PHP2Shell: twee kritiese PHP-foute, 'n embargo wat gelek het, en wat eintlik bekend is oor uitbuiting

Wat hierdie video dek

• Albei foute word deur die PHP-span as 9.2 op CVSS v4.0 beoordeel. Vaste vrystellings is PHP 8.2.35, 8.3.36, 8.4.27 en 8.5.12; PHP 7.4, 8.0 en 8.1 het slegs bronpleisters ontvang. PHP sê opdatering is die enigste volledige versagting.
• Die eerste fout kom van PHP wat 'n versoek half gebou laat wanneer dit op die verkeerde oomblik uit geheue raak. Die tweede kom van 'n oorblywende wyser na die geheue van een versoek wat 'n latere versoek in dieselfde werker kan gebruik. Op Apache met mod_php loop die eerste pad voor toepassingskode.
• 'n PHP-kernontwikkelaar het die eerste tekens van die geheueprobleem tydens 'n 2024-oudit gevind. Die PHP-stigting sê mededingende regstellings het afwegings gehad en 'n konsensusgebaseerde sekuriteitspan het gesukkel om te kies, wat dit 'n strukturele mislukking noem.
• Die Stigting sê die CVE-ID's het op 20 Oktober gelek, Calif het per ongeluk 'n bewys-van-konsep-video gepubliseer, en Chainguard het geboude beelde met die regstelling meer as ses uur voor die vrystelling gepubliseer. Chainguard se HUB sê mense is reeds getref en dat hy die foute onafhanklik gevind het.
• Bronne stem nie saam oor uitbuiting nie. Amazon het op 17 Oktober 'n poging aangeteken en later gesê PHP2Shell is breedweg uitgebuit. watchTowr het uitbuiting in die natuur gerapporteer. CISA het geen uitbuiting by publikasie waargeneem nie, en die PHP-span het geen funksionele uitbuiting by vrystelling gevind nie. Baie publieke bewys-van-konsep-skripte word gerapporteer dat dit nie werk nie.
• Gaan elke plek waar PHP loop, insluitend kopieë binne ander sagteware, opdatering, herbegin werkers en hersien logboeke terug na 17 Oktober.

Vertaalde transkripsie

Vertaal uit die oorspronklike Engelse vertelling. Beskikbare klank en onderskrifte word deur YouTube beheer.

Wie het PHP2Shell vier dae vroeg probeer?

0:00 'n Sekuriteitsembargo is veronderstel om 'n fout stil te hou totdat die pleister gestuur word. Amazon het 'n poging teen PHP se kritieke fout vier dae vroeg aangeteken. Wie het dit in hierdie video gevind? Hoe het die embargo gelek? En hoe erg is dit, regtig? En die maatskappy wat vir die lek blameer word, het 'n verdediging wat ek nie verwag het nie. Ek sal daarby uitkom. Dis Donderdag, 22 Oktober, en dit is The Daily Diff.

0:21 PHP is 'n skriptaal wat webblaaie op die bediener bou net voordat hulle jou bereik. Dit is meer as dertig jaar oud en, volgens een skatting, loop ongeveer sewentig persent van webwerwe, insluitend WordPress en die sagteware agter Wikipedia. Ontwikkelaars is lief om dit te spot, gewoonlik vanaf 'n bladsy wat PHP aan hulle bedien Hulle instandhouding is 'n niewinsorganisasie met ongeveer dertien ingenieurs.

Wat is die twee PHP2Shell-foute?

0:41 Op Woensdag het PHP noodregstellings gestuur vir twee kritiese foute wat 'n vreemdeling toelaat om kode op 'n bediener te laat loop sonder aanmelding. Saam word hulle PHP2Shell genoem, en hulle strek terug na PHP vyf punt vier. Hier is die eerste fout in eenvoudige woorde. PHP gee elke versoek 'n geheuebegroting. As 'n versoek daardie limiet op presies die verkeerde oomblik bereik, PHP kap vinnig af en laat die versoek half gebou. Dan vertrou die skoonmaakstap die halfgeboude ding.

1:07 Die tweede fout is 'n oorblyfsel. 'n Fatale fout kan 'n nota laat wat wys na geheue wat aan die laaste behoort het versoek. Dieselfde werker hanteer die volgende versoek en volg die nota. Teen dan woon iemand anders op daardie adres. Op Apache met mod PHP gebeur die skade voordat jou eie kode loop, so jou aanmeldbladsy kry nooit 'n stem nie. Wiz sê selfs 'n "hallo wêreld"-skrip is blootgestel. Die regstelling verwyder PHP se nooduitgang vir geheuetekorte.

1:32 In plaas daarvan om in die middel van 'n versoek te kap, stop PHP nou beleefd by die volgende veilige punt. Die vreemde deel is hoe oud die eerste leidraad is.

Waarom het 'n bekende fout twee jaar gewag?

1:39 In 2024 het 'n eksterne sekuriteitsoudit 'n PHP-kernontwikkelaar gelei na die eerste tekens van die geheueprobleem. Geen uitbuiting was bekend nie, en elke regstelling het iets gebreek. 'n Span wat deur konsensus besluit, kon nie kies nie, so die fout het gewag. Toe, in Augustus, het vinders binne dae aangekom.

Wie het PHP2Shell gevind, en hoe?

1:56 Calif-navorser Ryan Austin het dit op 1 Augustus gevind, besig met OpenAI se Patch the Planet-program. OpenAI het dieselfde oorsaak onafhanklik gerapporteer. Wiz het 'n paar weke later variante gevind met Gemini- en GPT-modelle. Austin sê hy het modelle gebruik wat enigiemand kan kry, plus 'n teorie oor waar PHP se ou foute skuil. OpenAI sê grens-KI was die sleutel. Die fout het vir meer as 'n dekade geskuil. Die vrystelling was vir Donderdag beplan.

