PHP туралы жаңа ескертулер: Қазақстанның білім сайттарынан не көрінеді?

Соңғы тәулікте не жаңарды?

23 қазанда PHP сессиядағы жүктеу барысын көрсету механизмі туралы қосымша хабарлама жариялады. CVE-2026-115560 конфигурация мен қолданба коды сирек ұштасқанда қашықтан код орындауға жол ашуы мүмкін деп сипатталған. Кезекті түзетуге дейін әзірлеушілер session.upload_progress.enabled параметрін өшіруді, бұрын өшіргендерге сол күйді сақтауды ұсынады. Бұл барлық PHP сайты бұзылды деген мәлімдеме емес. PHP хабарламасы.

Алдыңғы екі сыни осалдық — CVE-2026-109618 және CVE-2026-109619 — 21 қазанда PHP 8.2.35, 8.3.36, 8.4.27 және 8.5.12 нұсқаларында түзетілді. Бұл шығарылымдар сол екі ақауға қатысты; 23 қазандағы қосымша хабарлама бөлек қаралады. Linux пен коммерциялық LTS пакеттерінде негізгі нұсқа өзгермей-ақ түзету енгізілуі мүмкін, сондықтан жеткізуші бюллетені мен пакеттің толық нөмірі маңызды. PHP, 23 қазанда жаңарған Red Hat бюллетені.

Біз нені тексердік?

24 қазанда Shanraq редакциясы таңдалған 60 ашық мекенжайға бір-бірден қалыпты HTTPS сұрауын жіберді. Тек басты бет, жауаптың ашық тақырыптары және HTML ішіндегі технология белгілері қаралды. Жеке кабинетке кіру, диагностикалық файл іздеу, жүктеме сынағы мен осалдықты пайдалану болған жоқ. Оқушылардың жеке деректері жиналмады.

Бұл мақсатты, репрезентативті емес таңдау: Қазақстан сайттарының толық санағы да, қауіпсіздік аудиті де емес. ЖОО таңдауда ENIC каталогы, колледждер үшін ашық тізімдер мен өз беттері пайдаланылды; мектеп бөлігі көбіне Қостанаймен байланысты. Мекенжай мен атау алынған бетпен салыстырылды. Ішкі LMS, филиалдардың қосалқы домендері және мердігер серверлері қамтылмады. Меншік нысаны әртүрлі білім ұйымдарын тек мемлекеттік мекемелердің расталған тізімі деп қарастыруға болмайды.

60 мекенжайдың 45-і HTTP 200 жауабын берді, бірақ мазмұнды жарамды бет саны — 36. Он бес сұрауда желі, TLS қатесі немесе күту уақытының аяқталуы тіркелді. Жеті жауапта қолжетімділік шектеуі не техникалық қабық болды; екі жауап күтілген ұйымды растамағандықтан технология статистикасынан шығарылды. Бұл олардың бұзылғанын дәлелдемейді. Білім органдарының алты мекенжайы бір GOV.KZ доменіне жатады: оларды алты тәуелсіз технологиялық платформа деп санауға болмайды.

Нәтижені қалай оқу керек?

36 жарамды беттің 7-еуінде сервер PHP мен нұсқа нөмірін ашық көрсетті. Тағы 11 бетте WordPress, Joomla немесе Bitrix белгілері бар: бұл PHP-пен байланысты CMS туралы жанама белгі, қазіргі сервер ортасының дәлелі емес. 18 бетте PHP анықталмады. Білім бөлігінде 31 жарамды бет бар: 7 ашық PHP баннері, 10 жанама CMS белгісі және 14 анықталмаған нәтиже. Бұл сандар бүкіл Қазақстан біліміне таралмайды.

