php2shell

PHP runtime-ının özündə tapılan iki kritik remote code execution (RCE) zəifliyinin ümumi adı: CVE-2026-109618 və CVE-2026-109619. Hər ikisi CVSS 4.0 üzrə 9.2 (watchTowr 10.0 verir) və autentifikasiya tələb etmir. Problem framework-də, CMS-də və ya plugin-də deyil, PHP-nin özündədir — ona görə WordPress, Laravel və ya Drupal-ı yeniləmək kifayət etmir, PHP binary-ni yeniləmək lazımdır.

iki zəiflik
CVE-2026-109619 (Use-after-free)
Session-un upload progress funksiyası multipart upload zamanı session datasına iki xam zval * pointer saxlayır. ikinci progress yenilənməsində session yenidən oxunur, köhnə ağac silinir, amma pointer-lər yenilənmir — azad edilmiş yaddaşa göstərirlər. Hücumçu həmin yeri saxta strukturlarla doldurur və nəticədə öz funksiya çağırışını (məs. system()) icra etdirir.

CVE-2026-109618 (OOM zamanı yaddaş korlanması)
Sorğu hazırlanarkən memory_limit aşılır, PHP longjmp() ilə geri qayıdır və normal təmizləmə/inisializasiya addımları ötürülür. Yarımçıq qalmış strukturlar request shutdown zamanı oxunur və engine hücumçunun nəzarət etdiyi destructor pointer-inə keçid edə bilir.

Niyə bu qədər təhlükəlidir
Hücum istifadəçi kodundan əvvəl baş verir: upload progress-i session layer request parse olunan anda emal edir. Tətbiq faylı heç qəbul etməsə belə, POST qəbul edən istənilən endpoint hədəfdir (baxma: Session və cookie).

session.upload_progress.enabled default olaraq On-dur — xüsusi konfiqurasiya lazım deyil.
Bütün web SAPI-lər təsirlənir: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed (baxma: PHP-FPM). Ən yüksək risk mod_php-dədir.

Təsirlənən versiyalar: PHP 5.4-dən 8.5-ə qədər. Web-də server tərəfi dili məlum olan saytların təxminən 69%-i PHP işlədir.

Həll yolu
Təhlükəziz yaması versiyalara update etmək.
Düzəldilmiş versiyalar: 8.5.12, 8.4.27, 8.3.36 və 8.2.35. 8.1 və köhnə versiyalar üçün rəsmi release yoxdur.

Xronologiya

2024 — PHP core developer-lərindən biri audit zamanı yaddaş tükənəndə (OOM) baş verən baqı görür. Komanda düzəlişin necə olacağı barədə razılaşa bilmir və məsələ kənarda qalır.

Avqust 2026 — Calif şirkətindən Ryan Austin AI köməyi ilə zəiflikləri tapır. Wiz də onları müstəqil şəkildə tapır. PHP komandasına xəbər verilir, açıqlama 22 oktyabra planlaşdırılır.

17 oktyabr — Amazon öz tələ serverlərində (honeypot) ilk istismar cəhdini qeydə alır. Bu, rəsmi açıqlamadan 4 gün əvvəl olur.

20 oktyabr — sızma. Planlaşdırılmış tarixdən 2 gün əvvəl detallar Hacker News-da yayılır. watchTowr X-də bu barədə yazır, Calif isə səhvən exploit-in işlədiyini göstərən videonu paylaşır. PHP php.net-də xəbərdarlıq yerləşdirir: yamaq sabah saat 14:00 UTC-də çıxacaq.

21 oktyabr, yamaqdan əvvəl — Cloudflare açıqlamadan təxminən 9 saat əvvəl hücum sorğularını bloklayan WAF qaydalarını bütün müştərilərinə, pulsuz plan da daxil olmaqla, qoşur. Cloudflare-in CTO-su bunun yalnız müvəqqəti tədbir olduğunu, yeniləmənin şərt olduğunu vurğulayır. Bu vaxt Chainguard düzəldilmiş paketləri rəsmi vaxtdan əvvəl yayımlayır, nəticədə hücumçular dəyişən kodu görə bilir. PHP Foundation bunu kəskin tənqid edir.