Hoe het die PHP2Shell-embargo gelek?

2:21 Op Dinsdag het die twee CVE-nommers aanlyn begin sirkuleer, met 'n verkeerde vrystellingstyd en 'n verkeerde telling van tien. PHP het die vrystelling 'n dag vorentoe geskuif. Daardie aand het Calif per ongeluk 'n video van sy bewys-van-konsep gepubliseer wat werk, en kopieë het die verwydering oorleef. Op Woensdagoggend, meer as ses uur voor die vrystelling, het Chainguard geboude beelde gepubliseer wat die regstelling bevat. PHP sê enige aanvaller kon daardie regstelling bestudeer terwyl almal anders gewag het.

2:46 'n Pleister is ook 'n verskil, en aanvallers lees verskille.

Word PHP2Shell uitgebuit, en deur wie?

2:50 So wie word eintlik getref? Amazon se lokval het 'n poging op 17 Oktober aangeteken en later gesê PHP2Shell word breedweg uitgebuit. watchTowr rapporteer uitbuiting in die natuur. Cisa het gesê hy het geen waargeneem toe dit gepubliseer is nie, en PHP se span het geen werkende uitbuiting by vrystelling gesien nie. Cloudflare se HUB het gesê hy het duisende pogings gesien in die tien uur voor die aankondiging, en miljoene teen Donderdagoggend.

3:13 Amazon is versigtig oor een punt. Dit weet nie of sy vroegste pogings op 'n regte sou gewerk het nie stelsel. 'n Poging is slegs 'n klop aan die deur. So hoe erg is dit, regtig? watchTowr sê die publieke uitbuitings wat rondvlieg, stort meestal in duie of doen niks. VulnCheck sê kode-uitvoering werk in sommige opstellings, en geen van die publieke klop geheue-randomisasie op standaard x86-bedieners nie. Navorser Elias Taylor sê dit is glad nie so maklik soos Log4Shell nie.

3:40 Almal sê nog steeds pleister. Regerings het nie vir die uitspraak gewag nie.

Wat het regerings ontkoppel?

3:44 Die NSA het organisasies wat nie kon pleister nie, aangesê om PHP-stelsels vanlyn te haal, en die VK se Nasionale Kubersekuriteitsentrum het soortgelyke raad gegee. Nederlandse webwerwe, insluitend die nasionale digitale identiteitsdiens, het donker geword, saam met 'n Paryse polisie-webwerf. Wikimedia het verskeie stelsels as 'n voorsorgmaatreël afgehaal. Palo Alto Networks het meer as twee-en-twintig miljoen blootgestelde gevalle getel. En 'n Australiese professor het die skerpste punt gemaak. Die webwerwe om oor bekommerd te wees, is dié wat vandag nie af is nie.

Watter PHP-weergawes kry 'n regstelling?

4:11 Regstellings bestaan vir PHP agt punt twee tot en met agt punt vyf. Vir sewe punt vier, agt punt nul en agt punt een, het PHP slegs bronpleisters gepubliseer. Ouere weergawes kry niks van die PHP-projek nie, so vra jou verspreiding. Omseilings verklein die kanse, maar PHP sê opdatering is die enigste volledige regstelling. Dit is dieselfde les as gister se eMudhra-episode,

Wat doen jy vanaand aan PHP2Shell?

4:32 want 'n regstelling wat bestaan, is nie dieselfde as die lopende proses wat dit het nie. Vind elke PHP in jou stapel, selfs die kopieë wat in ander sagteware skuil. Dateer op, herbegin die werkers, en kontroleer logboeke terug na 17 Oktober. Dieselfde dag het GitLab 'n kritieke pleistervrystelling gestuur,

Wat het vandag nog 'n kritiese RCE-pleister gestuur?

4:47 negentien punt vyf punt een. 'n Heelgetaloorloop in sy gereelde uitdrukking-kompileerder laat 'n nie-geoutentifiseerde gebruiker kode op die bediener uitvoer, en dit tel tien uit tien. GitLab dot com is reeds gepleister. Selfbestuurde installasies benodig die opdatering.

Waarom is Meta beveel om $25 miljard te betaal?

5:01 Intussen in Nieu-Mexiko het 'n regter Meta beveel om vyf-en-twintig miljard dollar in boetes te betaal oor Cambridge Analytica. Die jurie het meer as drie-en-veertig miljoen oortredings getel teen tot vyfduisend dollar elk, wat op sowat tweehonderd-en-twintig miljard neergekom het voordat die regter dit gesny het. Meta sê dit sal op appèl wen. Nou die verdediging wat ek belowe het.

Wat is Chainguard se verdediging vir die vroeë regstelling?

5:19 Chainguard se HUB het aan The Register gesê hy het self dieselfde foute gevind op 'n Vrydag aand, nadat hy gehoor het dat iets in PHP sou kom, met 'n basiese aanwysing om slegte kwesbaarhede te vind. Hy sê hy het vroeg gestuur omdat mense reeds getref is. As jy dit eerder wil lees as om my dit te hoor sê, land die verskil elke oggend in jou inkassie, gratis by the daily diff dot dev, skakel hieronder. So vandag se uitspraak is SHIP IT.

Wat kry die SHIP IT-stempel?

5:39 Stuur die PHP-opdatering vanaand, want die nuwe weergawe is die enigste volledige regstelling. En dit is die verskil vir vandag. Ek is Niko van Axrisi. Voeg verantwoordelik saam.

Bronne

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News