PHP2Shell: خطأان حرجان في PHP، تسريب حظر النشر، وما هو معروف بالفعل عن الاستغلال

ما يغطيه هذا الفيديو

• تم تقييم كلتا الثغرتين بـ 9.2 على CVSS v4.0 من قبل فريق PHP. الإصدارات التي تم إصلاحها هي PHP 8.2.35 و 8.3.36 و 8.4.27 و 8.5.12؛ تلقت PHP 7.4 و 8.0 و 8.1 تصحيحات المصدر فقط. تقول PHP أن التحديث هو التخفيف الكامل الوحيد.
• الخلل الأول يأتي من ترك PHP طلبًا نصف مكتمل عندما ينفد منه الذاكرة في اللحظة الخاطئة. الخلل الثاني يأتي من مؤشر متبقي لذاكرة طلب واحد يمكن لطلب لاحق في نفس العامل استخدامه. على Apache مع mod_php، يتم تشغيل المسار الأول قبل رمز التطبيق.
• اكتشف مطور رئيسي في PHP العلامات الأولى لمشكلة الذاكرة أثناء تدقيق عام 2024. تقول مؤسسة PHP إن الإصلاحات المتنافسة كانت لها مقايضات وأن فريق الأمن الذي يعتمد على الإجماع كافح للاختيار، وهو ما يصفونه بالفشل الهيكلي.
• تقول المؤسسة إن معرفات CVE تسربت في 20 أكتوبر، ونشرت Calif عن طريق الخطأ مقطع فيديو لإثبات المفهوم، ونشرت Chainguard صورًا مبنية مع الإصلاح قبل أكثر من ست ساعات من الإصدار. يقول الرئيس التنفيذي لـ Chainguard إن الناس كانوا يتأثرون بالفعل وإنه وجد الأخطاء بشكل مستقل.
• تختلف المصادر حول الاستغلال. سجلت أمازون محاولة في 17 أكتوبر وقالت لاحقًا إن PHP2Shell تم استغلالها على نطاق واسع. watchTowr أبلغت عن استغلال في البرية. لم تلاحظ CISA أي استغلال وقت النشر، ولم يجد فريق PHP أي استغلال وظيفي عند الإصدار. يُقال إن العديد من نصوص إثبات المفهوم العامة لا تعمل.
• تحقق من كل مكان يعمل فيه PHP، بما في ذلك النسخ الموجودة داخل برامج أخرى، وقم بالتحديث، وأعد تشغيل العمال، وراجع السجلات حتى 17 أكتوبر.

النص المترجم

مترجم من السرد الإنجليزي الأصلي. يتم التحكم في الصوت والتعليقات التوضيحية المتاحة بواسطة YouTube.

من حاول اختراق PHP2Shell قبل أربعة أيام؟

0:00 من المفترض أن يحافظ حظر الأمان على سرية الخطأ حتى يتم إصدار التصحيح. سجلت أمازون محاولة ضد خطأ PHP الحرج قبل أربعة أيام. في هذا الفيديو، من وجده؟ كيف تسرب حظر النشر؟ وكم هو سيء حقًا؟ والشركة المتهمة بالتسريب لديها دفاع لم أتوقعه. سأصل إليه. إنه الخميس، الثاني والعشرون من أكتوبر، وهذا هو The Daily Diff.

0:21 PHP هي لغة برمجة نصية تبني صفحات الويب على الخادم قبل أن تصل إليك. عمرها أكثر من ثلاثين عامًا، ووفقًا لتقدير واحد، تدير حوالي سبعين بالمائة من مواقع الويب، بما في ذلك WordPress والبرنامج الذي يقف وراء ويكيبيديا. يحب المطورون السخرية منها، عادةً من صفحة يخدمها PHP لهم. صيانتها هي منظمة غير ربحية تضم حوالي ثلاثة عشر مهندسًا.

ما هي الأخطاء الثنائية في PHP2Shell؟

0:41 يوم الأربعاء، أرسلت PHP إصلاحات طارئة لخطأين حرجين يسمحان لـ غريب بتشغيل التعليمات البرمجية على خادم بدون تسجيل دخول. معًا، يُطلق عليهما PHP2Shell، ويعودان إلى PHP 5 نقطة أربعة. إليك الخطأ الأول بكلمات بسيطة. تمنح PHP كل طلب ميزانية ذاكرة. إذا وصل طلب إلى هذا الحد في اللحظة الخاطئة تمامًا، تتراجع PHP بسرعة وتترك الطلب نصف مكتمل. ثم تثق خطوة التنظيف بالشيء نصف المكتمل.

