихүүдэс төрүүлэм зүйл нь: уг цоорхойг илрүүлж, бодит халдлага хийх боломжтой (exploit) гинжин хэлхээг тайлсан нууц түлхүүр нь хамгийн сүүлийн үеийн хиймэл оюун ухааны (AI) загварууд байв.

AI кибер аюулгүй байдлын тоглоомын дүрмийг хэрхэн өөрчлөв?

PHP2Shell нь зүгээр нэг энгийн буг биш юм. Уг асуудлын суурь нь 2012 оны PHP 5.4 хувилбараас хойш бараг 12 жилийн турш кодонд явж байжээ. 2024 оны кодын аудит хийх үеэр PHP-ийн үндсэн хөгжүүлэгчид санах ойн (OOM) гажилтыг ажиглаж байсан ч, тухайн үед "үүнийг бодит халдлага (exploit) болгох нь хэтэрхий төвөгтэй, боломжгүй" гэж үзэн хойш тавьж байсан түүхтэй.

Гэвч аюулгүй байдлын Wiz болон Calif, OpenAI багийнхан frontier AI моделиудыг (Gemini Argon, GPT Sol) ашиглан уг кодыг дахин шинжлэхэд огт өөр үр дүн гарчээ.

"Орчин үеийн шилдэг AI модель, зөв арга барилын ачаар ганцхан судлаач урьд нь дэлхийн шилдэг баг саруудаар нухаж хийдэг байсан гинжин эксплойтын судалгааг ердөө долоо хоногийн дотор дуусгалаа." — Wiz судалгааны баг

AI нь хүний нүдэнд төдийлөн харагдахгүй C хэлний нарийн төвөгтэй санах ойн зөрчлүүд, longjmp() удирдлагын алдааг хооронд нь холбож, найдвартай ажиллах эксплойт бичиж чадсан нь AI-ийн эрин үед хамгаалалт болон халдлагын хурд ямар хэмжээнд хүрснийг харууллаа.

Техникийн цаад учир: Алдаа яг юунд байв?

Энэхүү халдлага нь хөгжүүлэгчийн бичсэн бизнесийн кодын алдаа биш, харин PHP хэлний үндсэн runtime-ийн алдаа юм. Тухайлбал, зүгээр л echo "OK"; гэж хэвлэдэг хов хоосон хуудас байсан ч сервер дээрээ халдлагад өртөх эрсдэлтэй гэсэн үг.

Халдлага хоёр үндсэн механизмоор хэрэгждэг:

CVE-2026-109618 (Out-Of-Memory ба uninitialized pointer): PHP нь өөрийн санах ойн дээд хязгаар (memory_limit)-ийг хянахдаа C хэлний longjmp() функцийг ашиглан гэнэт хүсэлтийг зогсоож, OOM алдаа шиддэг. Халдагч веб рүү зориуд хэт том хэмжээтэй өгөгдөл илгээх замаар (ялангуяа default тохиргоотой байдаг session.upload_progress механизмаар) энэ алдааг зориуд өдөөдөг. Санах ой дүүрэх үед PHP дотоод бүтэц хагас дутуу үүссэн байхад тасалддаг ба цэвэрлэгээ (cleanup) хийхдээ үүсэж амжаагүй санах ойн заагчийг (uninitialized pointer) хүчинтэй гэж андууран суллахыг оролддог. Улмаар халдагч санах ой руу дурын хаягаа бичиж, чиглүүлэн өөрийн код руу үсэргэх боломж бүрддэг байна.
CVE-2026-109619 (Stale global state & Use-After-Free): Алдаа гарсны дараа PHP хүсэлтийг цуцалсан ч global төлөв дэх зарим заагчууд нь аль хэдийн чөлөөлөгдсөн (freed) санах ойн хаяг руу заасан хэвээр үлддэг. PHP-FPM болон Apache-ийн нэг worker дараагийн шинэ хүсэлтийг хүлээн авах үед уг "хог санах ой"-г (stale state) уншиж, код гүйцэтгэх замаар халдагчид серверийг бүрэн удирдах боломж олгодог.

