Turan Security

☠️
Turan Security Xavfsizlik Byulleteni -
Node2Shell
⚠️
Xavf darajasi:
Kritik
| CVSS v4.0: 9.2 | CVE-2026-111497
✅
Google
Brotli
ma’lumotlarni siqish kutubxonasida
CVE-2026-111497
zaifligi aniqlandi. Ushbu zaiflik maxsus tayyorlangan siqilgan ma’lumotlar orqali dastur xotirasining buzilishiga, xizmat faoliyatining izdan chiqishiga va ayrim holatlarda masofadan turib zararli kod bajarilishiga olib kelishi mumkin.
Zaiflik Node.js, Bun, Envoy, Istio va Python’ning Brotli hamda brotlicffi kutubxonalaridan
foydalanadigan ayrim tizimlarga ta’sir qiladi. Mutaxassislar zaiflikdan foydalanib, Node.js’ning muayyan zaif versiyasida kod bajarilishini amalda namoyish etgan. Boshqa dasturlarda bunday hujum muvaffaqiyatli amalga oshirilgani tasdiqlanmagan.Ilovangiz
Brotli'ni to'g'ridan-to'g'ri chaqirmasligi ham mumkin: "Content-Encoding: br"
javobini o'qish yoki Brotli bilan siqilgan so'rov tanasini ochish kifoya.
Tavsiyalar:
⭐
Node.js, Bun, Envoy, Istio va Python muhitlaridagi Brotli versiyalarini inventarizatsiya qiling - runtime'ni yangilash har doim ham yetarli emas, ilova ichidagi alohida Brotli kutubxonalarini ham tekshiring.
⭐
"Content-Encoding: br" sarlavhali kiruvchi so'rovlarni va ishonchsiz serverlardan olinadigan siqilgan javoblarni kuzating.
⭐
WAF qoidalarini yangilang; imkoni bo'lsa, zarurati bo'lmagan joylarda Brotli dekompressiyasini vaqtincha o'chiring.
⭐
Jarayonlarning kutilmagan ishdan chiqishi (crash) va anomal xotira xatoliklarini monitoring qiling - bular ekspluatatsiya urinishi belgisi bo'lishi mumkin.
Turan Security tashkilotlarni Brotli'ga bog'liq komponentlarni inventarizatsiya qilish, monitoringni kuchaytirish va xavfsizlik yangilanishlarini kechiktirmaslikka chaqiradi.
@turansecurity
|
www.turansec.uz
| info@turansec.uz

☠️
Turan Security Xavfsizlik Byulleteni — PHP2Shell
🔴
Xavf darajasi: Kritik | CVSS v4.0: 9.2
|
CVE-2026-109618
va
CVE-2026-109619.
PHP’da ikkita kritik zaiflik tasdiqlandi.
PHP2Shell
nomi bilan tarqalayotgan ushbu zaifliklar serverda masofadan zararli kod bajarish va ma’lumotlarga ruxsatsiz kirish xavfini tug‘diradi.
Yangilanishlar
21-oktabr, Toshkent vaqti bilan 19:00 da
chiqarilishi rejalashtirilgan. Ta’sirlangan va tuzatilgan versiyalar rasmiy e’londa aniqlashtiriladi.
Tavsiyalar:
• PHP versiyalarini tekshiring va yangilanishlarni chiqarilishi bilan o‘rnating.
• Server loglari, shubhali jarayonlar va web-shell belgilarini kuzating.
• Shubhali faollik aniqlansa, serverni izolyatsiya qiling va dalillarni saqlang.
Turan Security tashkilotlarni PHP tizimlarini tekshirish, monitoringni kuchaytirish va xavfsizlik yangilanishlarini kechiktirmaslikka chaqiradi.
@turansecurity
|
www.turansec.uz
| info@turansec.uz

