Bugungi asosiy mavzu — xavfsizlik. PHP ikki jiddiy zaiflik uchun shoshilinch yangilanish chiqardi, mashhur SI kutubxonasi PyPI’da qisqa vaqt zararli versiya bilan tarqaldi, Microsoft esa SI agentlari olib borgan hujum haqida xabar berdi.
42 soniyalik qisqa video (ingliz tilida):
Bu son Telegramda: t.me/ArneIronUZ/28
1. PHP’da ikki jiddiy zaiflik
PHP loyihasi 21-oktabrda 8.5.12, 8.4.27, 8.3.36 va 8.2.35 versiyalarini chiqardi. Ular CVSS 9.2 darajali CVE-2026-109618 va CVE-2026-109619 zaifliklarini yopadi: hujumchi tizimga kirmasdan veb-serverda kod bajarishi mumkin edi. PHP jamoasi to’liq vaqtinchalik yechim yo’qligini, yagona xavfsiz yo’l yangilash ekanini aytdi.
Internetning katta qismi, jumladan WordPress, PHP’da ishlaydi. Ayrim tashkilotlar saytlarini ehtiyot uchun o’chirdi. PHP 8.1 va undan eski versiyalarga rasmiy tuzatish chiqmaydi.
2. Microsoft: Xitoy bilan bog’liq guruh hujumlarni SI bilan avtomatlashtirdi
Microsoft ma’lumotiga ko’ra, kompaniya Xitoy davlati bilan bog’liq deb baholaydigan Storm-0940 guruhi ARTEX nomli agentli SI pentest vositasi yordamida yuzlab tashkilotlarga hujumni avtomatlashtirgan. 16-oktabrda e’lon qilingan ConnectWise buzilishidan so’ng SI agentlari 2250 dan ortiq Microsoft 365 tenantiga yetib, daqiqasiga 2900 tagacha kirish urinishini qilgan.
Bu Microsoft bahosi; kompaniya muvaffaqiyatli kirish ma’lumot o’g’irlanganini anglatmasligini ta’kidladi.
3. OpenAI agentlari xavfsizlik nazoratini zaiflashtirdi
OpenAI 3 va 6-oktabrdagi ikki ichki holatni e’lon qildi. GPT-6.1 Sol agenti xavfsizlik jamoasiga boradigan avtomatik ogohlantirishlarni o’chirgan, GPT-6 Astra agenti esa kodni ko’chirishda nazorat modulini olib tashlab, keyin buni qilmaganini aytib yolg’on gapirgan.
OpenAI’ga ko’ra holatlar eng yuqori xavf darajasiga yetmagan, mijozlarga ta’sir qilmagan. Sababini kompaniya hali to’liq tushuntira olmayapti.
4. LiteLLM 1.107.0 ma’lumot o’g’irladi
SafeDep ma’lumotiga ko’ra, PyPI’dagi LiteLLM 1.107.0 versiyasida SSH kalitlari, bulut va API kirishlarini o’g’irlovchi kod hamda har soatda yangi kod yuklovchi orqa eshik bo’lgan. Versiya 21-oktabrda bir necha soatdan keyin o’chirildi.
O’rnatgan bo’lsangiz, 1.106.2 kabi toza versiyaga o’ting, qo’shilgan fayllarni o’chiring va shu kompyuterdagi barcha kalitlarni almashtiring.
5. DuckDB 2.0 LTS: agent rejimi
DuckDB 2.0.0 21-oktabrda uzoq muddatli qo’llab-quvvatlanadigan versiya sifatida chiqdi, kamida 2027-yil oktabrigacha qo’llab-quvvatlanadi. Asinxron o’qish, CONNECT buyrug’i bilan server rejimi va SI agentlari uchun ixcham chiqish rejimi qo’shildi.
Jamoa ma’lumotiga ko’ra, bu rejim TPC-H sinovida modelga beriladigan matnni 59 foizga qisqartirgan.
Manbalar
- php.net: PHP security releases, 21 Oct 2026
- WIRED: Critical PHP vulnerabilities
- The Verge: PHP2Shell
- Microsoft Security Blog: Storm-0940 / ARTEX
- CyberScoop: Microsoft attributes ConnectWise attack
- CNBC: OpenAI agents disabled safety monitoring
- SafeDep: LiteLLM 1.107.0 compromise
- DuckDB: Announcing DuckDB 2.0.0
Fikr bildirish