21 oktyabr, 14:00 UTC — yamaq. PHP 8.5.12, 8.4.27, 8.3.36 və 8.2.35 versiyalarını çıxarır. EOL olan 7.4, 8.0 və 8.1 üçün yalnız source patch-lər var. Həmin gün Ubuntu, Debian, Red Hat, cPanel, CloudLinux və Ondřej Surý də öz paketlərini yayımlayır.

21 oktyabr — hücum dalğası. Cloudflare saatlar ərzində milyonlarla istismar cəhdi qeydə alır, watchTowr da öz tələ serverlərində cəhdlər görür. Lakin bu cəhdlərin real sistemlərə qarşı uğurlu olub-olmadığı təsdiqlənmir.

20–21 oktyabr — dövlətlər saytlarını bağlayır. Yamaq gözlənilərkən dövlətlər ehtiyat tədbiri görür:
• ABŞ: NSA tövsiyə edir ki, dərhal yeniləyə bilməyənlər sistemi offline etsin. CISA isə həmin gün istismar müşahidə etmədiyini bildirir.
• Böyük Britaniya: NCSC xəbərdarlıq edir və serverlərdə arxa qapı (backdoor) qalıb-qalmadığını yoxlamağı tövsiyə edir. Edinburq və Oksford bələdiyyələrinin, London polisinin (Met Police) saytları müvəqqəti bağlanır.
• Avropa: CERT-EU və NCSC-nin tövsiyəsi ilə bir çox ölkə saytlarını bağlayır. Finlandiya bütün dövlət saytlarını, Niderland Overheid.nl portalını, Fransa isə Daxili işlər Nazirliyinin bütün saytlarını müvəqqəti söndürür. Danimarkada milli məktəb platforması, Belçikada iri saytlar dayanır. Çexiya hökumətinin və Almaniyanın federal IT provayderi ITZBund-un da saytlarını bağladığı bildirilir.
• Kanada: Kanada Kibertəhlükəsizlik Mərkəzinin tövsiyəsi ilə bəzi dövlət saytları müvəqqəti bağlanır.
• Yaponiya: Milli kibertəhlükəsizlik ofisi təcili yeniləməyə çağırır. Umamusume və Granblue Fantasy kimi oyunlar, BASE və Sakura hostinq təcili texniki xidmətə keçir.

21 oktyabr — böyük platformalar. Wikimedia Foundation bir çox köməkçi servisini söndürür. 4chan və Something Awful offline olur, Internet Archive qısa müddət bağlanır.

22 oktyabr — Sinqapurun kibertəhlükəsizlik agentliyi (CSA) təcili yeniləməyə çağırır. HKCERT (Honq-Konq) hər iki CVE-nin istismar olunduğunu yazır, Niderlandın NCSC-si isə ilk uğurlu hal əlamətlərini araşdırdığını bildirir. Sansec-ə görə ictimai exploit-lər default PHP quraşdırmasında işləmir, ona görə kütləvi istismar ehtimalı əvvəl düşünüləndən azdır. PHP Foundation da işlək exploit görmədiyini deyir.

23 oktyabr — CISA hər iki CVE-ni hələ də istismar olunanlar kataloquna (KEV) əlavə etməyib. Ondřej Surý PHP 5.6–7.1 üçün də tam düzəliş paketlərini çıxarır.

linkedin

Ai trendi ilə ai guruları tərəfindən basılan məkan. işləri gücləri aini səthi mövzularda istifadə etməyi, ai işlətməyə çağırış etməyi, ai haqda xəbərlər. Arada özlərinin kurslarını və məhsullarını reklam edirlər. Saxtakar maşennik kategoriyasına daxil olanlar silsiləsindəndir. Məlumatlı olamayanları yanlış yönləndirə və öz qustar məhsullarını soxuşdura bilərlər. Ehtiyyatlı olmaqda fayda var. Götləri o qədər şişib ki developerlərə də söz atırlar. Təbii ki bunu yeyən kəslər axırda qurbana çevrilirlər.

Çox ciddiyə almadan populyar ai dünyasından xəbərdar olmaq üçün izləmək olar. Crypto gurulara bənzərlikləri də var.

trade

Trade — ən sadə mənada nəyisə alıb satmaqdır. Maliyyə dünyasında isə adətən müəyyən bir aktivin qiymət dəyişməsindən qazanc əldə etmək məqsədilə alınıb-satılması nəzərdə tutulur.

