# PHP პროექტი გამოსცემს გადაუდებელ პატჩებს კრიტიკული დისტანციური კოდის შესრულების დაუცველობისთვის

Source: TechNewsList (https://technewslist.com)
Canonical URL: https://technewslist.com/ka/article/php-project-issues-emergency-patches-for-critical-rce-flaws-2026-10-21-night-ka
Section: Software (https://technewslist.com/ka/software)
Author: TechNewsList
Language: ka
Published: 2026-10-21T18:09:02.109+00:00
Updated: 2026-10-21T18:09:02.32506+00:00

> PHP-ის განვითარების ძირითადი გუნდი ავრცელებს უსაფრთხოების გადაუდებელ განახლებებს, რომლებიც ეხება მაქსიმალური სიმძიმის არაავთენტიფიცირებულ დისტანციური კოდის შესრულების დაუცველობას გლობალურ სერვერებზე.

## TL;DR
- PHP პროექტმა გამოუშვა გადაუდებელი პატჩები კრიტიკული დაუცველობისთვის CVE-2026-109618 და CVE-2026-109619.
- ხარვეზები საშუალებას აძლევს არაავთენტიფიცირებულ დისტანციურ თავდამსხმელებს შეასრულონ თვითნებური ჭურვის ბრძანებები სამიზნე სერვერებზე.
- დაუცველობა წარმოიქმნება მეხსიერების მაჩვენებლის არასწორად დამუშავებიდან, ძირითადი სტრიქონების ანალიზის რუტინებში.
- კიბერუსაფრთხოების გლობალურმა სააგენტოებმა, მათ შორის CISA და CERT-EU, გამოსცეს სასწრაფო დირექტივები, რომლებიც ავალდებულებენ დაუყოვნებლივ განახლებებს.
- სისტემის ადმინისტრატორებს სთხოვენ, გამოიყენონ ზემოთ რელიზები ან დანერგონ ვებ აპლიკაციის Firewall-ის წესები დაუყოვნებლივ.

## Key points
- დაუზუსტებელი დისტანციური კოდის შესრულების ხარვეზები გავლენას ახდენს წარმოების ფართოდ გავრცელებულ PHP-ის დანერგვაზე გლობალურად.
- შეცდომები გამოვლინდა უსაფრთხოების ავტომატური აუდიტის დროს, ხელოვნური ინტელექტის კოდის გადამოწმების ხელსაწყოების გამოყენებით.
- ექსპლუატაცია არ საჭიროებს წინასწარ ავთენტიფიკაციას ან პრივილეგირებულ წვდომას მასპინძელ ვებ სერვერის გარემოში.
- დაუცველობა გავლენას ახდენს როგორც მოძველებულ, ასევე თანამედროვე PHP გაშვების ფილიალებზე Unix-ისა და Windows-ის პლატფორმებზე.
- ღრუბლოვანი ინფრასტრუქტურის პროვაიდერები აყენებენ გადაუდებელი ქსელის ფილტრებს სკანირებისა და ექსპლუატაციის მცდელობების შესამცირებლად.

## რა მოხდა

2026 წლის 21 ოქტომბერს, PHP ღია კოდის პროექტის მთავარმა შემსრულებლებმა გამოსცეს გადაუდებელი უსაფრთხოების გამოშვებები დისტანციური კოდის შესრულების ორი კრიტიკული დაუცველობის მოსაგვარებლად, რომლებიც თვალყურს ადევნებენ როგორც CVE-2026-109618 და CVE-2026-109619. მინიჭებული საერთო დაუცველობის შეფასების სისტემის სიმძიმის რეიტინგები მაქსიმალურ ათამდე ქულასთან ახლოს, ხარვეზები საშუალებას აძლევს არაავთენტიფიცირებულ დისტანციურ თავდამსხმელებს შეასრულონ თვითნებური ოპერაციული სისტემის ბრძანებები ძირითადი ვებ სერვერის პროცესის პრივილეგიებით. დაუცველობა გავლენას ახდენს გლობალური ინტერნეტის უზარმაზარ ნაწილზე, რადგან PHP აგრძელებს ვებსაიტების სამოცდაათ პროცენტზე მეტს, რომლებიც იყენებენ სერვერის პროგრამირების ენებს.

კრიტიკული დეფექტები გამოვლინდა ავტომატური დაუცველობის კვლევის კამპანიის დროს, რომელიც ჩატარდა უსაფრთხოების მკვლევარების მიერ ხელოვნური ინტელექტის კოდის ანალიზის მოწინავე მოდელების გამოყენებით. დადასტურების შემდეგ, რომ დაუცველობა შეიძლება იყოს შეიარაღებული სტანდარტული HTTP POST მოთხოვნის მეშვეობით ავტორიზაციის ან რთული წინაპირობების გარეშე, PHP-ის განვითარების ჯგუფმა მოახდინა დაჩქარებული საერთაშორისო კოორდინირებული გამჟღავნების ვადების მობილიზება, რათა მიეწოდებინა ზემო დინებაში პატჩები ყველა მხარდაჭერილი გამოშვების ფილიალში.

