PHP2Shell: দুটা জটিল PHP ত্ৰুটি, এটা ফাদিল হোৱা নিষেধাজ্ঞা, আৰু শোষণৰ বিষয়ে আচলতে কি জনা যায়

এই ভিডিঅ’টোত কি আছে

• PHP দলৰ দ্বাৰা দুয়োটা ত্ৰুটি CVSS v4.0 ত ৯.২ ৰেট কৰা হৈছে। ফিক্স কৰা সংস্কৰণসমূহ হৈছে PHP 8.2.35, 8.3.36, 8.4.27 আৰু 8.5.12; PHP 7.4, 8.0 আৰু 8.1 য়ে কেৱল উৎস পেচ লাভ কৰিছে। PHP য়ে কয় যে আপডেইট কৰাটোৱেই একমাত্ৰ সম্পূৰ্ণ উপশম।
• প্ৰথম ত্ৰুটিটো PHP য়ে ভুল সময়ত মেমৰি শেষ হোৱাৰ সময়ত এটা অনুৰোধ আধা বনোৱা অৱস্থাত এৰি দিয়াৰ পৰা আহে। দ্বিতীয়টো একেজন কৰ্মীৰ এটা পূৰ্বৰ অনুৰোধৰ মেমৰিলৈ এটা এৰি যোৱা পইণ্টাৰৰ পৰা আহে যিটো পিছৰ অনুৰোধে ব্যৱহাৰ কৰিব পাৰে। mod_php থকা Apache ত প্ৰথম পথটো এপ্লিকেচন কোডৰ আগতে চলে।
• এটা PHP কোৰ ডেভেলপমেন্টেৰ এজন ২০২৪ চনৰ অডিটৰ সময়ত মেমৰি সমস্যাৰ প্ৰথম লক্ষণসমূহ বিচাৰি পাইছিল। PHP ফাউণ্ডেশ্যনে কয় যে প্ৰতিদ্বন্দ্বী ফিক্সবোৰত কিছুমান আপোচ আছিল আৰু এটা সহমত ভিত্তিক সুৰক্ষা দলে বাছনি কৰাত অসুবিধা পাইছিল, যাক ই এক গাঁথনিগত বিফলতা বুলি কয়।
• ফাউণ্ডেশ্যনে কয় যে অক্টোবৰ ২০ তাৰিখে CVE ID ফাদিল হৈছিল, Calif য়ে ভুলকৈ এটা প্ৰমাণ-ভিত্তিক ভিডিও প্ৰকাশ কৰিছিল, আৰু Chainguard য়ে মুকলিৰ ছয় ঘণ্টাৰো অধিক আগতে ফিক্স সহ বিল্ট ইমেজ প্ৰকাশ কৰিছিল। Chainguard ৰ CEO য়ে কয় যে মানুহ ইতিমধ্যে আক্ৰান্ত হৈছিল আৰু তেওঁ স্বাধীনভাৱে বাগবোৰ বিচাৰি পাইছিল।
• শোষণৰ বিষয়ে উৎসসমূহৰ মত পাৰ্থক্য আছে। Amazon য়ে অক্টোবৰ ১৭ তাৰিখে এটা প্ৰচেষ্টা লিপিবদ্ধ কৰিছিল আৰু পিছত কৈছিল যে PHP2Shell বহুলভাৱে শোষণ কৰা হৈছিল। watchTowr য়ে বন্য অঞ্চলত শোষণৰ খবৰ দিছিল। CISA য়ে প্ৰকাশৰ সময়ত শোষণ পৰ্যবেক্ষণ কৰা নাছিল, আৰু PHP দলে মুকলিৰ সময়ত কোনো কাৰ্যক্ষম শোষণ বিচাৰি পোৱা নাছিল। বহুতো ৰাজহুৱা প্ৰমাণ-ভিত্তিক স্ক্ৰিপ্ট কাম নকৰা বুলি জনা গৈছে।
• PHP চলা প্ৰতিটো স্থান পৰীক্ষা কৰক, আন ছফটৱেৰৰ ভিতৰত থকা প্ৰতিলিপিকে ধৰি, আপডেইট কৰক, কৰ্মীসকলক পুনৰ আৰম্ভ কৰক আৰু অক্টোবৰ ১৭ লৈকে ল'গসমূহ পুনৰীক্ষা কৰক।

অনূদিত ট্ৰান্সক্ৰিপ্ট

মূল ইংৰাজী বৰ্ণনাৰ পৰা অনুবাদ কৰা হৈছে। উপলব্ধ অডিঅ’ আৰু কেপচন ইউটিউবে নিয়ন্ত্ৰণ কৰে।

চাৰি দিন আগতে কোনে PHP2Shell চেষ্টা কৰিছিল?