Хамгийн аюултай нь: Халдагчид системд ямар ч хэрэглэгчийн бүртгэл, нууц үг хэрэггүй (unauthenticated). Зөвхөн HTTP хүсэлт илгээхэд л хангалттай.

Хөгжүүлэгчид болон DevOps инженерүүд яг одоо юу хийх ёстой вэ?

Хэрэв та PHP ашигладаг систем, WordPress, Laravel API, cPanel, Docker контейнер эсвэл ямар нэгэн серверийг удирддаг бол дараах алхмуудыг НЭН ДАРУЙ хийхийг зөвлөж байна.

1. PHP-ээ албан ёсны patched хувилбар луу шинэчлэх

PHP Foundation болон Linux түгээлтүүд яаралтай аюулгүй байдлын шинэ хувилбаруудыг гаргасан. Системээ доорх тогтвортой хувилбарууд руу шинэчил:

PHP 8.5 ашигладаг бол -> 8.5.12
PHP 8.4 ашигладаг бол -> 8.4.27
PHP 8.3 ашигладаг бол -> 8.3.36
PHP 8.2 ашигладаг бол -> 8.2.35

(Санамж: PHP 8.1, 7.4 болон түүнээс өмнөх EOL буюу дэмжигдэхээ больсон хувилбарууд албан ёсны patch авахгүй тул яаралтай хувилбар ахиулах эсвэл OS түвшний backport багц ашиглах шаардлагатай).

2. Түр зуурын хамгаалалт: `php.ini` тохиргоо (Workaround)

Хэрэв таны систем шууд шинэчлэлт хийх боломжгүй, хараат сангууд болон legacy кодноос болж хугацаа шаардагдаж байвал нэн даруй дараах тохиргоог php.ini файлд өгч, PHP үйлчилгээгээ (php-fpm, web server) restart хийнэ үү:

; php.ini доторх энэ тохиргоо нь үндсэн халдлагын вектороос хамгаална
session.upload_progress.enabled = Off

Энэхүү тохиргоог унтрааснаар халдагчид санах ойн OOM алдааг ашиглан хүсэлтийн дундуур хортой өгөгдөл байршуулах гол замыг хаах юм.

3. WAF болон Сүлжээний хамгаалалт

Cloudflare, AWS WAF, Google Cloud Armor эсвэл ModSecurity зэрэг WAF ашигладаг бол хэвийн бус их хэмжээний multipart/form-data бүхий хоосон эсвэл давхардсан upload хүсэлтүүдийг хянах, хаах дүрмүүдийг идэвхжүүлэх хэрэгтэй.
Дотоод админ самбар, staging орчны PHP серверүүдийг нийтийн интернетээс салгаж VPN/Zero Trust ард оруулахыг зөвлөж байна.

Дүгнэлт

PHP2Shell нь зөвхөн PHP-ийн асуудал биш юм. Энэ нь "AI-аар хүчирхэгжсэн кибер аюулгүй байдал" ямар бодит аюул авчрах боломжтойг бүх салбарт харуулсан дохио болов. Олон жил хүний нүднээс далд, шалгагдаад өнгөрсөн нарийн төвөгтэй цоорхойнуудыг AI хэдхэн хоногт илрүүлж чадаж байна.

Программ хангамжийн дэд бүтцээ байнгын шинэчлэлттэй, аюулгүй байдлын сонор сэрэмжтэй байлгах нь өнөөгийн хөгжүүлэгч бүрийн хамгийн эхний үүрэг болж байна. Серверүүдээ шалгаад яг одоо patch-аа татаж суулгаарай!

Эх сурвалж: The PHP Foundation Security Advisory, Wiz Research Blog ("PHP2Shell: AI uncovers critical RCE in PHP"), Google Cloud Security Advisory (CVE-2026-109618, CVE-2026-109619), CERT-EU Vulnerability Bulletin.