![სერვერის თაროს ინფრასტრუქტურა და ქსელის გადამრთველები, რომლებიც აძლიერებენ საწარმოს ვებ სერვისებს.](https://rkhynbcsbnkkcwgexzwg.supabase.co/storage/v1/object/public/media/api/1792605106842-c3qmgl-php-project-issues-emergency-patches-for-critical-rce-flaws-2026-10-21-night-inside-1-be30cfaa27.webp)
*სერვერის თაროს ინფრასტრუქტურა და ქსელის გადამრთველები, რომლებიც აძლიერებენ საწარმოს ვებ სერვისებს.*

სამთავრობო კიბერუსაფრთხოების სააგენტოებმა მთელ მსოფლიოში დაუყოვნებლივ გააძლიერეს განგაშის დონე საჯარო რჩევის შემდეგ. შეერთებული შტატების კიბერუსაფრთხოების და ინფრასტრუქტურის უსაფრთხოების სააგენტომ დაამატა როგორც საერთო დაუცველობის, ასევე ექსპოზიციის იდენტიფიკატორები მის ცნობილ ექსპლუატირებული დაუცველობის კატალოგს, ხოლო ევროპულმა კომპიუტერულმა საგანგებო სიტუაციებზე რეაგირების განყოფილებებმა გამოსცეს სავალდებულო დირექტივები, რომლებიც ავალდებულებენ სამთავრობო უწყებებს და კრიტიკული ინფრასტრუქტურის ოპერატორებს შეასწორონ თავიანთი საჯარო ვებ სერვერები ოცდაათ საათში.

## რატომ არის მნიშვნელოვანი

PHP-ში უნივერსალური, არაავთენტიფიცირებული დისტანციური კოდის შესრულების დაუცველობის აღმოჩენა და გადაუდებელი შესწორება წარმოადგენს 2026 წლის პროგრამული უზრუნველყოფის მიწოდების ჯაჭვის უსაფრთხოების ერთ-ერთ ყველაზე მძიმე მოვლენას. რადგან PHP ემსახურება როგორც შესრულების ფუნდამენტურ გაშვებას კონტენტის მართვის სისტემებისთვის, როგორიცაა WordPress, Drupal და Joomla, ისევე როგორც ვრცელი პლატფორმა პორტები, enterprisepass encommitte e-comblast. ასობით მილიონი საჯარო ვებ საბოლოო წერტილი.

როდესაც დისტანციური კოდის შესრულების დაუცველობა ვლინდება გლობალურ ბაზარზე ამ დონის შეღწევადობის მქონე პროგრამულ უზრუნველყოფაში, ავტომატური საფრთხის აქტორები და სახელმწიფოს მიერ დაფინანსებული ჯაშუშური ჯგუფები იწყებენ ინტერნეტის ავტომატიზირებულ სკანირებას რამდენიმე საათში. თავდამსხმელები ქმნიან მასიური ექსპლუატაციის სკრიპტებს, რომლებიც შექმნილია IP დიაპაზონის სკანირებისთვის, მავნე დატვირთვის ინექციისთვის და დაუცველი სერვერების კომპრომისისთვის, სანამ სისტემის ადმინისტრატორები შეძლებენ გამყიდველის განახლებების გამოყენებას. შიგნით შესვლისას, საფრთხის მსახიობებს შეუძლიათ განათავსონ ვებ ჭურვები, გამოიყენონ კონფიდენციალური მონაცემთა ბაზები ან დაამყარონ მუდმივი დასაყრდენი გვერდითი გადაადგილებისთვის შიდა კორპორატიულ ქსელებში.

გარდა ამისა, ინციდენტი ხაზს უსვამს ხელოვნური ინტელექტის ტრანსფორმაციულ გავლენას შეტევითი და თავდაცვითი დაუცველობის აღმოჩენაზე. მიუხედავად იმისა, რომ ადამიანური კოდის აუდიტორებმა მხედველობაში მიიღეს მეხსიერების საზღვრების ამ სპეციფიკური ხარვეზები გამოშვების რამდენიმე ციკლის განმავლობაში, სპეციალიზებული ავტომატური მსჯელობის მოდელებმა გამოავლინეს არაწრფივი შესრულების გზები, რომლებიც მიჰყავდა ბუფერული კორუფციას წუთებში. ხელოვნური ინტელექტის დახმარებით აღმოჩენების დაჩქარებასთან ერთად, დროის ფანჯარა დაუცველობის აღმოჩენასა და შეიარაღებას შორის მკვეთრად იკუმშება.

