ஜப்பானில் PHP பாதுகாப்புக் குறைபாடுகளால் 1,090 சேவைகள் முடக்கம்; மீண்டும் தொடங்குவதில் சிக்கல்

நூற்றுக்கணக்கான சேவைகள் இன்னும் மீண்டும் தொடங்கக் காத்திருக்கின்றன

PHP-இல் கண்டறியப்பட்ட இரண்டு தீவிர பாதுகாப்புக் குறைபாடுகளுக்கான ஜப்பானின் நடவடிக்கையால் குறைந்தது 1,090 இணையதளங்களும் இணையச் சேவைகளும் பாதிக்கப்பட்டுள்ளன. அக்டோபர் 26, 2026 நிலவரப்படி, நூற்றுக்கணக்கான சேவைகள் மீண்டும் திறக்கப்பட்டதாக அறிவிக்கப்படவில்லை. இயக்குநர்கள் பாதுகாப்புத் திருத்தங்களை நிறுவி, தங்கள் அமைப்புகளை மீண்டும் இணைப்பது பாதுகாப்பானதா என்று சரிபார்க்கும் நிலையில், இணையவழி வணிகம், நிதிக் கணக்கு நடைமுறைகள், குழந்தைப் பராமரிப்புச் சேவைகள், விளையாட்டுகள் உள்ளிட்ட துறைகளிலும் பாதிப்பு ஏற்பட்டுள்ளது.

கிளவுட் சேவைகளுக்கான பாதுகாப்பு மதிப்பீட்டுத் தகவல்களை வழங்கும் டோக்கியோவைச் சேர்ந்த அஷ்யூர்ட் நிறுவனம், அக்டோபர் 26 பிற்பகல் 3 மணி நிலவரப்படி 1,090 சேவைகள் நிறுத்தப்பட்டதாகக் கணக்கிட்டது. X தளத்தில் அதிகாரப்பூர்வ கணக்குகள் வெளியிட்ட முடக்க அறிவிப்புகளே அதன் ஆய்வுக்கு முக்கிய ஆதாரமாக இருந்தன. அக்டோபர் 23 பிற்பகல் 2 மணி நிலவரத்தில் இருந்த 502 சேவைகளுடன் ஒப்பிடுகையில், சுமார் மூன்று நாள்களில் 588 அதிகரித்து, ஏறத்தாழ 117% உயர்ந்துள்ளது.

அந்தச் சேவைகளில் 465 மீண்டும் தொடங்கியதாக அஷ்யூர்ட் உறுதிப்படுத்தவில்லை. பதிவான முடக்கங்களில் இது சுமார் 43% ஆகும். இந்த எண்ணிக்கைகள் பொதுவெளி அறிவிப்புகளை அடிப்படையாகக் கொண்டவை என்பதால், அந்த 465 சேவைகளின் தற்போதைய நிலையை அவற்றின் இயக்குநர்களிடம் உறுதிப்படுத்த வேண்டியுள்ளது.

பொம்மைகள் மற்றும் பிற பொருட்களை விற்கும் இணையக் கடை அக்டோபர் 27 நண்பகலில் மீண்டும் திறக்கப்படும் என்று பண்டாய் நாம்கோ ஹோல்டிங்ஸ் எதிர்பார்த்தது. அக்டோபர் 21 மாலை தொடங்கிய பராமரிப்புப் பணிகளைத் தொடர்ந்து இந்த எதிர்பார்ப்பு தெரிவிக்கப்பட்டது. தைக்கோ நோ தட்சுஜின் உள்ளிட்ட ஆர்கேட் விளையாட்டுகளுக்கான இணைய இணைப்புகள் தொடர்ந்து நிறுத்தப்பட்டிருந்தன. டாய்வா செக்யூரிட்டீஸில், இணையதளத்தின் சில வசதிகள் மீண்டும் செயல்படத் தொடங்கியிருந்தன. ஆனால் NISA முதலீட்டுக் கணக்குகளைத் தொடங்குவதற்கான விண்ணப்பங்களும் முகவரி மாற்றம் போன்ற நடைமுறைகளும் அக்டோபர் 26 மாலை 5 மணி நிலவரப்படி கிடைக்கவில்லை.