Жеті баннердегі нұсқалар: 5.3.29 — бір, 5.6.40 — екі, 7.4.33 — үш, 8.3.36 — бір рет. Алты баннер PHP Project жүйелі қолдауы аяқталған тармақтарды көрсетеді. Бұл нұсқасын ашқан 7 баннердің 6-уы, «мектептердің 86%-ы қауіпті» деген сөз емес. Баннер ескі, өзгертілген немесе backport түзетуі бар пакетке қатысты болуы ықтимал. Патчты әкімші пакет тізімі мен HTTP қызметін нақты атқаратын процесс арқылы растайды.

PHP: Supported Versions

Тіл, фреймворк және нұсқа — бөлек деңгейлер

36 жарамды беттің бәрі сыртқы JavaScript скрипттерін қосады. Бұл браузердегі клиент бөлігіне қатысты бақылау; серверде Node.js барын дәлелдемейді. Екі бет Nuxt, тағы екеуі Next.js тақырыбын береді. Бұл фреймворктер дайын статикалық бет те бере алады; бастапқы код тілін немесе сервер ортасының нұсқасын ашпайды. Жиналған скрипттен TypeScript пен JavaScript-ті сенімді ажырату мүмкін емес.

Осы шолуда Java, Python, Go, C#, Node.js пен операциялық жүйе нұсқалары расталмады. «Анықталмады» таралуы нөл деген сөз емес. Кей HTML метадерегінде WordPress 7.1.3, 6.8.8 және 6.0.17 кездеседі: бұлар PHP емес, CMS нұсқалары. CMS қолдауы бөлек тексерілуі керек; оның нөмірін осалдықтың дәлелі деп бермейміз. Нақты ашық белгілер төмендегі кестеде келтірілген.

Жағдай қаншалықты ескірген және қауіпсіз?

Ескі PHP баннері жүйенің өмірлік циклін, жаңартуға жауаптыны және қолдау шартын басым тәртіппен тексеруге негіз болады. Бірақ ескі не жаңа нөмірдің өзі жеке деректер қауіпсіздігіне толық жауап бермейді. Қолжетімділік құқықтары, файл жүктеу қорғанысы, тәуелділіктер, баптау, резервтік көшірме, оқиғалар журналы мен инцидентке әрекет те маңызды. PHP 5.3.29 нұсқасына басқа нұсқа ауқымына арналған CVE әсерін автоматты түрде телуге болмайды: қолдаудың аяқталуы мен нақты қатенің қолданылуы — бөлек тұжырымдар.

36 жарамды беттің бәрі тексерілген HTTPS арқылы алынды. HSTS тақырыбы 15, CSP — 4, X-Content-Type-Options пен X-Frame-Options әрқайсысы 16 бетте байқалды. Бір жауапта тақырыптың болмауы барлық балама қорғаныс жоқ дегенді білдірмейді. HTTPS тасымалды қорғайды, бірақ сервер интерпретаторының қатесін түзетпейді. Бұл көрсеткіштерден «қауіпсіздік рейтингі» жасалмайды.

Әр жарамды бет бойынша бақылау

Кестедегі нұсқалар — кодты орындап тексеру емес, сервер жауабының мәлімдемесі. CMS ізі кэште қалуы мүмкін; плагин жаңаруы PHP жаңаруын білдірмейді. Белгінің болмауы технологияның жоқтығын дәлелдемейді.

Мемлекеттік білім құрылымдары шара қабылдады ма?

KZ-CERT PHP2Shell туралы ұлттық ескерту жариялағаны расталды. Бұл — ақпараттандыру шарасы, әр білім сервері жаңартылды деген акт емес. Білім домендері мен GOV.KZ бойынша іріктемелі іздеуде жекелеген ұйымдардың патч орнату актілері, веб-процестерді қайта іске қосу журналдары немесе тәуелсіз тексеру нәтижелері алынбады. Олардың іздеуде болмауы әрекетсіздік дегенді білдірмейді: ішкі жұмыс әдетте жарияланбайды. KZ-CERT ескертуі.