0:00 এটা সুৰক্ষা নিষেধাজ্ঞাই এটা বাগ পেচ প্ৰেৰণ নোহোৱালৈকে শান্ত কৰি ৰাখিব লাগে। এমেজনে PHP ৰ গুৰুত্বপূৰ্ণ বাগৰ বিৰুদ্ধে এটা প্ৰচেষ্টা চাৰি দিন আগতে লিপিবদ্ধ কৰিছিল। এই ভিডিঅ'টোত, কোনে ইয়াৰ বিষয়ে বিচাৰি পাইছিল? নিষেধাজ্ঞা কেনেকৈ ফাদিল হৈছিল? আৰু ই আচলতে কিমান বেয়া? আৰু ফাদিলৰ বাবে দায়বদ্ধ কোম্পানীটোৰ এটা প্ৰতিৰক্ষা আছে যিটো মই আশা কৰা নাছিলোঁ। মই ইয়াৰ বিষয়ে ক'ম। এইটো বৃহস্পতিবাৰ, অক্টোবৰ বাইশ তাৰিখ, আৰু এইটো হৈছে The Daily Diff।

0:21 PHP হৈছে এটা স্ক্ৰিপ্টিং ভাষা যিটো ৱেব পেজবোৰ ছাৰ্ভাৰত সিহঁতৰ আগতে বনায় আপোনাৰ ওচৰলৈ আহে। ই ৩০ বছৰৰো অধিক পুৰণি আৰু, এটা অনুমান অনুসৰি, ৱৰ্ডপ্ৰেছ আৰু ৱিকিপিডিয়াৰ পিছত থকা ছফটৱেৰকে ধৰি প্ৰায় ৭০ শতাংশ ৱেবছাইটত চলে। ডেভেলপাৰসকলে ইয়াক উপহাস কৰিবলৈ ভাল পায়, সাধাৰণতে এটা পেজৰ পৰা PHP য়ে সিহঁতক সেৱা আগবঢ়াই থাকে। ইয়াৰ ৰক্ষণাবেক্ষণ এটা অলাভজনক সংস্থা, প্ৰায় তেৰজন অভিযন্তাৰে সৈতে।

PHP2Shell ৰ দুটা বাগ কি কি?

0:41 বুধবাৰে, PHP য়ে দুটা গুৰুত্বপূৰ্ণ ত্ৰুটিৰ বাবে জৰুৰীকালীন ফিক্স প্ৰেৰণ কৰিছিল যিবোৰে এটা অচিনাকি ব্যক্তিক কোনো লগইন অবিহনে এটা ছাৰ্ভাৰত কোড চলাবলৈ দিয়ে। একত্ৰিতভাৱে সিহঁতক PHP2Shell বোলা হয়, আৰু সিহঁত PHP পাঁচলৈকে যায় দশমিক চাৰি। ইয়াত প্ৰথম বাগটো সাধাৰণ শব্দত আছে। PHP য়ে প্ৰতিটো অনুৰোধক এটা মেমৰি বাজেট দিয়ে। যদি এটা অনুৰোধ সেই সীমাটো ঠিক ভুল সময়ত স্পৰ্শ কৰে, PHP সোনকালে ওলাই যায় আৰু অনুৰোধটো আধা বনোৱা অৱস্থাত এৰি দিয়ে। তাৰ পিছত পৰিষ্কাৰ কৰা ধাপে আধা বনোৱা বস্তুটো বিশ্বাস কৰে।

1:07 দ্বিতীয় বাগটো এটা এৰি যোৱা অংশ। এটা গুৰুতৰ ত্ৰুটিয়ে এটা মেমৰিলৈ এটা নোট এৰি দিব পাৰে যিটো শেষ অনুৰোধৰ আছিল। একেজন কৰ্মীয়ে পিছৰ অনুৰোধটো হাতত লয় আৰু নোটটো অনুসৰণ কৰে। সেই সময়লৈকে সেই ঠিকনাত আন কোনোবা থাকে। mod PHP থকা Apache ত, আপোনাৰ নিজৰ কোড চলাৰ আগতেই ক্ষতি হয়, সেয়ে আপোনাৰ লগইন পেজে কেতিয়াও ভোট নাপায়। Wiz য়ে কয় যে এটা hello world স্ক্ৰিপ্টো উন্মুক্ত হৈ আছে। ফিক্সটোৱে মেমৰি শেষ হোৱাৰ বাবে PHP ৰ জৰুৰীকালীন নিৰ্গমন বন্ধ কৰে।

1:32 অনুৰোধৰ মাজতে ওলাই যোৱাৰ পৰিৱৰ্তে, PHP এতিয়া পৰৱৰ্তী নিৰাপদ বিন্দুত শিষ্টাচাৰেৰে বন্ধ হয়। অদ্ভুত অংশটো হৈছে প্ৰথম ক্লু কিমান পুৰণি।

এটা জনা বাগ কিয় দুবছৰ অপেক্ষা কৰিছিল?