PHP2shell குறைபாடுகளால் ஏற்படக்கூடிய பாதிப்பு

ஜப்பானின் தகவல் தொழில்நுட்ப மேம்பாட்டு முகமையான IPA, அக்டோபர் 22 அன்று வெளியிட்ட PHP பாதுகாப்பு எச்சரிக்கையில் இந்தக் குறைபாடுகளை CVE-2026-109618 மற்றும் CVE-2026-109619 என அடையாளம் கண்டது. இவை இணைந்து PHP2shell என அழைக்கப்படுகின்றன. பல இணையதளங்களையும் இணையப் பயன்பாடுகளையும் இயக்கப் பயன்படும் மென்பொருள் PHP ஆகும். பயனரின் உலாவியைத் தகவல் சென்றடைவதற்கு முன்பு, சேவையகங்களில் பணிகளைச் செயல்படுத்த இது உதவுகிறது.

PHP-இல் நினைவகம் தீர்ந்துபோகும்போது ஏற்படும் பிழைகளைக் கையாள்வது தொடர்பானது CVE-2026-109618. சேவையகத்துக்கு அனுப்பப்படும் கோரிக்கைகளைச் செயலாக்குவது தொடர்பானது CVE-2026-109619. இந்தக் குறைபாடுகளைப் பயன்படுத்தி, தொலைவில் இருக்கும் தாக்குதலாளர் தன்னிச்சையான குறியீட்டை இயக்க முடியும். அதாவது, இணையதள இயக்குநர் தேர்ந்தெடுக்காத கட்டளைகளைத் தாக்குதலாளர் செயல்படுத்தக்கூடும்.

ஜப்பானின் கணினிப் பாதுகாப்பு சம்பவ ஒருங்கிணைப்பு அமைப்பான JPCERT/CC கூறுகையில், அந்தக் குறியீடு PHP செயல்முறைக்குக் கொடுக்கப்பட்ட அனுமதிகளுடன் இயங்கக்கூடும். எளிமையாகச் சொன்னால், இணையதளத்தை இயக்கும் மென்பொருளுக்கு அனுமதிக்கப்பட்ட செயல்களைத் தாக்குதலாளரும் செய்யும் திறனைப் பெறலாம். பாதிக்கப்பட்ட அமைப்பின் அனுமதிகளையும் உள்ளமைவையும் பொறுத்தே இதன் தாக்கம் அமையும்.

நிறுவனங்கள் பயன்படுத்தும் தயாரிப்புகளின் உருவாக்குநர்கள் அல்லது வழங்குநர்கள் வெளியிடும் தகவல்களைச் சரிபார்க்க வேண்டும் என்று IPA கூறுகிறது. ஏனெனில், பெரிய பயன்பாடு அல்லது சேவையின் ஒரு பகுதியாக PHP இருக்கக்கூடும். மென்பொருள் தயாரிப்புகள் அல்லது Linux விநியோகங்கள் வழியாக வழங்கப்படும் PHP-யும் பாதிக்கப்பட்டிருக்கலாம் என JPCERT/CC எச்சரிக்கிறது. எனவே, எதிர்வினை நடவடிக்கைகளில் விற்பனையாளர் வழிகாட்டுதல்களும் இடம்பெற வேண்டும்.

சேவை முடக்கங்கள் எவ்வாறு பரவின

பாதுகாப்புப் புதுப்பிப்புகள் கிடைப்பதற்கு முன்பே, அக்டோபர் 21 அன்று சேவை இயக்குநர்கள் தங்கள் அமைப்புகளை முடக்கத் தொடங்கினர். ஜப்பான் நேரப்படி இரவு 11 மணியளவில் புதுப்பிப்புகள் வெளியிடப்பட்டன. குறைபாடுகள் குறித்த விவரங்கள் பொதுவெளியில் வெளியானால் தாக்குதல் அபாயம் அதிகரிக்கக்கூடும் என்பதால், சிலர் அவை வெளியாவதற்கு முன்பே முன்னெச்சரிக்கை நடவடிக்கை எடுத்தனர்.

