«Milyonlarla avadanlıq zəifdir»: Ledger-in CTO-su

• İcraçı, kritik zəifliklərin ekosistemdə artıq aktiv şəkildə istismar edildiyini vurğuladı.
• Minlərlə köhnə versiyaya sahib serverlər texniki həll olmadan açıq qalacaq.

Ledger-in texnologiya direktoru (CTO) Charles Guillemet, internetin əsas infrastrukturundakı kritik çatışmazlıqların birləşməsi səbəbindən kiber təhlükəsizlik vəziyyətinin "həqiqətən qorxulu" olduğunu bildirdi.

İcraçıya görə, bu boşluqların istismarı artıq rəqəmsal ekosistemdə aktivdir, qısa müddətdə yeniləmələr almayacaq milyonlarla avadanlığı təhlükəyə atır və mənzərənin tezliklə yaxşılaşmayacağını proqnozlaşdırır.

Guillemet-in 21 oktyabr 2026-cı il tarixində sosial şəbəkələrində paylaşdığı xəbərdarlıq, eyni anda üç zəiflik cəbhəsinə diqqət yetirir.

Bunlardan biri PHP proqramlaşdırma dilində iki kritik zəiflikdir ki, bunlar 10 üzərindən 9,2 səviyyəsində qiymətləndirilmişdir, bu barədə bu gün CriptoNoticias məlumat verib.

Guillemet, istismar cəhdlərinin rəsmi düzəlişin dərc edilməsindən əvvəl başladığını vurğulayaraq, bu proqramın köhnə versiyaları üçün heç bir yamanın olmadığını xatırlatdı.

İkinci risk vektoru Node.js-ə aiddir, burada bu ay dörd yüksək təhlükə dərəcəsinə malik zəifliklərin qeydə alındığı bildirilmişdir ki, bunlar kodun istənilən şəkildə icrasına imkan tanıyır.

Nəhayət, CTO, 3-dən 8 bitə qədər olan özəl açarları pozulmuş səkkiz TLS aralıq sertifikatının aşkarlandığını bildirdi. Bu aşkar etmə ilə Guillemet, artıq TLS standartına tam etibar etməyin mümkün olmadığını qeyd etdi.

Bu mənzərənin bitcoin və rəqəmsal aktivlər ekosisteminə təsiri birbaşa olur. Bitcoin protokolunun konsensusu PHP-dən asılı olmadığı və bu uzaq icra hesabatlarına tamamilə immun olduğu halda, ticarət və mühafizə əməliyyatlarını asanlaşdıran ətraf infrastruktur geniş hücum səthini saxlayır.

Valyuta mübadiləsi evlərinin ictimai interfeysləri, daxili cüzdan sistemləri, mərkəzləşdirilməmiş maliyyə platformaları (DeFi) və ödənişlər üçün istifadə olunan proqramlaşdırma interfeysləri (API) riskə məruz qalır.

PHP ətrafında olan problemin miqyası, miras alınmış proqram təminatının struktur asılılığında dayanır. CVE-2026-109618 və CVE-2026-109619 kimi tanınan zəifliklər bu gün PHP Fondu tərəfindən düzəldiləcək, lakin yeniləmə yalnız 8.2-dən 8.5-ə qədər olan versiyalar üçün məhduddur. Tədqiqatçı Jonathan Cran tərəfindən toplanan məlumatlara görə, internetdə açıq olan serverlərin 59%-i köhnəlmiş versiyalarla işləyir --- 8.1-dən əvvəlki versiyalar --- və onların ömrü başa çatıb.

Bu, 884.000-dən çox serveri daimi zəiflik vəziyyətində qoyur. Bu riskin coğrafi yayılması yüksək açıq sahələri təqdim edir; məsələn, Argentinada, qeyd olunan avadanlıqların 88%-i təyin olunmuş yamanı almayacaq.

Problem, bu infrastrukturun böyük hissəsinin kütləvi provayderlərin paylaşılmış xidmətlərində yerləşməsi ilə daha da ağırlaşır, bu da bir pozulmuş ünvanın yüzlərlə portalı, tarixi forumları və PHP istifadə edən peer-to-peer (P2P) ticarət skriptlərini eyni anda təsir etməsinə imkan tanıyır.

Guillemet-in köhnə maşınlar üçün mümkün texniki həllərin olmaması ilə bağlı təsdiqi qarşısında, kriptovalyuta ekosistemi struktur asimmetriya ilə üzləşir. Süni intellekt tərəfindən dəstəklənən avtomatlaşdırılmış alətlərin istifadəsi, boşluqları kütləvi şəkildə axtarmaq və istismar etmək üçün lazım olan əməliyyat xərclərini kəskin şəkildə azaltmışdır, bu da geri qalmış infrastrukturun cavab vermə qabiliyyətini aşır.

Bu daimi açıq pəncərəni azaltmaq üçün, dərhal rəsmi dəstəklənən versiyalara keçə bilməyən şirkətlər və idarəçilər təcili mühafizə tədbirlərinə etibar edəcəklər. Zəif son nöqtələrin ayrılması, yalnız virtual özəl şəbəkələr (VPN) vasitəsilə girişin məhdudlaşdırılması, icazə verilən ünvanların sərt siyahılarının tətbiqi və anormal fayl istehsalının davamlı monitorinqi, istifadəçilərin fondlarının və məlumatlarının bütövlüyünü qorumaq üçün mümkün sağ qalma mexanizmləri kimi görünür.

Bu məzmun yalnız ümumi məlumat məqsədilə təqdim olunur və maliyyə, investisiya, hüquqi və ya vergi məsləhəti hesab edilməməlidir. Burada qeyd olunan hər hansı tədbir, mükafat, onlayn kampaniya və ya əlaqəli məlumat hər hansı kriptoaktivin alınması, satılması, treydinqi və ya digər əməliyyatların aparılması üçün tövsiyə, təşviq və ya dəvət kimi qiymətləndirilməməlidir. Kriptoaktivlər yüksək dəyişkənliyə malikdir və maliyyə itkisinə səbəb ola bilər. WEEX-in xidmətləri, məhsulları və əlaqəli tədbirlərinin əlçatanlığı regiondan asılı olaraq dəyişə bilər. İştirakınızın yerli qanunvericilik və tənzimləyici tələblərə uyğun olmasını təmin etmək sizin məsuliyyətinizdir.