1:39 ২০২৪ চনত, এটা বাহ্যিক সুৰক্ষা অডিটে এজন PHP কোৰ ডেভেলপমেন্টেৰক লৈ গৈছিল মেমৰি সমস্যাৰ প্ৰথম লক্ষণসমূহলৈ। কোনো শোষণ জনা নাছিল, আৰু প্ৰতিটো ফিক্সে কিবা এটা ভাঙিছিল। সহমতিৰে সিদ্ধান্ত লোৱা এটা দলে বাছনি কৰিব নোৱাৰিলে, সেয়ে বাগটো অপেক্ষা কৰিছিল। তাৰ পিছত আগষ্টত, আৱিষ্কাৰকসকলে কেইদিনমানৰ ভিতৰতে আহিছিল।

কোনে PHP2Shell বিচাৰি পাইছিল, আৰু কেনেকৈ?

1:56 Calif ৰ গৱেষক ৰায়ান অষ্টিনে আগষ্টৰ প্ৰথম তাৰিখে ইয়াক বিচাৰি পাইছিল, OpenAI ৰ Patch the Planet প্ৰগ্ৰেমৰ মাজেৰে কাম কৰি। OpenAI য়ে একেটা মূল কাৰণ স্বাধীনভাৱে ৰিপোৰ্ট কৰিছিল। Wiz য়ে কেইসপ্তাহমান পিছত জেমিনি আৰু GPT মডেলৰ সৈতে ভিন্নতা বিচাৰি পাইছিল। অষ্টিনে কয় যে তেওঁ যিকোনোৱে পাব পৰা মডেল ব্যৱহাৰ কৰিছিল, লগতে PHP ৰ পুৰণি বাগবোৰ ক'ত লুকাই থাকে তাৰ বিষয়ে এটা তত্ত্ব। OpenAI য়ে কয় যে ফ্ৰন্টিয়াৰ AI আছিল মূল চাবি। বাগটো এটা দশকৰো অধিক সময় ধৰি লুকাই আছিল। মুকলিটো বৃহস্পতিবাৰৰ বাবে পৰিকল্পনা কৰা হৈছিল।

PHP2Shell ৰ নিষেধাজ্ঞা কেনেকৈ ফাদিল হৈছিল?

2:21 মঙলবাৰে, দুটা CVE নম্বৰ অনলাইনত ঘূৰিবলৈ ধৰিছিল, এটা ভুল মুকলি সময় আৰু দহৰ ভুল স্কোৰৰ সৈতে। PHP য়ে মুকলিটো এদিন আগুৱাই আনিছিল। সেই সন্ধিয়া, Calif য়ে দুৰ্ঘটনাক্ৰমে ইয়াৰ প্ৰমাণ-ভিত্তিক ধাৰণাৰ এটা ভিডিও প্ৰকাশ কৰিছিল কাম কৰি আছিল, আৰু প্ৰতিলিপিবোৰ বিলুপ্তিৰ পিছতো জীয়াই আছিল। বুধবাৰে পুৱা, মুকলিৰ ছয় ঘণ্টাৰো অধিক আগতে, Chainguard য়ে ফিক্স থকা বিল্ট ইমেজ প্ৰকাশ কৰিছিল। PHP য়ে কয় যে যিকোনো আক্ৰমণকাৰীয়ে সেই ফিক্সটো অধ্যয়ন কৰিব পাৰিছিল যেতিয়া আন সকলোৱে অপেক্ষা কৰিছিল।

2:46 এটা পেচো এটা ডিফল্ট হয়, আৰু আক্ৰমণকাৰীসকলে ডিফল্টবোৰ পঢ়ে।

PHP2Shell শোষণ কৰা হৈছেনে, আৰু কাৰ দ্বাৰা?

2:50 তেন্তে আচলতে কাক আক্ৰান্ত কৰা হৈছে? এমেজনৰ হানিপটে অক্টোবৰ ১৭ তাৰিখে এটা প্ৰচেষ্টা লিপিবদ্ধ কৰিছিল আৰু পিছত কৈছিল PHP2Shell বহুলভাৱে শোষণ কৰা হৈছে। watchTowr য়ে বন্য অঞ্চলত শোষণৰ খবৰ দিয়ে। Cisa য়ে কৈছিল যে ই প্ৰকাশৰ সময়ত কোনো পৰ্যবেক্ষণ কৰা নাছিল, আৰু PHP ৰ দলে কোনো কাম কৰা শোষণ মুকলিৰ সময়ত দেখা নাছিল। Cloudflare ৰ CEO য়ে কৈছিল যে ই ঘোষণাৰ আগৰ দহ ঘণ্টাত হাজাৰ হাজাৰ প্ৰচেষ্টা দেখা পাইছিল, আৰু বৃহস্পতিবাৰে পুৱালৈকে লাখ লাখ।