அவசர மென்பொருள் புதுப்பிப்பு பல நாள் சேவைத் தடையாக மாறிய நிகழ்வுகளின் வரிசை இதோ:

• அக்டோபர் 21: BASE, Codmon, Pixiv, DMM.com, niconico மற்றும் Sakura Internet-இன் சில சேவைகள் பராமரிப்புக்குச் சென்றன அல்லது அவற்றின் செயல்பாடுகள் நிறுத்தப்பட்டன. Granblue Fantasy, Uma Musume Pretty Derby உள்ளிட்ட விளையாட்டுகளும் தற்காலிகமாக நிறுத்தப்பட்டன.
• அக்டோபர் 21, இரவு 9:55: திருத்தங்களைப் பயன்படுத்த அவசரத் தயாரிப்புகளை மேற்கொள்ளுமாறு பிரதமர் சனே தகைச்சி வலியுறுத்தினார். உடனடியாகப் புதுப்பிப்பை நிறுவுவது கடினமாக இருந்தால், இணையதளங்களைத் தற்காலிகமாக நிறுத்துவதும் ஒரு வழி என்றார்.
• அக்டோபர் 21, இரவு 11 மணியளவில்: PHP பாதுகாப்புப் புதுப்பிப்புகள் வெளியிடப்பட்டன.
• அக்டோபர் 22: குறைபாடுகளையும் பரிந்துரைக்கப்பட்ட எதிர்வினைகளையும் விளக்கும் எச்சரிக்கைகளை IPA மற்றும் JPCERT/CC வெளியிட்டன.
• அக்டோபர் 23: அஷ்யூர்டின் கணக்கில் சேவை முடக்கங்கள் 502ஐ எட்டின. PHP-ஐ உருவாக்கியவர்களும் CVE-2026-115560 என்ற மற்றொரு குறைபாட்டை வெளியிட்டனர்.
• அக்டோபர் 26: அஷ்யூர்டின் எண்ணிக்கை 1,090ஐ எட்டியது. சுரண்ட முயன்றதாகக் கிடைத்த தகவல்களுடன் JPCERT/CC தனது எச்சரிக்கையைப் புதுப்பித்தது.
• அக்டோபர் 27, நண்பகல்: பொம்மைகள் மற்றும் பிற பொருட்களை விற்கும் இணையக் கடையை மீண்டும் திறக்க பண்டாய் நாம்கோ எதிர்பார்த்தது.

இணையதளத்தை முடக்குவது ஏன் ஒரு வழியாக அமைந்தது

திருத்தத்தை உடனடியாக நிறுவ முடியாதபோது, இணையதளத்தைத் தற்காலிகமாக முடக்குவது அபாயத்தைக் குறைக்கலாம் என்று ஜப்பானின் தேசிய சைபர் பாதுகாப்பு அலுவலகம் அறிவுறுத்தியது. அக்டோபர் 21 அன்று தகைச்சியும் அந்த வழியை முன்வைத்தார். ஐரோப்பிய ஒன்றியத்தின் CERT-EU அமைப்பும் பிரிட்டனின் தேசிய சைபர் பாதுகாப்பு மையமும் நடவடிக்கை எடுக்குமாறு வலியுறுத்தின. பாதுகாப்பு ஏற்பாடுகள் செய்யப்படும் வரை அமைப்புகளை முடக்கி வைப்பதையும் சாத்தியமான எதிர்வினையாக அவை குறிப்பிட்டன.