1:07 الخطأ الثاني هو بقايا. يمكن أن يترك خطأ فادح ملاحظة تشير إلى الذاكرة التي كانت تخص الطلب الأخير. يتعامل نفس العامل مع الطلب التالي ويتبع الملاحظة. بحلول ذلك الوقت، يعيش شخص آخر في هذا العنوان. على Apache مع mod PHP، يحدث الضرر قبل تشغيل التعليمات البرمجية الخاصة بك، لذا فإن صفحة تسجيل الدخول الخاصة بك لا تحصل على تصويت أبدًا. تقول Wiz إن حتى نص "مرحبًا بالعالم" مكشوف. يزيل الإصلاح خروج PHP الطارئ عند نفاد الذاكرة.

1:32 بدلاً من التراجع في منتصف الطلب، تتوقف PHP الآن بأدب عند النقطة الآمنة التالية. الجزء الغريب هو مدى قدم الدليل الأول.

لماذا انتظر خطأ معروف لمدة عامين؟

1:39 في عام 2024، أدى تدقيق أمني خارجي إلى اكتشاف مطور رئيسي في PHP أول علامات مشكلة الذاكرة. لم يكن هناك استغلال معروف، وكل إصلاح أفسد شيئًا. لم يتمكن فريق يتخذ القرارات بالإجماع من الاختيار، لذلك انتظر الخطأ. ثم في أغسطس، وصل مكتشفون في غضون أيام.

من اكتشف PHP2Shell، وكيف؟

1:56 وجدها الباحث رايان أوستن من Calif في الأول من أغسطس، يعمل من خلال برنامج OpenAI's Patch the Planet. أبلغت OpenAI عن نفس السبب الجذري بشكل مستقل. وجدت Wiz متغيرات بعد بضعة أسابيع باستخدام نماذج Gemini و GPT. يقول أوستن إنه استخدم نماذج يمكن لأي شخص الحصول عليها، بالإضافة إلى نظرية حول أماكن اختباء أخطاء PHP القديمة. تقول OpenAI إن الذكاء الاصطناعي الرائد كان المفتاح. كان الخطأ مختبئًا لأكثر من عقد من الزمان. كان من المقرر إصدار التحديث يوم الخميس.

كيف تسرب حظر نشر PHP2Shell؟

2:21 يوم الثلاثاء، بدأت أرقام CVE المتوفرة بالانتشار عبر الإنترنت، مع وقت إصدار خاطئ ودرجة خاطئة قدرها عشرة. قدمت PHP موعد الإصدار بيوم واحد. في ذلك المساء، نشرت Calif عن طريق الخطأ فيديو لإثبات مفهومها يعمل، ونسخ الفيديو بقيت بعد الحذف. صباح الأربعاء، قبل أكثر من ست ساعات من الإصدار، نشرت Chainguard صورًا مبنية تحتوي على الإصلاح. تقول PHP إن أي مهاجم يمكنه دراسة هذا الإصلاح بينما ينتظر الجميع.

2:46 التصحيح هو أيضًا فرق، والمهاجمون يقرأون الفروق.

هل يتم استغلال PHP2Shell، ومن قبل من؟

2:50 إذن من يتأثر بالفعل؟ سجلت شبكة أمازون محاولة في السابع عشر من أكتوبر وقالت لاحقًا إن PHP2Shell يتم استغلالها على نطاق واسع. أفادت watchTowr عن استغلالها في البرية. قالت Cisa إنها لم تلاحظ أي شيء عند النشر، ولم ير فريق PHP أي استغلال فعال عند الإصدار. قال الرئيس التنفيذي لـ Cloudflare إنه رأى آلاف المحاولات في العشر ساعات التي سبقت الإعلان، وملايين بحلول صباح الخميس.

3:13 أمازون حذرة في نقطة واحدة. لا تعرف ما إذا كانت محاولاتها الأولى كانت ستنجح على نظام حقيقي. المحاولة ليست سوى طرق على الباب. إذن، ما مدى سوء الأمر حقًا؟ تقول watchTowr إن معظم الاستغلالات العامة المتداولة تسبب تعطلًا أو لا تفعل شيئًا. تقول VulnCheck إن تنفيذ التعليمات البرمجية يعمل في بعض الإعدادات، ولا يوجد أي من الاستغلالات العامة يهزم عشوائية الذاكرة على خوادم x86 القياسية. يقول الباحث إلياس تايلور إنه ليس بالسهولة التي كانت عليها Log4Shell.