## ტექნიკური დეტალები

ტექნიკურ დონეზე, CVE-2026-109618 სათავეს იღებს მთელი რიცხვის გადინების დაუცველობიდან, რომელიც ჩასმულია PHP-ის სტანდარტული მულტიბაიტიანი სტრიქონების დამუშავების ბიბლიოთეკაში. სპეციალურად შემუშავებული UTF-8 ბაიტის თანმიმდევრობების ანალიზისას, რომლებიც ჩაშენებულია მრავალნაწილიან ფორმა-მონაცემთა დატვირთვაში, შესრულების დროის მეხსიერების განაწილების გამოთვლა ვერ ითვალისწინებს საზღვრების გაფართოებას სიმბოლოების კონვერტაციის დროს. ეს არითმეტიკული შეუსაბამობა იწვევს მეხსიერების გამანაწილებელს უზრუნველყოს გროვის ბუფერი, რომელიც მნიშვნელოვნად მცირეა, ვიდრე გაფართოებული სიმბოლოების ნაკადი.

როდესაც პარსერი აკოპირებს დეკოპირებულ ბაიტის ნაკადს მცირე ზომის ბუფერში, ის ავსებს მომიჯნავე გროვის სტრუქტურებს, აფუჭებს Zend Engine მეხსიერების მართვის შიდა მაჩვენებლებს. მეხსიერების განლაგების გულდასმით მოწყობით გროვის შესხურების ტექნიკით, არაავთენტიფიცირებულ თავდამსხმელს შეუძლია გადაწეროს ფუნქციის მაჩვენებლები მოთხოვნის კონტექსტში და გადამისამართოს შესრულების კონტროლის ნაკადი თვითნებური გარსის გამოძახებაზე, მიაღწიოს სრულ დისტანციურ კოდის შესრულებას ვებ სერვერის დემონის ნებართვით.

![მონაცემთა ცენტრის ქსელის გადამრთველის არქიტექტურა, რომელიც მოითხოვს სასწრაფო დახმარების სწრაფ გაშვებას.](https://rkhynbcsbnkkcwgexzwg.supabase.co/storage/v1/object/public/media/api/1792605109965-iyprsg-php-project-issues-emergency-patches-for-critical-rce-flaws-2026-10-21-night-inside-2-331cba19fb.webp)
*მონაცემთა ცენტრის ქსელის გადამრთველის არქიტექტურა, რომელიც მოითხოვს სასწრაფო დახმარების სწრაფ გაშვებას.*

მეორე დაუცველობა, CVE-2026-109619, მოიცავს დამატებით ლოგიკურ ხარვეზს PHP-ის fastcgi პროცესის მენეჯერში. თანმიმდევრული მოთხოვნის მაღალი მოცულობის პირობებში, მუშათა პროცესის გადამუშავებაში უმართავი რბოლის მდგომარეობა საშუალებას აძლევს არასწორად ფორმირებულ გარემოს ცვლადებს დარჩეს თანმიმდევრული მოთხოვნის საზღვრებში, რაც საშუალებას აძლევს თავდამსხმელებს გვერდის ავლით გვერდის ავლით სტანდარტული ვებ აპლიკაციების firewall ფილტრები და თვითნებური არგუმენტების შეყვანა სისტემის გარე ორობით ფაილებში.

The PHP Group-ის მიერ გამოშვებული ზემორეული ოფიციალური პატჩები ეხმიანება ორივე ძირეულ მიზეზს მულტიბაიტიანი სტრიქონის ხელახალი კოდირების დროს მკაცრი საზღვრების დამოწმებით და ატომური ჩაკეტვის მექანიზმების დანერგვით fastcgi მუშაკის სასიცოცხლო ციკლში. დეველოპერების გუნდმა დააფიქსირა უსაფრთხოების შესწორებები PHP 8.2, 8.3 და 8.4 გამოშვების ხეებზე და მოუწოდა ყველა მომხმარებელს, დაუყოვნებლივ გადასულიყვნენ უახლეს პატჩის გამეორებებზე.

## გავლენა ბაზარზე და ინდუსტრიაზე

საგანგებო გამჟღავნებამ გამოიწვია ფართო ოპერაციული შეფერხება გლობალური ვებ ჰოსტინგის პროვაიდერებში, საწარმოთა IT დეპარტამენტებსა და მართულ ღრუბლოვან პლატფორმებზე. ღრუბლოვანი ინფრასტრუქტურის ძირითადი ოპერატორები, მათ შორის Amazon Web Services, Cloudflare და Akamai, ჩქარობდნენ განათავსონ გლობალური მართული ვებ აპლიკაციის Firewall-ის წესები, რათა აღმოაჩინონ და ჩამოაგდონ კონკრეტული ბაიტის ხელმოწერები, რომლებიც დაკავშირებულია გროვის გადადინების ექსპლუატაციის მცდელობებთან, სანამ ტრაფიკი მიაღწევს საწყისი სერვერებს.