🏆
Turan Security — Cyberkent 4.0 CTF’da yuqori natijalar! 5–6-oktabr kunlari “Kiberxavfsizlik sammiti – Markaziy Yevroosiyo, Cyberkent 4.0” doirasida tashkil etilgan CTF musobaqasida Turan Security jamoasi muvaffaqiyatli ishtirok etdi.
Musobaqaning final bosqichida jamoamiz a’zolari bir nechta yo‘nalishlarda 1-o‘rinni egallashdi:
🥇
Blue Team — 1-o‘rin
🥇
Red Team — 1-o‘rin
🥇
AI Underworlds — 1-o‘rin
🥇
Bug Bounty — 1-o‘rin
Tashqaridan qaraganda, bu shunchaki yaxshi natijalar yoki navbatdagi g‘alaba bo‘lib ko‘rinishi mumkin. Ammo har bir natijaning ortida tinimsiz mehnat, uzoq muddatli tayyorgarlik, doimiy o‘rganish, tajriba va kuchli jamoaviy ish turibdi. Biz uchun eng katta yutuq faqat egallangan o‘rinlar emas — jamoamiz mutaxassislarining bilim va ko‘nikmalarini real raqobat muhitida yana bir bor namoyon eta olganidir. Tadbir tashkilotchilariga mazmunli va yuqori saviyada tashkil etilgan musobaqa uchun o‘z minnatdorchiligimizni bildiramiz.
Musobaqada qatnashgan barcha jamoalarni va, albatta, Turan Security jamoamizni ushbu natijalar bilan tabriklaymiz!
🚀
Oldinda yanada katta maqsadlar bor.
@TuranSecurity
|
www.turansec.uz

🥇
Nukus CTF musobaqasida 1-o‘rin!
Turan Security kiberxavfsizlik tashkiloti uchun yana bir quvonchli natija!
Mutaxassisimiz Iskandarov Ilhomjon Kiberxavfsizlik markazi tomonidan
Nukus
shahrida tashkillashtirilgan CTF musobaqasida
1-o‘rinni
egalladi.
Musobaqani yuqori darajada tashkillashtirgan
Kiberxavfsizlik markazi
va
Raqamli texnologiyalar vazirligi
ga minnatdorchilik bildiramiz.
@turansecurity
|
www.turansec.uz
| info@turansec.uz

Turan Security kompaniyasi Cyber Security Summit | CENTRAL EURASIA – CSS 2026 ishtirokchilari safida!
Turan Security — yetakchi kiberxavfsizlik kompaniyasi va Markaziy Osiyodagi birinchi CVE Numbering Authority (CNA) hisoblanadi. Kompaniya tadqiqotchilari NASA, Google, Nvidia, Amazon, Alibaba kabi global texnologiya kompaniyalarining Hall of Fame dasturlarida ham e'tirof etilgan.
120 dan ortiq mijozga ega kompaniya SOC as a Service, penetratsion testlar, ISO/IEC 27001 va PCI DSS bo'yicha konsalting hamda auditlar, DevSecOps va boshqa kiberxavfsizlik xizmatlarini taqdim etadi. Ushbu xizmatlar tashkilotlarga kiberxatarlarni boshqarish, xavfsizlik nazorati vositalarini mustahkamlash va muhim raqamli infratuzilmani himoya qilishda yordam beradi.
CSS 2026 doirasida Turan Security o'zining Bug bounty va Threat intelligence platformalarini namoyish etadi — ular zaifliklarni aniqlash, yangi tahdidlarni kuzatib borish va tashkilotlarning umumiy xavfsizlik darajasini oshirish uchun amaliy yechimlarni taklif qiladi.
Turan Security jamoasi bilan 6–7 oktabr kunlari Toshkentda bo'lib o'tadigan CSS 2026 da uchrashing!
We are pleased to welcome Turan Security to Cyber Security Summit | CENTRAL EURASIA – CSS 2026!
Turan Security is a leading cybersecurity company and the first CVE Numbering Authority (CNA) in Central Asia. Its cybersecurity researchers have also been recognised in the Hall of Fame programmes of global technology companies like NASA, Google, Nvidia, Amazon, Alibaba.
With a portfolio of 120+ clients, company provides SOC as a Service, penetration testing, ISO/IEC 27001 and PCI DSS consulting and audits, DevSecOps, and other cybersecurity services designed to help organisations manage cyber risks, strengthen security controls and protect critical digital infrastructure.
At CSS 2026, Turan Security will showcase its bug bounty and threat intelligence platforms, offering practical solutions for identifying vulnerabilities, monitoring emerging threats and strengthening organisations’ overall security posture.
Meet the Turan Security team at CSS 2026 in Tashkent on 6-7 October.