3:40 لا يزال الجميع يقولون "صوّب". لم تنتظر الحكومات الحكم.

ماذا أوقفت الحكومات على الإنترنت؟

3:44 أخبرت وكالة الأمن القومي المنظمات التي لم تتمكن من التحديث بإيقاف أنظمة PHP عن الإنترنت، وقدم المركز الوطني للأمن السيبراني في المملكة المتحدة نصيحة مماثلة. المواقع الهولندية، بما في ذلك خدمة الهوية الرقمية الوطنية، توقفت عن العمل، بالإضافة إلى موقع شرطة باريس. أوقفت ويكيميديا ​​عدة أنظمة كإجراء احترازي. أحصت Palo Alto Networks أكثر من اثنين وعشرين مليون نسخة مكشوفة. وقد أشار أستاذ أسترالي إلى النقطة الأكثر أهمية. المواقع التي يجب القلق بشأنها هي تلك التي لم تتعطل اليوم.

أي إصدارات PHP تحصل على إصلاح؟

4:11 توجد إصلاحات لإصدارات PHP 8.2 إلى 8.5. لإصدارات 7.4 و 8.0 و 8.1، نشرت PHP تصحيحات المصدر فقط. الإصدارات الأقدم لا تحصل على أي شيء من مشروع PHP، لذا اسأل توزيعتك. تقلل الحلول البديلة من الاحتمالات، لكن PHP تقول إن التحديث هو الحل الوحيد الكامل. إنه نفس الدرس من حلقة eMudhra بالأمس،

ماذا تفعل حيال PHP2Shell الليلة؟

4:32 لأن وجود إصلاح ليس هو نفسه امتلاك العملية الجارية له. ابحث عن كل PHP في مكدسك، حتى النسخ المخفية داخل برامج أخرى. قم بالتحديث، أعد تشغيل العمال، وتحقق من السجلات حتى السابع عشر من أكتوبر. في نفس اليوم، أصدرت GitLab تصحيحًا حرجًا،

ماذا صدر أيضًا من تصحيح RCE حرج اليوم؟

4:47 الإصدار 19.5.1. تجاوز عدد صحيح في مترجم التعبيرات العادية يسمح لمستخدم غير مصادق عليه بتشغيل التعليمات البرمجية على الخادم، ويسجل عشرة من أصل عشرة. تم تحديث GitLab.com بالفعل. تحتاج التثبيتات المدارة ذاتيًا إلى التحديث.

لماذا أمرت Meta بدفع 25 مليار دولار؟

5:01 في هذه الأثناء، في نيو مكسيكو، أمر قاضي شركة ميتا بدفع خمسة وعشرين مليار دولار غرامات بسبب كامبريدج أناليتيكا. أحصت هيئة المحلفين أكثر من ثلاثة وأربعين مليون انتهاك تصل قيمة كل منها إلى خمسة آلاف دولار، والتي بلغت حوالي مائتي وعشرين مليارًا قبل أن يخفضها القاضي. تقول ميتا إنها ستفوز بالاستئناف. الآن الدفاع الذي وعدت به.

ما هو دفاع Chainguard عن الإصلاح المبكر؟

5:19 قال الرئيس التنفيذي لـ Chainguard لـ The Register إنه وجد نفس الأخطاء بنفسه ليلة الجمعة، بعد علمه بأن شيئًا ما سيأتي في PHP، مع طلب أساسي للعثور على نقاط ضعف سيئة. يقول إنه أرسلها مبكرًا لأن الناس كانوا بالفعل يتأثرون. إذا كنت تفضل قراءة هذا بدلاً من سماعي أقوله، يصل "الفرق اليومي" إلى بريدك الوارد كل صباح، مجانًا على thedailydiff.dev، الرابط أدناه. لذا فإن حكم اليوم هو SHIP IT.

ما الذي يحصل على ختم SHIP IT؟

5:39 أرسل تحديث PHP الليلة، لأن رقم الإصدار الجديد هو الإصلاح الكامل الوحيد. وهذا هو "الفرق" لهذا اليوم. أنا نيكو من Axrisi. دمج بمسؤولية.

المصادر

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News