საწარმოს DevOps და საიტის სანდოობის საინჟინრო გუნდებისთვის, პატჩები საჭიროებს გადაუდებელ ტექნიკურ ფანჯრებს, სერვისის გადატვირთვას და რეგრესიის ტესტირებას მისიისთვის კრიტიკულ ვებ აპლიკაციებში. ორგანიზაციები, რომლებიც მუშაობენ მორგებული PHP გაშვების დროებით, რომლებიც ადვილად არ განახლდება, მწვავე ოპერაციული რისკის წინაშე დგანან, რაც აიძულებს მათ განახორციელონ შემაკავებელი ფილტრაცია ან დროებით იზოლირება მოწყვლადი აპლიკაციები საჯარო ინტერნეტიდან.

## რას უნდა დავაკვირდეთ შემდეგ

უახლოეს დღეებში, კიბერუსაფრთხოების საფრთხის სადაზვერვო გუნდები ყურადღებით დააკვირდებიან საჯარო ექსპლოიტის საცავებსა და მიწისქვეშა ფორუმებს, რათა აღმოჩნდეს ცნების დამადასტურებელი ექსპლუატაციის სკრიპტები. სანდო საჯარო ექსპლოიტების გამოჩენა, როგორც წესი, იწვევს ბოტნეტის ექსპლუატაციის მასიურ ავტომატიზებულ კამპანიებს, რომლებიც მიზნად ისახავს დაუცველ ვებ მასპინძლებს.

უსაფრთხოების მკვლევარები ასევე ადევნებენ თვალყურს მეორადი დაუცველობის აღმოჩენებს, რადგან გლობალური კოდის აუდიტორები ამოწმებენ მეზობელ კომპონენტებს PHP სტანდარტულ ბიბლიოთეკაში მსგავსი მრავალბაიტიანი ანალიზისა და გროვის განაწილების ანომალიებისთვის.

დაბოლოს, საწარმოს პროგრამული უზრუნველყოფის მმართველი ორგანოები შეაფასებენ ავტონომიური AI აუდიტის ხელსაწყოების მზარდ როლს ღია კოდის პროგრამული უზრუნველყოფის უსაფრთხოებაში, დააჩქარებენ დისკუსიებს სტანდარტიზებული ავტომატური სკანირების მილსადენების ირგვლივ, რათა გამოავლინონ და გამოასწორონ არქიტექტურული ხარვეზები ძირითადი ღია კოდის პაკეტებში განთავსებამდე.

## წყაროები

- [The PHP Group უსაფრთხოების კონსულტაცია](https://www.php.net/archive/2026.php#2026-10-21-1): PHP-ის ვერსიებისთვის, რომლებიც შეიცავს პატჩებს მეხსიერების დაზიანებისა და მაჩვენებლის ვალიდაციის დეფექტებისთვის, ოფიციალური რჩევები ზემოთ ნაკადის გამოშვებისთვის.
- [კიბერუსაფრთხოების Dive უსაფრთხოების გაფრთხილება](https://www.cybersecuritydive.com/news/php-critical-rce-vulnerabilities-emergency-patches-cve-2026-109618/728910/): ტექნიკური კონსულტაცია, რომელიც ასახავს CVSS სიმძიმის რეიტინგებს და თავდასხმის ზედაპირს PHP ვებ სერვერებზე.
- [Hindustan Times ტექნიკური მაგიდა](https://www.hindustantimes.com/technology/critical-php-security-flaw-cve-2026-109618-patches-released-2026-10-21): საგანგებო სამთავრობო კიბერუსაფრთხოების სააგენტოს გლობალური გაშუქება აფრთხილებს ვებ ოპერატორებს დაუყოვნებლივ განახლებისკენ.

Mentions: The PHP Group, CVE-2026-109618, CVE-2026-109619, CISA

## Sources
- [The PHP Group უსაფრთხოების კონსულტაცია](https://www.php.net/archive/2026.php#2026-10-21-1)
- [კიბერუსაფრთხოების Dive უსაფრთხოების გაფრთხილება](https://www.cybersecuritydive.com/news/php-critical-rce-vulnerabilities-emergency-patches-cve-2026-109618/728910/)
- [Hindustan Times ტექნიკური მაგიდა](https://www.hindustantimes.com/technology/critical-php-security-flaw-cve-2026-109618-patches-released-2026-10-21)