Haker 2 kritik PHP boşluğu ilə serverə sızıb təxminən 3440 manat qazandı

    Haker “PHP2Shell” adlı kritik PHP boşluqlarından yararlanaraq yenilənməmiş serverə sızıb və 2021,22 dollar (təxminən 3440 manat) dəyərində “Bitcoin” mükafatı qazanıb. “Steal My Bitcoin” saytındakı sınağın qalibi “KillaBoi” olub. Nəticə 25 oktyabr saat 19:47-də qeydə alınıb. Sınaq həmin vaxtadək 19,28 saat davam etmişdi.

    Layihə bir gün əvvəl təxminən 502 dollar (təxminən 850 manat) mükafatla başlamışdı. İanələrdən sonra məbləğ 0,02511679 BTC-yə çatıb. Layihəni “cloudlandsdev” adı ilə tanınan proqramçı yaradıb. O, kritik PHP boşluqları ilə real serveri ələ keçirməyin nə qədər asan olduğunu yoxlamaq istəyib.

    “PHP2Shell” PHP-də sorğuların və yaddaşın idarəsi ilə bağlı 2 boşluğun ümumi adıdır. Bunlar “CVE-2026-109618” və “CVE-2026-109619” nömrəli təhlükəsizlik qüsurlarıdır. Müəyyən server sazlamalarında həmin boşluqlardan yararlanaraq kənardan zərərli kod işlətmək olur. Hər iki problem üçün düzəlişlər 21 oktyabrda çıxmışdı.

    “KillaBoi” hücumun işlək nümunəsini və kompüterdə qurulan sınaq mühitini “GitHub”da yayımlayıb. Hücum hissələrə bölünmüş faylların yüklənməsi və sessiya məlumatlarının emalındakı qüsurdan yararlanıb. PHP prosesi yaddaş həddini keçdikdən sonra sonrakı sorğular sessiya kukiləri ilə yaddaş ünvanlarını üzə çıxarıb. Sessiya kukiləri saytda istifadəçini tanımaq üçün saxlanılan kiçik məlumatlardır. Haker əldə etdiyi ünvanlarla saxta PHP məlumat strukturu yaradıb və serverdə əmr işə salıb.

    Sınaq maraq doğurduqdan sonra ziyarətçilər serverin hesablama gücünü dəfələrlə tükədiblər. Yaddaş az olduğuna görə bütün qeydləri saxlamaq da alınmayıb. Server ələ keçirilsə də, tapılan şəxsi açar elan olunmuş mükafat ünvanına uyğun gəlməyib. Bununla belə, blokçeyn qeydlərində vəsaitin sonradan “bc1qr4…lk7a9” ünvanına göndərildiyi görünür. Bu ünvan “Kraken”in internetdən ayrı saxlanan soyuq pulqabısına aiddir. Hadisə yenilənməmiş PHP sistemlərindəki boşluqların real hücumlarda işlədilə bildiyini göstərib.