Trade edilən bazarlar da müxtəlifdir:

Səhm bazarı — şirkətlərin səhmlərinin alınıb-satıldığı bazar.

Forex — valyutaların bir-birinə qarşı alınıb-satıldığı bazar.

Futures — müəyyən aktivin gələcək tarixdə əvvəlcədən müəyyən edilmiş şərtlərlə alınması və ya satılması üzərində qurulan törəmə bazar.

Bond / istiqraz — dövlət və ya şirkətlərin borc qiymətli kağızları.

Commodities — qızıl, gümüş, neft, qaz, buğda və başqa xammal və əmtəələrin ticarəti.

Kriptovalyuta bazarı — Bitcoin, Ethereum və digər rəqəmsal aktivlərin alınıb-satıldığı bazar.

Trade-in necə həyata keçirilməsinə görə də fərqli yanaşmalar var.

Manual trading — qərarları insan özü verir. Qrafikə baxır, analiz edir, giriş və çıxış nöqtəsini özü müəyyən edir.

Algorithmic trading — əvvəlcədən yazılmış qaydalara əsasən proqram avtomatik olaraq bazarı analiz edir və əməliyyatları həyata keçirir.

AI / Machine Learning trading — klassik sabit qaydalardan əlavə, statistik modellər, machine learning və neural network-lərdən istifadə edilərək bazarda müəyyən pattern-lər tapılmağa çalışılır.

Bundan başqa trading-in zaman və əməliyyat tezliyinə görə müxtəlif stilləri var.

Scalping — çox qısa müddətli əməliyyatlardır. Mövqe bir neçə saniyə və ya dəqiqə açıq qala bilər. Məqsəd kiçik qiymət hərəkətlərindən çoxsaylı əməliyyatlarla qazanc əldə etməkdir.

Day trading — əməliyyatlar eyni gün ərzində açılıb bağlanır. Adətən mövqe gecəyə saxlanılmır.

Swing trading — mövqelər bir neçə gün, bəzən həftələrlə saxlanılır. Trader daha böyük qiymət dalğalarını tutmağa çalışır.

Position trading — daha uzunmüddətli yanaşmadır. Mövqelər həftələrlə, aylarla, hətta daha uzun müddət saxlanıla bilər.

High-Frequency Trading — çox yüksək sürətli sistemlər vasitəsilə saniyənin çox kiçik hissələrində böyük sayda əməliyyat aparılmasıdır. Burada strategiyadan əlavə server sürəti, birjaya yaxınlıq, latency və texnoloji infrastruktur ciddi rol oynayır.

Əslində “trading” bir strategiyanın adı deyil. Bu, çox böyük bir sahədir.

Bir nəfər qızılı 5 dəqiqəlik qrafikdə manual scalping edə bilər.

Başqa biri Nasdaq futures üzərində alqoritmik day trading sistemi qura bilər.

Digəri isə səhmlərdə machine learning istifadə edib bir neçə günlük swing strategiyası işlədə bilər.

Hamısı trader-dir, amma istifadə etdikləri bazar, zaman intervalı, strategiya və qərarvermə üsulu tamamilə fərqlidir.

ai slop

AI Slop

AI slop son illərdə internetdə yaranan ən maraqlı terminlərdən biridir. Təxminən belə tərcümə etmək olar: süni intellekt vasitəsilə çox sürətli, çox ucuz və böyük həcmdə istehsal olunan keyfiyyətsiz rəqəmsal məzmun.

Burada əsas məsələ kontentin AI tərəfindən hazırlanması deyil. AI ilə çox yaxşı məqalə, şəkil, video, musiqi və proqram təminatı yaratmaq mümkündür. Slop dedikdə daha çox insan tərəfindən demək olar ki, heç bir düşüncə, redaktə və yaradıcılıq əlavə edilmədən internetə buraxılan AI kontenti nəzərdə tutulur. Merriam-Webster artıq “slop” sözünün mənalarından biri kimi kütləvi şəkildə AI ilə hazırlanmış aşağı keyfiyyətli rəqəmsal kontenti göstərir.

Məsələn Facebook-da qəribə şəkildə hazırlanmış “uşağı xilas edən isa”, 120 yaşlı nənənin hazırladığı qeyri-real tort, göydə uçan nəhəng pişik kimi şəkillər görürsənsə, böyük ehtimalla AI slop görürsən.

