Millionlab veb-saytlariga tahdid solayotgan jiddiy xavfsizlik muammosi, ayniqsa, kichikroq birjalar va kriptoto’lov xizmatlaridan foydalanuvchilar orasida xavotir uyg‘otmoqda.
2023-yil 21-oktabr, chorshanba kuni, PHP dasturchilari tomonidan PHP2Shell nomi bilan tanilgan va xavfsizlik darajasi 10 balldan 9,2 ga baholangan ikkita zaiflik bo‘yicha favqulodda yangilanishlar chiqarildi.
Bu xatoliklar xakerlarga serverlarga maxfiy so‘zlarsiz kirish, muhim ma’lumotlarni o‘g‘irlash yoki veb-saytlarni to‘liq boshqarib olish imkonini berishi mumkin.
Xavf juda dolzarb. «Cloudflare» (insonlar uchun tarmoq infratuzilmasini himoyalovchi kompaniya) tasdiqladiki, hujumchilar ushbu zaifliklardan foydalanishga urinishgan.
Bundan tashqari, bir nechta Yevropa hukumat muassasalari rasmiy internet saytlari ham xavfsizlik yuzasidan vaqtinchalik ishlashini to‘xtatdi.
Qaysi kripto platformalar eng katta xavf ostida?
PHP dasturiy dasturi veb-saytlar uchun orqa fonda ishlovchi hamda turli so‘rovlarni qayta ishlashga yordam beradigan tizim hisoblanadi. Masalan, foydalanuvchi akkauntiga kirganda yoki to‘lov amalga oshirilganda, PHP serverga bu jarayonni boshqarishga yordam beradi.
Tadqiqotchilarga ko‘ra, xakerlar PHP dasturining kompyuter xotirasini boshqarish usulini o‘zgartirish orqali, sayt himoyalashi kerak bo‘lgan ma’lumotlarga kirish imkoniga ega bo‘lishi mumkin.
«Wiz Research» (axborot xavfsizligi sohasidagi tadqiqot tashkiloti) ma’lum qilishicha, muvaffaqiyatli hujum natijasida parollar, autentifikatsiya tokenlari va API kalitlari fosh qilinishi mumkin. Bu raqamli identifikatorlar foydalanuvchi hisoblari yoki ulangan xizmatlarga kirishni taʼminlaydi.
Kriptovalyuta platformalari uchun bu holatlar juda jiddiy oqibatlarga olib kelishi mumkin.
Tahlilimiz quyidagi uchta yo‘nalishda yuqori xavf mavjudligini aniqladi:
- Kripto to‘lov shlyuzlari: PHP asosidagi to‘lov tizimlaridan foydalanuvchi sotuvchilar, agar serverlari yangilanmagan bo‘lsa, xavf ostida qoladi. «Binance Pay» (kripto to‘lov xizmati), «Crypto.com Pay» (kripto to‘lov xizmati), «BitPay» (kripto to‘lov xizmati), «CoinGate» (kripto to‘lov xizmati) va «CoinPayments» (kripto to‘lov xizmati) – bularning barchasi WooCommerce integratsiyasiga ega.
- Kichik kripto birjalari: PHP asosidagi akkaunt yoki to‘lov tizimlari orqali ishlovchi platformalar, xakerlar bu xizmatlarni buzgan taqdirda, mijoz ma’lumotlari va muhim ma’lumotlarni oshkor qilish xavfiga ega.
- DeFi va hamyon veb-saytlari: Zaif veb-interfeyslar firibgar hamyon manzillarini ko‘rsatish yoki foydalanuvchini zararli tranzaksiyalarga rozilik berishga undash uchun o‘zgartirilishi mumkin.
Muhimi, bu xavf faqat ehtimoliy. PHP2Shell zaifligi orqali yuqorida tilga olingan to‘lov provayderlari yoki yirik birjalarda hal etilgan buzilishlar aniqlanmagan.
Ularda ishlatiladigan savdogar integratsiyalari ularning asosiy infrastrukturasida zaiflik borligini anglatmaydi.
Yirik birjalar, agar infratuzilmasi to‘g‘ri yangilangan va ajratilgan bo‘lsa, xavf darajasi past bo‘ladi. Masalan, «Kraken» (kripto birja) 2025-yilgacha asosiy orqa fondini PHP’dan Rust dasturchilik tiliga o‘tkazganini bildirgan.
Blokcheyn tarmoqlari, aqlli shartnomalar va shaxsiy kalitlar offline (uzilgan) holatda saqlansa, bu PHP’dagi zaifliklardan bevosita zarar ko‘rmaydi.
Har bir kripto foydalanuvchisi hozir nima qilishi kerak?
Foydalanuvchilar PHP xavfsizlik yangilanishini o‘zlari o‘rnatishlari mumkin emas. Bunga sayt egalari mas’ul. Ammo bir nechta ehtiyot choralarini ko‘rib, yo‘qotishlarni kamaytirish mumkin.
- Birjangizning rasmiy xavfsizlik e’loni borligini tekshiring. Uning veb infratuzilmasi yangilangani haqida tasdiq so‘rang.
- Kuchli ikki bosqichli autentifikatsiya yoki maxsus ochqichlarni yoqing. Mavjud bo‘lsa, pul yechish uchun manzillar ro‘yxatidan foydalaning.
- To‘lov manzillarini diqqat bilan tekshiring. Kriptovalyuta yuborishdan oldin, manzilni ishonchli yo‘l bilan, ayniqsa yangi to‘lov saytlaridan foydalansangiz, tasdiqlang.
- Favqulodda xavfsizlik xabarlaridan ehtiyot bo‘ling. Hujumchilar shov-shuvli xabarlar vositasida soxta login sahifalari yoki zararli hamyon ulash so‘rovlarini tarqatishi mumkin.
Har bir kripto birja buzilgan, deb hisoblash va zudlik bilan mablag‘ yechib olishga asos yo‘q.
Asosiy e’tibor — platforma o‘z PHP xizmatlarini xavfsiz qilganmi-yo‘qmi, shuni aniqlashga qaratilishi kerak. Yangilanish amalga oshirilmaguncha, kriptovalyuta to‘lovlarini qabul qiluvchi saytlar bilan ishlashda ayniqsa ehtiyot bo‘lish tavsiya etiladi.