எடுக்க வேண்டிய நடவடிக்கைகளின் வரிசையை IPA-வின் வழிகாட்டுதல் விளக்குகிறது. புதுப்பிப்பு அல்லது இடமாற்றத்துக்கு ஏற்பாடு செய்யும் காலத்தில் தற்காலிகப் பாதுகாப்புகளையும் அணுகல் கட்டுப்பாடுகளையும் முதலில் பரிசீலிக்க வேண்டும். பயனுள்ள தற்காலிக நடவடிக்கைகளை எடுப்பது கடினமாக இருந்தால், ஏற்படக்கூடிய பாதிப்பையும் வணிகச் செயல்பாடுகளின் தடையையும் கணக்கில் கொண்டு, வெளிப்புற அணுகலைத் தடுக்கலாமா அல்லது சேவையை நிறுத்தலாமா என மதிப்பிட வேண்டும்.

வாடிக்கையாளர்களைப் பொறுத்தவரை, இயக்குநர்கள் பணிகளைச் செய்யும் வரை அன்றாட வசதிகளைப் பயன்படுத்த முடியாத நிலை ஏற்பட்டது. வணிகத் தளம் ஆர்டர்களைப் பெறுவதை நிறுத்தலாம்; நிதி இணையதளம் கணக்குச் செயல்முறைகளை இடைநிறுத்தலாம்; ஆர்கேட் இயந்திரம் இணையவழி அம்சங்களுக்கான இணைப்பை இழக்கலாம்.

அஷ்யூர்டின் ஆய்வுக்குத் தலைமை தாங்கிய யசுஹிரோ சுசுகி கூறுகையில், வாடிக்கையாளர் தகவல்களைப் பாதுகாக்கச் சேவைகளை நிறுத்தும் இயக்குநர்களின் எண்ணிக்கை அதிகரித்தது. சேவைகள் மீண்டும் செயல்படத் தாமதமானது, பாதுகாப்பாக மீண்டும் தொடங்குவது எவ்வளவு கடினம் என்பதைக் காட்டியது. இந்த மதிப்பீடு முக்கியமான செயல்பாட்டுச் சிக்கலைச் சுட்டிக்காட்டுகிறது: அணுகலை முடக்குவது விரைவாகச் செய்யலாம்; ஆனால் மீண்டும் தொடங்க, அடிப்படைப் பணிகள் நிறைவடைய வேண்டும்.

மீண்டும் தொடங்குவதற்கு இணைப்பு நிறுவுவது மட்டும் போதாது

ஒரே நிறுவனக் குழுமத்துக்குள் உள்ள சேவைகள் வெவ்வேறு நேரங்களில் மீண்டும் தொடங்கக்கூடும் என்பதை பண்டாய் நாம்கோவின் சேவைத் தடை காட்டுகிறது. பொருட்கள் விற்பனைக் கடை அக்டோபர் 27 அன்று மீண்டும் திறக்கப்படும் எனக் குழுமம் எதிர்பார்த்தது. அதேவேளை, ஆர்கேட் விளையாட்டுகளுக்கான இணைப்புகள் தொடர்ந்து நிறுத்தப்பட்டிருந்தன. PHP திருத்தத்தை நிறுவுவதற்குத் தேவையான அமைப்புகளைப் புதுப்பிக்க நேரம் எடுத்துக்கொண்டது.

சில சேவைகள், பாதுகாப்பு சரிபார்க்கப்பட்ட வேறொரு நிறுவனத்தின் சேவையகங்களுக்கு தரவுகளைத் தற்காலிகமாக மாற்றுவதையும் பரிசீலித்தன. பாதிக்கப்பட்ட சூழலில் குழுக்கள் பணியாற்றும்போது, சேவை இயங்கும் இடத்தை இது மாற்றும். வாடிக்கையாளர்கள் மீண்டும் சேவையைப் பயன்படுத்துவதற்கு முன்பு கூடுதல் ஏற்பாடுகள் தேவைப்படும்.

டாய்வா செக்யூரிட்டீஸ் அடிக்கடி கேட்கப்படும் கேள்விகள் உள்ளிட்ட இணையதளத்தின் சில பகுதிகளை மீண்டும் செயல்படுத்தியிருந்தது. எனினும், கணக்குத் தொடக்க விண்ணப்பங்களும் முகவரி மாற்றங்களும் அக்டோபர் 26 அன்று கிடைக்கவில்லை. தகவல் பக்கம் செயல்பட்டபோதும் வாடிக்கையாளர் நடைமுறைகள் தடைப்பட்டிருந்தன.