Turan Security xavfsizlik byulleteni — GitLab CVE-2026-85706
Xavf darajasi: Critical — CVSS 10.0
Holati: Faol ekspluatatsiya tasdiqlangan (CISA KEV)
GitLab CE/EE tizimlarida CVE-2026-85706 — kritik Path Traversal, Arbitrary File Read zaifligi aniqlandi. Repository commits API’dagi autentifikatsiya tekshiruvlarining yetarli emasligi tufayli masofadagi, autentifikatsiyadan o‘tmagan hujumchi serverdagi ixtiyoriy fayllarni — konfiguratsiyalar, tokenlar, kalitlar va credentiallarni o‘qishi mumkin.
Zaiflik ta'sir etuvchi versiyalar:
GitLab CE/EE:
18.7 – 19.1.8 gacha
19.2 – 19.2.6 gacha
19.3 – 19.3.2 gacha
Xavfsiz versiyalar:
19.1.8, 19.2.6, 19.3.2 yoki keyingi versiyalar.
Tavsiyalar:
GitLab versiyasini zudlik bilan yangilash;
Gitlabni ichki perimeterga ko'chirish;
Tavsiyalarga tezroq e'tibor berishga chaqiramiz, sababi exploit allaqachon ommaga ochiqlangan.
Turan Security tashkilotlarni GitLab infratuzilmasini zudlik bilan inventarizatsiya qilish va yangilashga chaqiradi.
@turansecurity
|
www.turansec.uz
| info@turansec.uz

😎
Turan Security Xavfsizlik Byulleteni — Proxmox VE 7.4 Authentication Bypass
Xavf darajasi:
Kritik
Proxmox Virtual Environment (PVE) 7.4 muhitlarida autentifikatsiyani chetlab o‘tishga imkon berishi mumkin bo‘lgan zaiflik haqida ma’lumotlar tarqalmoqda.
Mazkur zaiflik muvaffaqiyatli ekspluatatsiya qilingan taqdirda, hujumchiga autentifikatsiyasiz Proxmox boshqaruv interfeysiga kirish va virtualizatsiya infratuzilmasiga jiddiy ta’sir ko‘rsatish imkonini berishi mumkin.
Ayniqsa, Proxmox boshqaruv interfeysi Internet orqali to‘g‘ridan-to‘g‘ri ochiq bo‘lgan tashkilotlar ushbu holatga alohida e’tibor qaratishi lozim.
Tavsiyalar:
1. Proxmox VE versiyangizni zudlik bilan tekshiring.
2. PVE 7.4 ishlayotgan tizimlarni imkon qadar tezroq qo‘llab-quvvatlanadigan va xavfsiz versiyaga yangilang.
3. Proxmox boshqaruv interfeysini Internetga bevosita ochiq qoldirmang. VPN yoki boshqa himoyalangan kirish mexanizmlaridan foydalaning.
4. Administrator, ayniqsa
root
hisoblari uchun kuchli parol va MFA/TFA mexanizmlarini yoqing.
5. Proxmox API'ga, jumladan
/api2/json/access/ticket
endpointiga kelayotgan noodatiy va shubhali so‘rovlarni monitoring qiling.
6. Proxmox audit loglari, autentifikatsiya hodisalari va administrator hisoblaridagi faollikni tekshiring.
7. Agar boshqaruv interfeysi Internetga ochiq bo‘lgan bo‘lsa, administrator credentiallari, foydalanuvchilar, SSH kalitlari va tizim konfiguratsiyasini qo‘shimcha ravishda tekshiring.
8. Shubhali faollik aniqlangan taqdirda, administrator credentiallarini almashtiring va infratuzilmadagi boshqa tugunlarni ham tekshiring.
Internetda ushbu holatga oid PoC va ekspluatatsiya ma’lumotlari tarqalayotgani sababli, Proxmox VE 7.4 ishlatilayotgan tashkilotlarga tizimlarini kechiktirmasdan tekshirish va yangilash tavsiya etiladi.
Turan Security tashkilotlarni virtualizatsiya infratuzilmasidagi zaifliklarni aniqlash, baholash va bartaraf etish choralarini ko‘rishga chaqiradi.
@turansecurity
|
www.turansec.uz
| info@turansec.uz

