PHP دا ئىككى ئېغىر بىخەتەرلىك ئاجىزلىقى تۈزىتىلدى: دەرھال يېڭىلاڭ

PHP تەرەققىيات ئەترىتى 2026-يىلى 21-ئۆكتەبىر جىددىي بىخەتەرلىك نەشرى (security release) ئېلان قىلدى. يېڭى PHP 8.5.12، 8.4.27، 8.3.36 ۋە 8.2.35 نەشرلىرى ئىككى ئېغىر ئاجىزلىقنى تۈزىتىدۇ. بۇ ئاجىزلىقلار ھۇجۇمچىنىڭ ھېچقانداق كىملىك دەلىللىمەيلا (unauthenticated) مۇلازىمېتىردا ئۆز كودىنى ئىجرا قىلدۇرۇشىغا (remote code execution, RCE) يول ئاچىدۇ. PHP ئەترىتى بىر كۈن ئىلگىرى، يەنى 20-ئۆكتەبىر ئالدىن ئۇقتۇرۇش بېرىپ، ھەر ئىككى ئاجىزلىقنىڭ CVSS v4.0 نومۇرى 9.2 ئىكەنلىكىنى ئېلان قىلغانىدى.

قايسى ئاجىزلىقلار؟

• CVE-2026-109618 — ئەستە ساقلىغۇچ يېتىشمەسلىك (out-of-memory) خاتالىقى. بىر ئىلتىماس (request) PHP نىڭ memory_limit چېكىگە دەل خاتا پەيتتە يەتسە، PHP تولۇق تەييارلانمىغان ئىچكى سانلىق مەلۇماتنى كېيىن توغرا دەپ قاراپ، ئەستە ساقلىغۇچنى بۇزۇۋېتىدۇ.
• CVE-2026-109619 — كونىراپ قالغان ئومۇمىي ھالەت (stale global state). بىر ئىلتىماسقا تەۋە ئىچكى ھالەت ئۇنىڭ ئەستە ساقلىغۇچى بوشىتىلغاندىن كېيىنمۇ ساقلىنىپ قالىدۇ. ئوخشاش worker بىر تەرەپ قىلغان كېيىنكى ئىلتىماس بۇ بوشىتىلغان ئەستە ساقلىغۇچنى ئىشلىتىپ سالىدۇ (use-after-free).

PHP فوندى (The PHP Foundation) نىڭ چۈشەندۈرۈشىچە، ھەر ئىككى مەسىلە دېگۈدەك ھەر بىر ئىلتىماس ئۆتىدىغان ئىككى قىسىمدا — ئەستە ساقلىغۇچ باشقۇرۇش ۋە خاتالىق بىر تەرەپ قىلىشتا كۆرۈلگەن. شۇڭا ئۇلار ھەم خەتەرلىك، ھەم تۈزىتىش تەس بولغان.

كىملەر خەتەردە؟

PHP نىڭ رەسمىي ئۇقتۇرۇشىغا قارىغاندا، تور ئىلتىماسلىرىغا مۇلازىمەت قىلىۋاتقان بارلىق PHP قاچىلانمىلىرى خەتەر ئىچىدە: PHP-FPM، Apache بىلەن mod_php، php-cgi، FrankenPHP ۋە LiteSpeed قاتارلىقلار. خەتەر ئەڭ يۇقىرى بولغىنى mod_php بولۇپ، ئۇنىڭدا كىملىكى يوق بىرلا ئىلتىماس پروگراممىنىڭ ئۆز كودى ئىجرا بولۇشتىن بۇرۇنلا ھۇجۇمنى قوزغىتالايدىغانلىقى ئىسپاتلانغان.

ئامېرىكىنىڭ تور بىخەتەرلىكى ئورگىنى CISA بۇ ئاجىزلىقلارنى «php2shell» دەپ ئاتاپ، ئورگانلارنى دەرھال يېڭىلاشقا چاقىردى. CISA ئۇقتۇرۇش ئېلان قىلغان ۋاقىتتا ئۇلارنىڭ ئەمەلىي ھۇجۇمدا ئىشلىتىلگەنلىكىنى بايقىمىغان. ئەمما ياۋروپا ئىتتىپاقىنىڭ CERT-EU ئورنى تېخنىكىلىق تەپسىلاتلارنىڭ ئاشكارا مۇزاكىرە قىلىنىۋاتقانلىقىنى ۋە دەسلەپكى ئىسپات كودلىرى (proof of concept) تارقىلىشقا باشلىغانلىقىنى ئەسكەرتتى. CISA يەنە PHP نىڭ كۆپىنچە باشقا يۇمشاق دېتاللارنىڭ ئىچىدە بولىدىغانلىقىنى، شۇڭا ئۇنىڭ بارلىقى بىۋاسىتە كۆرۈنمەسلىكى مۇمكىنلىكىنى ئەسكەرتتى.

نېمە قىلىش كېرەك؟

1. PHP نى دەرھال 8.5.12، 8.4.27، 8.3.36 ياكى 8.2.35 گە يېڭىلاڭ. Linux تارقاتمىلىرى (distribution) ياماقلارنى ئالدىن تاپشۇرۇۋالغان، شۇڭا ئۆزىڭىز ئىشلىتىۋاتقان سىستېمىنىڭ يېڭى بوغچىلىرىنى تەكشۈرۈڭ.
2. PHP 8.1 ۋە ئۇنىڭدىن كونا نەشرلەر PHP تۈرىدىن يېڭىلانما ئالمايدۇ. شۇنداقتىمۇ بىخەتەرلىك ئەترىتى PHP 7.4، 8.0 ۋە 8.1 ئۈچۈن مەنبە كودىغا ئاددىي ياماق (backport) تەمىنلىدى.
3. دەرھال يېڭىلىيالمىسىڭىز، ۋاقىتلىق تەدبىر قوللىنىڭ: مەسىلەن session.upload_progress.enabled=0، PHP 8.5 دە fatal_error_backtraces=0، شۇنداقلا post_max_size نى تۆۋەنلىتىش. لېكىن PHP ئەترىتى بۇلارنىڭ پەقەت بەزى ھۇجۇم يوللىرىنىلا توسىدىغانلىقىنى، بىردىنبىر تولۇق چارە يېڭىلاش ئىكەنلىكىنى تەكىتلىدى.

باشقا ئەسكەرتىشلەر

PHP 8.2 نىڭ قوللاش مۇددىتى 2026-يىلى 31-دېكابىر توشىدۇ، ئۇنىڭدىن كېيىن بىخەتەرلىك ياماقلىرى چىقمايدۇ. شۇڭا 8.2 ئىشلىتىۋاتقانلار يېڭىراق نەشرگە كۆچۈشنى ھازىردىن پىلانلىشى كېرەك. شۇ كۈنى سىناق نەشرى PHP 8.6.0 RC4 مۇ ئېلان قىلىندى، ئۇنىڭغىمۇ بۇ ئىككى تۈزىتىش كىرگۈزۈلگەن. ئاخىرقى سىناق نەشرى RC5 نىڭ 5-نويابىر چىقىشى پىلانلانغان.