நீண்ட காலமாகப் புதுப்பிக்கப்படாமல் இருக்கும் அமைப்புகளில், பயன்பாட்டுக் குறியீட்டை மாற்ற வேண்டியிருக்கலாம் என்றும் PHP-ஐப் புதுப்பித்த பிறகும் செயல்பாடுகள் சரியாக இயங்குகின்றனவா எனச் சரிபார்க்க வேண்டும் என்றும் IPA விளக்குகிறது. உருவாக்க ஆவணங்கள் இல்லாமை, அமைப்பை அறிந்த பணியாளர்கள் இல்லாமை, பராமரிப்பு ஒப்பந்தங்கள் காலாவதியானது ஆகியவை பணியை மேலும் கடினமாக்கலாம். போதுமான சோதனைகளைச் செய்த பிறகு, திருத்தப்பட்ட பதிப்புகளை விரைவாக நிறுவுமாறு JPCERT/CC பரிந்துரைக்கிறது.

எந்தப் பதிப்புகளைக் கவனிக்க வேண்டும்?

முதலில் கண்டறியப்பட்ட இரண்டு குறைபாடுகளுக்கான திருத்தங்களுடன் கூடிய PHP பதிப்புகளாக 8.2.35, 8.3.36, 8.4.27, 8.5.12 ஆகிய நான்கை IPA மற்றும் JPCERT/CC குறிப்பிடுகின்றன. அந்தந்த பதிப்புக் கிளைகளில் இதற்கு முந்தைய பதிப்புகள் பாதிக்கப்பட்டுள்ளன. தங்கள் அமைப்பு பயன்படுத்தும் PHP கிளைக்கு ஏற்ற திருத்தத்தை இயக்குநர்கள் தேர்ந்தெடுத்து, தங்கள் மென்பொருள் அல்லது இயங்குதள வழங்குநரின் வழிகாட்டுதலையும் சரிபார்க்க வேண்டும்.

பழைய நிறுவல்களும் கூடுதல் சிக்கலை ஏற்படுத்துகின்றன. PHP 5.4 மற்றும் அதற்குப் பிந்தைய பதிப்புகள், இரண்டு குறைபாடுகளில் குறைந்தது ஒன்றால் பாதிக்கப்படுவதாக சைபர் பாதுகாப்பு நிறுவனமான Wiz நடத்திய ஆய்வை IPA சுட்டிக்காட்டுகிறது. PHP 8.1 மற்றும் அதற்கு முந்தைய பதிப்புகளுக்கான ஆதரவு முடிவடைந்துவிட்டது. அதாவது, ஆதரிக்கப்படும் பதிப்புகளுக்கு வழங்கப்படும் வழக்கமான பராமரிப்புப் புதுப்பிப்புகள் அவற்றுக்குக் கிடைக்காது.

திருத்தம் கிடைக்காதபோது, ஆதரிக்கப்படும் PHP பதிப்புகளுக்கு மாறவோ அல்லது பாதுகாப்பு ஏற்பாடுகள் செய்யப்பட்ட தயாரிப்புகள் மற்றும் சேவைகளுக்கு மாறவோ IPA அறிவுறுத்துகிறது. குறைபாடுகளின் தீவிரத்தைக் கருத்தில் கொண்டு PHP-ஐ உருவாக்கியவர்கள் PHP 7.4, 8.0 மற்றும் 8.1 பதிப்புகளுக்குத் தற்காலிகத் தடுப்பு நடவடிக்கைகளை வரையறுக்கப்பட்ட அளவில் வழங்கியுள்ளதாக JPCERT/CC கூறுகிறது.