Бір мектептің жауабы 21 қазандағы түзетілген upstream шығарылымына сәйкес 8.3.36 нұсқасын көрсетеді. Бұл — сыртқы оң белгі, бірақ мектептің барлық сервері, жаңа хабарламаға сай баптау немесе оқушылар базасының қорғалғаны расталды деген сөз емес. Толық жауапты жүйе иесі береді: қандай пакет пен SAPI қолданылады, түзету қашан орнатылды, процестер қайта іске қосылды ма және нәтижені кім тексерді? Редакция ұйымдар атынан мердігерге жүгінген жоқ және ішкі инфрақұрылымға кірген жоқ.

Тексерілетін қорғаныс жоспары

1. LMS пен мердігер құрамбөліктерін қоса барлық сыртқы және ішкі PHP қолданбасының тізімі; әрқайсысының иесі мен қолдау мерзімі.
2. Жеткізуші бюллетенімен расталған түзетілген пакет; контейнер болса, негізгі образды жаңартып, жаңа жинақты орналастыру.
3. Тиісті веб-процестерді толық қайта іске қосып, HTTP сұрауына нақты қызмет көрсететін ортаны тексеру. CLI нұсқасының өзі жеткіліксіз; ашық phpinfo() бетін жариялау қажет емес.
4. 23 қазандағы хабарламаны қарау, жүктеу барысын көрсету өшірілгенде қолданбаны сынау және әкімші арқылы конфигурацияны бақылау. Уақытша баптау алдыңғы екі сыни ақаудың түзетуін алмастырмайды.
5. Журнал, құқықтар, резервтен қалпына келтіру мен тәуелділіктерді тексеру; құжатталған нәтиже және жауапты тұлға. Инцидент күдігі болса, KZ-CERT-пен әрекеттесу.

Жария есепте жүйе саны, түзетілген үлес, ерекшеліктер мен мерзімдер жеткілікті. Құпияларды, ішкі мекенжайларды және оқушының жеке деректерін жарияламау керек.

Astana Hub G-TON аясындағы ұсынысымыз

Shanraq және «Казна Технолоджис» ЖШС облыстық білім басқармаларына жұмыс істеп тұрған Go модульдік негізінде бірыңғай платформа ұсынады. Қазіргі өнімде материал жариялау, есептік жазбалар, рөлдер және үш тілдегі мазмұн бар; стек Go, PostgreSQL және chi HTTP фреймворкін қамтиды. Бұл — әзірлеуші ретіндегі өз ұсынысымыз; тәуелсіз артықшылық қорытындысы немесе бағдарламада жеңіске жеттік деген хабар емес. Shanraq фреймворкі.

G-TON-дағы «Білім ұйымдарының порталы» міндетінде сайттарды қайта сатып алатын шамамен 600 мектеп пен балабақша және облыс серверіндегі ұйымдарға тегін платформа сипатталған. Біз бөлек өңірлік жинақ, ұйым кеңістіктері, ортақ үлгілер және орталықтандырылған қызмет көрсетуді ұсынамыз. Дерек пен құқықты бөлу, көшіру, қалпына келтіру, жүктеме мен жаңарту рәсімдері пилотта тексерілуі керек. Презентацияда 3–5 ұйым мен екі ай ұсынылған; бұл — келісуге арналған жоспар, тапсырыс беруші бекіткен кесте емес. Astana Hub міндеті, презентациямыз.

Go автоматты қауіпсіздік бермейді: тәуелділіктерді жаңарту, құқықтарды бақылау және сыртқы аудит қажет. Бірыңғай платформаның практикалық мәні — өмірлік циклге жауаптыны бекітіп, жаңартуларды жүйелі тексеру және ұйымдарды оқшаулау. Тіл таңдаудың өзі бұл рәсімдерді алмастырмайды.

60 сұраудың CSV деректері. 24 қазан 2026 күнгі ашық беттер көрінісі.

ENIC · GOV.KZ

Бастапқы дереккөз: https://www.php.net/archive/2026.php#2026-10-23-1.

Графиктер мен мұқаба: Shanraq, 24.10.2026 күнгі өз бақылауы.