Apache HTTP Server’da jiddiy zaiflik: millionlab serverlar masofaviy hujumlar xavfi ostida qolmoqda!

Bugungi raqamli infratuzilmaning ajralmas qismi bo‘lgan Apache HTTP Server yana bir bor kiberxavfsizlik muammolari markaziga aylandi. Apache Software Foundation tomonidan e’lon qilingan so‘nggi xavfsizlik yangilanishi butun dunyo bo‘ylab millionlab serverlarga tahdid solayotgan bir qator zaifliklarni bartaraf etdi. Ularning ichida eng xavflisi — masofadan turib tizimda kod bajarish (RCE) imkonini beruvchi jiddiy nuqson bo‘lib, u millionlab serverlar uchun real tahdid sifatida baholanmoqda.

Asosiy muammo: “double-free” xatoligi va uning oqibatlari

Aniqlangan eng xavfli zaiflik CVE-2026-23918 bo‘lib, u 8.8 ball bilan “High” darajada baholangan. Ushbu muammo HTTP/2 protokoli doirasida yuzaga keladigan “double-free” xotira xatoligi bilan bog‘liq.

Texnik jihatdan, “double-free” — bu dastur bir xil xotira hududini ikki marta bo‘shatishga uringanida yuzaga keladigan holat. Bunday vaziyatda xotira tuzilmalari izdan chiqadi va tajovuzkorlar ushbu buzilishdan foydalanib, dastur bajarilishini o‘z ixtiyoriga yo‘naltirishi mumkin. Natijada serverda begona kod ishga tushadi — bu esa tizim ustidan to‘liq nazorat o‘rnatish degani.

Mazkur zaiflik aynan 2.4.66 versiyasiga taalluqli bo‘lib, u dastlab 2025-yil oxirida aniqlangan. Tezkor tarzda tuzatish ishlab chiqilgan bo‘lsa-da, keng ommaga mo‘ljallangan yangilanish faqat 2026-yil may oyida taqdim etildi.

Ikkinchi darajali, ammo muhim zaifliklar

Yangi 2.4.67 versiya faqat bitta emas, balki bir nechta muammolarni bartaraf etadi. Ular orasida quyidagilar alohida e’tiborga loyiq:

  • CVE-2026-24072 — mod_rewrite modulida aniqlangan zaiflik bo‘lib, noto‘g‘ri sozlangan .htaccess orqali foydalanuvchilar ruxsat etilmagan fayllarni o‘qishi mumkin. Bu esa imtiyozlar oshirilishiga olib keladi.
  • CVE-2026-28780 — mod_proxy_ajp modulida buffer overflow holati. Agar server zararli AJP xizmatiga ulanadigan bo‘lsa, u maxsus tayyorlangan so‘rov orqali xotiraga zarar yetkazishi mumkin.
  • CVE-2026-29168 — resurslardan cheksiz foydalanishga olib keluvchi nuqson. Bu orqali tajovuzkor serverni ortiqcha yuklab, xizmatni ishdan chiqarishi mumkin.
  • CVE-2026-29169 — NULL pointer xatoligi sababli serverni qulatish (DoS) imkonini beruvchi zaiflik.

Bu zaifliklar alohida qaralganda past yoki o‘rta darajali bo‘lishi mumkin, ammo ular kompleks tarzda ishlatilganda tizim xavfsizligini jiddiy zaiflashtiradi.

Nega bu muhim?

Apache HTTP Server — dunyodagi eng keng qo‘llaniladigan veb-serverlardan biri. U nafaqat oddiy veb-saytlar, balki:

  • yirik korporativ platformalar,
  • davlat axborot tizimlari,
  • bulutli xizmatlar infratuzilmasi

uchun ham asosiy komponent hisoblanadi.

Shu sababli undagi har qanday jiddiy zaiflik keng ko‘lamli kiberxavf tug‘diradi. Ayniqsa, RCE turidagi hujumlar orqali tajovuzkorlar:

  • serverni to‘liq egallashi,
  • maxfiy ma’lumotlarni o‘g‘irlashi,
  • zararli dasturlarni joylashtirishi,
  • tizimni boshqa hujumlar uchun “platforma”ga aylantirishi mumkin.

Himoya choralar: zudlik bilan amalga oshirilishi zarur qadamlar

Mutaxassislar quyidagi amaliy choralarni tavsiya qilmoqda:

1. Zudlik bilan yangilash
Serverni 2.4.67 versiyasiga yangilash — barcha aniqlangan zaifliklarni bartaraf etishning eng ishonchli yo‘li.

2. HTTP/2 funksiyasini vaqtincha o‘chirish
Agar yangilash imkoniyati darhol mavjud bo‘lmasa, asosiy xavfni kamaytirish uchun HTTP/2 ni o‘chirib turish mumkin.

3. Keraksiz modullarni olib tashlash
mod_dav_lock kabi kam qo‘llaniladigan modullarni o‘chirish orqali hujum yuzasini qisqartirish mumkin.

4. Ruxsatlarni qayta ko‘rib chiqish
.htaccess fayllari va foydalanuvchi huquqlarini qat’iy nazorat qilish zarur.

5. Monitoring va audit
Server loglarini muntazam tahlil qilish va shubhali faoliyatni erta aniqlash muhim ahamiyatga ega.

Mazkur voqea yana bir muhim haqiqatni ko‘rsatadi: zamonaviy kiberxavfsizlik muhitida hatto eng ishonchli va keng tarqalgan texnologiyalar ham zaif bo‘lishi mumkin. Har bir yangilanish — bu shunchaki yangi imkoniyat emas, balki xavfsizlikni saqlab qolish uchun zaruriy choradir.

Shu bois, tizim administratorlari va tashkilotlar uchun asosiy vazifa — infratuzilmani doimiy ravishda yangilab borish, xavfsizlik siyosatini kuchaytirish va har qanday tahdidga nisbatan hushyorlikni yo‘qotmaslikdir.