குறிப்பிட்ட தாக்குதல் வழிகள் மூலம் ஏற்படும் பாதிப்பைத் தற்காலிகத் தடுப்பு நடவடிக்கைகள் குறைக்கின்றன. முதலில் கண்டறியப்பட்ட குறைபாடுகளுக்கான தீர்வு புதுப்பிப்பே என்று JPCERT/CC கூறுகிறது. எனவே, தற்காலிக அமைப்புகளைப் பயன்படுத்தும் நிறுவனங்களும் தங்கள் அமைப்புகளுக்குத் தேவையான மென்பொருள் புதுப்பிப்பு அல்லது இடமாற்றத்தைத் திட்டமிட வேண்டும்.

தாக்குதல் முயற்சிகள் அவசரத்தை அதிகரிக்கின்றன

அக்டோபர் 26 அன்று தனது PHP குறைபாடு தொடர்பான ஆலோசனையைப் புதுப்பித்த JPCERT/CC, இந்தக் குறைபாடுகளைப் பயன்படுத்துவதாகக் கூறும் செயல்விளக்கக் குறியீடுகள் பல வெளியிடப்பட்டுள்ளதாகத் தெரிவித்தது. குறைபாடுகளைச் சுரண்ட முயலும் இணையப் போக்குவரத்து மீண்டும் மீண்டும் பதிவாகியுள்ளதாகவும் அது குறிப்பிட்டது.

அத்தகைய குறியீடு வெற்றி பெறுமா என்பது PHP பதிப்பு, செயலாக்கச் சூழல், நினைவகத்தில் தரவுகள் அமைந்திருக்கும் விதம் உள்ளிட்ட காரணிகளைப் பொறுத்தது. குறிப்பிட்ட சூழல்களை இலக்காகக் கொண்ட புதிய தாக்குதல் முறைகளும் நுட்பங்களும் தோன்றக்கூடும் என்று JPCERT/CC எச்சரிக்கிறது. புதுப்பிப்பை நிறுவுவதோடு, அமைப்பு ஏற்கெனவே பாதிக்கப்பட்டுள்ளதா என்பதையும் விசாரிக்க அது பரிந்துரைக்கிறது.

சந்தேகத்துக்கிடமான அறிகுறிகளைத் தேடுவதில், வழக்கத்திற்கு மாறாக நீளமான அல்லது வித்தியாசமான வடிவிலுள்ள PHPSESSID குக்கீகளைச் சரிபார்ப்பதும் அடங்கும். உலாவியின் அமர்வை அடையாளம் காணத் தேவையான தகவல்களை இந்தக் குக்கீகள் கொண்டிருக்கும். multipart/form-data எனும், பதிவேற்றங்களுக்குப் பொதுவாகப் பயன்படுத்தப்படும் வடிவில் வரும் சந்தேகத்துக்குரிய கோரிக்கைகளும் பிற எச்சரிக்கை அறிகுறிகளாகும். குறிப்பாக, நினைவக வரம்புப் பிழைகள் அல்லது சேவையகச் சிக்கலைக் குறிக்கும் HTTP 500 பிழைகளுக்கு அருகில் அவை வந்துள்ளனவா எனப் பார்க்க வேண்டும்.

PHP பணியாளர் செயல்முறைகள் எதிர்பாராத விதமாக முடங்குவதோ, அடிக்கடி மறுதொடக்கம் செய்யப்படுவதோ ஆய்வு செய்ய வேண்டிய மற்றொரு அறிகுறி. உள்வரும் பணிகளைக் கையாளும் செயல்முறைகளே பணியாளர் செயல்முறைகள். சந்தேகத்துக்குரிய செயல்முறைகள், வெளிப்புறத் தகவல்தொடர்புகள், புதிதாக உருவாக்கப்பட்ட கோப்புகள் ஆகியவற்றையும் தொடர்ந்து கண்காணிக்குமாறு JPCERT/CC பரிந்துரைக்கிறது. பாதிப்பு ஏற்பட்டிருக்கலாம் எனச் சந்தேகிக்கப்பட்டால், பதிவுகள் மற்றும் பிற சான்றுகளைப் பாதுகாத்து, பாதிக்கப்பட்ட பகுதியை விசாரித்து, தேவையான இடங்களில் அமைப்புகளைத் தனிமைப்படுத்துமாறு அறிவுறுத்துகிறது.