Amma AI slop yalnız şəkillər deyil.

YouTube-da heç bir real araşdırma aparılmadan AI səsi ilə hazırlanmış 20 dəqiqəlik videolar, LinkedIn-də eyni struktura malik motivasiya yazıları, SEO üçün gündə yüzlərlə yaradılan məqalələr, Amazon-da AI ilə yazılıb yerləşdirilən kitablar, TikTok və Instagram-da sonsuz şəkildə generasiya olunan videolar da bunun müxtəlif formalarıdır.

Termin xüsusilə 2024-cü ildən sonra geniş yayılmağa başladı. Maraqlıdır ki, “slop” 2025-ci ildə Merriam-Webster tərəfindən ilin sözü də seçildi.

Məncə AI slop probleminin ən maraqlı tərəfi AI-nin pis kontent yaratması deyil.

insanlar həmişə pis kontent yaradıblar.

Fərq ondadır ki, əvvəllər pis bir məqalə yazmaq üçün belə müəyyən qədər vaxt lazım idi. Şəkil hazırlamaq, video montaj etmək, musiqi yazmaq, kitab çap etmək müəyyən xərc tələb edirdi.

Generativ AI bu xərci demək olar ki, sıfıra yaxınlaşdırdı.

Bir insanın gündə bir məqalə yaza bildiyi yerdə indi bot yüzlərlə məqalə yarada bilər. Bir dizaynerin bir neçə saata hazırladığı şəkildən minlərlə variant bir neçə dəqiqəyə generasiya edilə bilər.

Beləliklə internetdə qəribə bir iqtisadi problem yaranır.

Keyfiyyət yaratmaq hələ də vaxt tələb edir.

Keyfiyyətsizlik yaratmaq isə artıq demək olar ki, pulsuzdur.

Nəticədə internet tədricən informasiya qıtlığından informasiya bolluğu probleminə keçir. Əvvəllər əsas sual “məlumatı haradan tapa bilərəm?” idisə, yeni sual “tapdığım məlumatlardan hansına etibar edə bilərəm?” olacaq.

Bəlkə də AI dövründə ən qiymətli bacarıqlardan biri kontent yaratmaq yox, kontent seçmək olacaq.

Çünki generasiya etmək ucuzlaşdıqca insan zövqü, təcrübəsi, filtrasiya qabiliyyəti və “bunu paylaşmağa dəyərmi?” sualını verməsi daha qiymətli hala gəlir.

chatgpt

chatgpt web üzərindən işlədəndə token limiti hesablanmır, istənilən qədər işlətmək olur. son vaxtlar daha da gözəlləşib, daha detallı məqsədlər üçün işlədə bilirəm.
məsələn yutubdan 3 saatlıq video dərs götürdüm atdım gpt-yə dedim bunu mənə izah et. 12 hissəyə böldürdüm hamısını hissə hissə izah etdi. amma yarıda chat contexti doldu deyə brauzer crash olurdu, belə olan halda yeni conversation chat yaradıb öncəki chata referans verib qaldığım yerdən davam etdim. Hələ arada dedim ki bu müəllimi araşdır, forumlarda və redditdə gedib bu məllim və bu dərs haqda yazılanları tapıb gətirdi, hətta məllimin bütün referanslarını tapdı. bu çox faydalı oldu mənim üçünü. gpt bunu etməsəydi yəqin ki o 3 saatlıq dərsi izləyə bilməzdim nə də həmin dərsin reddit və digər forumlardakı müzakirələrini google-dan belə tapa bilməzdim.
bəzi bu kimi detallarda claude ilə rəqabət edib üstünlük göstərə bilir. claude bunu etsəydi 100usd planım bitərdi amma gpt bunu limit söhbəti etmədən 20usd planda edə bildi.
maraqlı təsuratlarımı bölüşdüm. kim daha fərqli üsulda işlədirsə yazsın.

mygov

Bir dostum üçün sosial təminat müraciəti etmək istədim. Amma mümkünsüzdür. Formda tələb edilən bəzi məlumatların haradan əldə edildiyini qeyd etməyiblər. Məsələn ərizə nömrəsi. Güya ki video dərslik də hazırlayıblar amma orada da ərizə nömrəsinin haradan əldə edildiyini göstərmir.
Bir sözlə bu göstərib vərməmək kimi birşeydir.
Bu bilirsiz nəyə bənzəyir bəzi sığorta şirkətləri saytlarında icbarı sığorta almaq imkanı düzəldiblər amma elə ediblər ki siz o sığorta almaq prosesini tamamlaya bilmirmirsiz. Çünki icbarı sığorta satmaq sığorta şirkətləri üçün məcburidir amma bu sığorta növü sığorta sığorta şirkətini zərərə uğradır.