☠️
Turansecurity xavfsizlik byulleteni — Keycloak CVE-2026-18963
Zaiflik darajasi : Kritik
Parolni tiklash orqali autentifikatsiyasiz hisob egallash. Darhol yangilang yoki vaqtinchalik chorani qo'llang.
Keycloak'ning reset-credentialsdagi kritik zaiflik (CVE-2026-18963, CVSS 9.1) autentifikatsiyasi istalgan foydalanuvchi (shu jumladan administratorlar) uchun parol tiklashni yakunlash va yangi parol o'rnatish imkonini beradi. Pochtadagi havolani bosish shart emas. Autentifikatsiya talab qilinmaydi, foydalanuvchi ishtiroki kerak emas, MFA yordam bermaydi. Sabab: holat tekshiruvining noto'g'ri amalga oshirilishi (CWE-640). Hozircha ekspluatatsiya kodi tarqalmagan, lekin CVE tasdiqlangan.
Ta'sirlangan versiyalar
26.7.2, 26.6.6 va 26.4.15 (LTS) dan oldingi barcha. Qo'llab-quvvatlanmaydigan tarmoqlar (26.5, 26.3 va eskilar) tuzatilmaydi va yangilanmaguncha doimiy zaif hisoblanadi.
Yechim
26.7.2 / 26.6.6 / 26.4.15 (LTS) ga yangilang. Tuzatish 26.8.0 da ham mavjud. Red Hat Build of Keycloak foydalanuvchilari: RHSA-2026:56519 / 56520 / 56523 / 56524 ni qo'llang.
@turansecurity
|
www.turansec.uz
| info@turansec.uz

🚀
Oqdoppi platformasida yangi dasturlar e’lon qilindi!
Sizlar uchun yana bir ajoyib yangiligimiz bor. Oqdoppi bug bounty platformasi yangi dasturlar bilan kengayishda davom etmoqda.
Platformada quyidagi dasturlar o‘z tadqiqotchilarini kutmoqda:
🔹
DOMO.uz
— O‘zbekistonda elektr, gaz, suv, chiqindi, internet va boshqa uy-joy bilan bog‘liq xizmatlarni yagona platforma orqali boshqarish va to‘lash imkonini beruvchi mobil platforma.
🔹
ishGO.uz
— ish beruvchilar va ish izlovchilarni yagona tizimda bog‘lovchi, O‘zbekistondagi ish qidirish va xodim yollash platformasi.
🔹
pDaftar.uz
— kichik va o‘rta biznes uchun nasiya savdosini raqamlashtirishga xizmat qiluvchi fintech platforma.
🔹
AIBA.uz
— bizneslar uchun sun’iy intellekt asosida moliyaviy va biznes boshqaruviga yordam beruvchi platforma.
Sizdan ethical tarzda ishlab zaifliklarni aniqlash va mas’uliyatli tarzda xabar qilishingizni so'raymiz.   Biznes egalariga o‘z tizimlarini yanada mustahkamlash va foydalanuvchilar uchun xavfsiz xizmat yaratishiga yordam bering.

Xabaringiz bor, Turan Security kiberxavfsizlik tashkiloti rasmiy CNA sifatidagi faoliyatini 2026-yil mart oyida boshlagan.
Ushbu davr mobaynida biz kiberxavfsizlik tadqiqotchilari va dasturiy ta'minot ishlab chiquvchilari bilan yaqindan hamkorlik qilib, CVE dasturi talablari asosida mas'uliyatli zaifliklarni oshkor etish (Responsible Vulnerability Disclosure) jarayonini qo‘llab-quvvatladik hamda 204 ta CVE (Common Vulnerabilities and Exposures)ni muvaffaqiyatli e'lon qildik.
Avgust oyida katta sakrash kuzatildi. Oyning dastlabki 13 kunida TuranSec CNA tomonidan 172 ta CVE e'lon qilingan. Bu ko'rsatkich jahondagi IBM, Red Hat, Microsoft kabi 534 ta CNA tashkilotlari orasida TOP-10 ko‘rsatkichlardan biri hisoblanadi -
havola
Tushunishingiz uchun bundan 2 yil oldin ham CVE bo'yicha tadqiqotchilar bir nechtani tashkil etardi. Oxirgi 6 oy ichida 50 dan ortiq mahalliy kiberxavfsizlik tadqiqotchilari dunyoning TOP kompaniyalari mahsulotlaridan yangi turdagi zaifliklarni aniqlab 204 ta CVE e'lon qilinishi katta natija hisoblanadi. Buni sohada ishlab yurganlar yaxshi bilishadi, AI rivojlanishi Kiberxavfsizlik sohasida tadqiqot yo'nalishini yanada osonlashtirdi.
Biz bilan hamkorlik qilayotgan barcha tadqiqotchilarga o‘z minnatdorchiligimizni bildiramiz. Izlanishdan va o‘sishdan to‘xtamang!
Biz faoliyatimizni rivojlantirish va xizmatlarimizni yanada takomillashtirishda davom etamiz. Yaqin bir necha yil ichida O‘zbekistonda minglab yangi kiberxavfsizlik tadqiqotchilari va mutaxassislari yetishib chiqishiga o‘z hissamizni qo‘shishni maqsad qilganmiz.
@turansecurity
|
www.turansec.uz
| info@turansec.uz