மூன்றாவது குறைபாட்டுக்கு அமைப்பு மாற்றம் தேவை

பதிலளிப்பு நடவடிக்கைகள் நடைபெற்று வந்தபோதே, அக்டோபர் 23 அன்று PHP-ஐ உருவாக்கியவர்கள் CVE-2026-115560 என்ற குறைபாட்டை வெளியிட்டனர். குறிப்பிட்ட உள்ளமைவு அமைப்புகளும் பயன்பாட்டுக் குறியீடும் இணைந்திருக்கும் நிலையில், இந்தக் குறைபாடு தன்னிச்சையான குறியீட்டை இயக்க அனுமதிக்கக்கூடும் என்று JPCERT/CC கூறுகிறது.

இந்தக் குறைபாட்டுக்குக் காரணமான உள்ளமைவு வழக்கத்தில் அரிதாகப் பயன்படுத்தப்படுவதாகவும், வழக்கமான வெளியீட்டுச் சுழற்சியில் திருத்தம் வழங்கத் திட்டமிட்டுள்ளதாகவும் PHP-ஐ உருவாக்கியவர்கள் தெரிவித்தனர். அந்த வெளியீடு வரும் வரை session.upload_progress.enabled=0 என அமைத்து, அனைத்துப் பணியாளர் செயல்முறைகளையும் மறுதொடக்கம் செய்யுமாறு JPCERT/CC பரிந்துரைத்தது. அக்டோபர் 26 அன்று வெளியிட்ட புதுப்பிப்பில், அந்தத் திருத்தத்திற்கான வெளியீட்டுத் தேதி குறிப்பிடப்படவில்லை.

CVE-2026-109619 குறைபாட்டுக்கான தடுப்பு நடவடிக்கையாகவும் இதே அமைப்பு ஏற்கெனவே பரிந்துரைக்கப்பட்டிருந்தது. அதைச் செய்த இயக்குநர்கள், அந்த அமைப்பை மீண்டும் மாற்றத் தேவையில்லை என ஆலோசனையில் தெரிவிக்கப்பட்டது. இருப்பினும், தங்கள் அமைப்புகளைச் சரிபார்க்கும்போது முதலில் கண்டறியப்பட்ட இரண்டு குறைபாடுகளையும் இந்தக் கூடுதல் குறைபாட்டையும் குழுக்கள் கணக்கில் கொள்ள வேண்டும்.

சில நிறுவனங்கள் பெரிய முடிவுகளை எடுக்க வேண்டியிருக்கும்

உடனடிப் பழுதுபார்ப்பைத் தாண்டியும் IPA-வின் ஆலோசனைகள் விரிகின்றன. ஒரு அமைப்பு இன்னும் என்ன பங்கு வகிக்கிறது, அது எந்த அளவு பயன்படுத்தப்படுகிறது, வேறு சேவை அதற்குப் பதிலாக அமையுமா என்பனவற்றை நிறுவனங்கள் ஆய்வு செய்ய வேண்டும் என அது கேட்டுக்கொள்கிறது. பராமரிப்பு இல்லாமல் இருந்த மென்பொருளை மீண்டும் செயல்படுத்தும்போது, அதற்குப் பிறகு அதை யார் ஆதரிப்பார்கள் என்பதையும் முடிவு செய்ய வேண்டியிருக்கலாம்.

புதுப்பிப்பு அல்லது இடமாற்றத்துக்கும், தொடர்ந்து செயல்படுவதற்கும் தேவையான பணியாளர்கள், நிதி, பராமரிப்பு ஏற்பாடுகள் ஆகியவற்றை வழங்க முடியுமா என்பதை வணிக மேலாளர்களும் நிர்வாகிகளும் தொழில்நுட்பப் பணியாளர்களுடன் இணைந்து மதிப்பிட வேண்டும் என IPA கூறுகிறது. அந்த ஆதரவை வழங்குவது சாத்தியமானால், புதுப்பிப்பை மேற்கொள்ளவோ பாதுகாப்பான சேவைக்கு மாறவோ அந்த முகமை பரிந்துரைக்கிறது.