Sosial müdafiə naziri rəhbərinə bu müraciətin onlinə əlçatan olduğunu deyir eyni zamanda büdcəyə qənaət etdiklərini də deyir.
Problem insanların bu halları qabartmamasıdır.

andrej karpathy

Süni intellektdən hər kəs istifadə edir.

Amma elə insanlar var ki, bu texnologiyanın özünü onlar formalaşdırıblar.

Onlardan biri də Andrej Karpathy-dir.

1986-cı ildə Çexoslovakiyanın (indiki Slovakiya) Bratislava şəhərində anadan olub.

Uşaq yaşlarında ailəsi ilə birlikdə Kanadaya köçüb.

Toronto Universitetində kompüter elmləri üzrə təhsil alıb.

2015-ci ildə Stanford Universitetində professor Fei-Fei Li-nin rəhbərliyi altında doktorluq dərəcəsini tamamlayıb.

Tədqiqat sahəsi kompüter görməsi və dərin öyrənmə idi.

Həmin dövrdə hazırladığı "Image Captioning" sistemi süni intellektin şəkilləri analiz edib onları insan dili ilə təsvir etməsinin mümkün olduğunu göstərdi.

Eyni zamanda "The Unreasonable Effectiveness of Recurrent Neural Networks" adlı bloq yazısını paylaşdı.

Bu yazı minlərlə proqramçı üçün dərin öyrənmə sahəsinə giriş nöqtəsinə çevrildi.

2015-ci ildə OpenAI şirkətinə ilk tədqiqatçılardan biri kimi qoşuldu.

Burada böyük neyron şəbəkələrinin hazırlanması üzərində çalışdı.

2017-ci ildə Tesla şirkətinə keçdi və Süni intellekt departamentinin direktoru oldu.

Tesla Autopilot sisteminin kompüter görməsi komandasına rəhbərlik etdi.

Onun rəhbərliyi ilə Tesla milyonlarla saatlıq real yol görüntüsündən istifadə edərək avtomobillərin ətraf mühiti tanımasını öyrətdi.

Lidar əvəzinə kamera əsaslı yanaşmanın inkişafında əsas fiqurlardan biri oldu.

Tesla-nın neyron şəbəkələrinin öyrədilməsi infrastrukturu və Dojo superkompüter layihəsinin proqram təminatı üzərində də çalışdı.

2022-ci ildə yenidən OpenAI-ə qayıtdı.

GPT-4 modelinin hazırlanması dövründə mühəndis kimi fəaliyyət göstərdi.

2024-cü ildə OpenAI-dən ayrıldı.

Həmin il Eureka Labs adlı yeni təşəbbüsünü təqdim etdi.

Məqsədi süni intellekti müəllimə çevirərək hər kəs üçün fərdiləşdirilmiş təhsil sistemi yaratmaqdır.

Andrej Karpathy yalnız güclü mühəndis kimi deyil, həm də dünyanın ən yaxşı AI müəllimlərindən biri hesab olunur.

Stanford Universitetində hazırladığı CS231n kursu bu gün də kompüter görməsi sahəsinin ən məşhur mənbələrindən biridir.

Onun videoları, bloqları və GitHub layihələri milyonlarla proqramçı tərəfindən öyrənmə materialı kimi istifadə olunur.

Karpathy "Software 2.0" anlayışını populyarlaşdırdı.

Bu yanaşmaya görə proqramlar artıq sətir-sətir yazılmır, böyük verilənlər üzərində öyrədilən neyron şəbəkələri tərəfindən formalaşdırılır.

Süni intellekt dünyasında bir çox insan məhsullar hazırlayır.

Andrej Karpathy isə həmin məhsulları hazırlayan mühəndisləri yetişdirən insanlardan biridir.

(youtube: )