தொடர்ச்சியான பராமரிப்பை ஏற்பாடு செய்ய முடியாதபோது, ஆதரவு கிடைக்கும் தயாரிப்புக்கு மாறுதல், செயல்பாடுகளைக் குறைத்தல், பொதுமக்கள் அணுகலை நிறுத்துதல் அல்லது அமைப்பைக் கைவிடுதல் ஆகியவற்றை IPA மாற்று வழிகளாகப் பட்டியலிடுகிறது. தேவையான தரவுகளைப் பாதுகாக்க அல்லது மாற்றுவதற்கான திட்டங்களையும், மாற்று ஏற்பாடுகளைப் பயனர்களுக்கு விளக்குவதையும் அது வலியுறுத்துகிறது.

குறிப்பிட்ட PHP பதிப்புகளை நிறுவுவதிலிருந்து தனிப்பட்ட வாடிக்கையாளர் வசதிகளை மீட்டெடுப்பது வரை நடைமுறைச் சவால் இப்போது நீண்டுள்ளது. பண்டாய் நாம்கோவின் கடை மீண்டும் திறக்கப்படும் என எதிர்பார்க்கப்படுவது திட்டமிடப்பட்டுள்ள ஒரு முன்னேற்றமாகும். அதேவேளை, அஷ்யூர்டின் கணக்கில் மீண்டும் திறந்ததாக உறுதிப்படுத்தப்படாத 465 சேவைகள், அக்டோபர் 26 நிலவரப்படி பொதுவெளியில் நிலையைச் சரிபார்க்க வேண்டிய பணிகள் இன்னும் எவ்வளவு உள்ளன என்பதைக் காட்டுகின்றன.

முக்கிய அம்சங்கள்

• அக்டோபர் 26 பிற்பகல் 3 மணி நிலவரப்படி, ஜப்பானில் 1,090 சேவைகள் நிறுத்தப்பட்டதாக அஷ்யூர்ட் கணக்கிட்டது. அக்டோபர் 23 அன்று இந்த எண்ணிக்கை 502 ஆக இருந்தது.
• 465 சேவைகள் மீண்டும் திறக்கப்பட்டதாக அறிவிக்கப்பட்டதை உறுதிப்படுத்த முடியவில்லை. இது மொத்தத்தில் சுமார் 43% ஆகும்.
• PHP2shell குறைபாடுகள் மூலம் தொலைவிலுள்ள தாக்குதலாளர்கள் PHP செயல்முறைக்குக் கொடுக்கப்பட்ட அனுமதிகளுடன் குறியீட்டை இயக்க முடியும்.
• முதலில் கண்டறியப்பட்ட இரண்டு குறைபாடுகளுக்கான திருத்தப் பதிப்புகள் PHP 8.2.35, 8.3.36, 8.4.27 மற்றும் 8.5.12 ஆகும்.
• செயல்விளக்கக் குறியீடுகள் வெளியிடப்பட்டுள்ளதாகவும், குறைபாடுகளைச் சுரண்ட முயற்சிகள் பதிவாகியுள்ளதாகவும் JPCERT/CC எச்சரித்தது.
• மூன்றாவது குறைபாட்டுக்கான திருத்தம் தயாராகும் வரை, தற்காலிக உள்ளமைவு மாற்றமும் அனைத்துப் பணியாளர் செயல்முறைகளின் மறுதொடக்கமும் தேவை.
• பொம்மைகள் மற்றும் பிற பொருட்களுக்கான கடையை அக்டோபர் 27 நண்பகலில் மீண்டும் திறக்க பண்டாய் நாம்கோ எதிர்பார்த்தது. அக்டோபர் 26 அன்று சில ஆர்கேட் இணைப்புகளும் டாய்வா செக்யூரிட்டீஸின் சில நடைமுறைகளும் தொடர்ந்து நிறுத்தப்பட்டிருந்தன.