3:13 এমেজন এটা কথাত সতৰ্ক। ই নাজানে যে ইয়াৰ প্ৰাৰম্ভিক প্ৰচেষ্টাবোৰ এটা প্ৰকৃত প্ৰণালীত কাম কৰিব পাৰিলেহেঁতেন নে নাই। এটা প্ৰচেষ্টা কেৱল দুৱাৰত টোকৰ মৰা। তেন্তে ই আচলতে কিমান বেয়া? watchTowr য়ে কয় যে উৰি ফুৰা বেছিভাগ ৰাজহুৱা শোষণ ক্ৰেচ হয় বা একো নকৰে। VulnCheck য়ে কয় যে কিছুমান ছেটআপত কোড এক্সিকিউচন কাম কৰে, আৰু ৰাজহুৱা কোনো এটা নহয় মানক x86 ছাৰ্ভাৰত মেমৰি ৰেনডমাইজেশ্যনক পৰাজিত কৰে। গৱেষক ইলিয়াছ টেইলৰে কয় যে ই Log4Shell ৰ দৰে সহজ নহয়।

3:40 সকলোৱে এতিয়াও পেচ কৰিবলৈ কয়। চৰকাৰবোৰে ৰায়ৰ বাবে অপেক্ষা কৰা নাছিল।

চৰকাৰসমূহে কি অফলাইন কৰিছিল?

3:44 NSA য়ে যিবোৰ সংগঠনে পেচ কৰিব নোৱাৰিলে সেইবোৰক PHP প্ৰণালী অফলাইন কৰিবলৈ কৈছিল, আৰু যুক্তৰাজ্যৰ ৰাষ্ট্ৰীয় চাইবাৰ সুৰক্ষা কেন্দ্ৰই একেধৰণৰ পৰামৰ্শ দিছিল। নেডাৰলেণ্ডৰ ছাইটসমূহ, ৰাষ্ট্ৰীয় ডিজিটেল পৰিচয় সেৱাকে ধৰি, পেৰিচ আৰক্ষীৰ ছাইটৰ সৈতে অফলাইন হৈছিল। ৱিকিমিডিয়া য়ে সাৱধানতা হিচাপে কেইবাটাও প্ৰণালী বন্ধ কৰিছিল। Palo Alto Networks য়ে বাইশ মিলিয়নতকৈও অধিক উন্মুক্ত উদাহৰণ গণনা কৰিছিল। আৰু এজন অষ্ট্ৰেলিয়ান অধ্যাপকে আটাইতকৈ চোকা কথাটো কৈছিল। আজি অফলাইন নোহোৱা ছাইটবোৰৰ বিষয়ে চিন্তা কৰিব লাগিব।

কোনবোৰ PHP সংস্কৰণে ফিক্স পাব?

4:11 PHP আঠ দশমিক দুইৰ পৰা আঠ দশমিক পাচলৈকে ফিক্স আছে। সাত দশমিক চাৰি, আঠ দশমিক শূন্য আৰু আঠ দশমিক একৰ বাবে, PHP য়ে কেৱল উৎস পেচ প্ৰকাশ কৰিছিল। পুৰণি সংস্কৰণবোৰে PHP প্ৰজেক্টৰ পৰা একো নাপায়, সেয়ে আপোনাৰ বিতৰণক সুধিব। সমাধানবোৰে সম্ভাৱনা কমায়, কিন্তু PHP য়ে কয় যে আপডেইট কৰাটোৱেই একমাত্ৰ সম্পূৰ্ণ ফিক্স। এইটো যোৱা কালিৰ eMudhra খণ্ডৰ একেটা পাঠ,

আজি ৰাতি PHP2Shell ৰ বিষয়ে আপুনি কি কৰিব?

4:32 কিয়নো এটা ফিক্স থকাটোৱে চলি থকা প্ৰক্ৰিয়াত ই থকাৰ দৰে নহয়। আপোনাৰ ষ্টেকত থকা প্ৰতিটো PHP বিচাৰি উলিয়াওক, আন ছফটৱেৰৰ ভিতৰত লুকাই থকা প্ৰতিলিপিবোৰো। আপডেইট কৰক, কৰ্মীসকলক পুনৰ আৰম্ভ কৰক, আৰু অক্টোবৰ ১৭ লৈকে ল'গবোৰ পৰীক্ষা কৰক। একেদিনাই, GitLab য়ে এটা গুৰুত্বপূৰ্ণ পেচ মুকলি কৰিছিল,

আজি আৰু কি কি গুৰুত্বপূৰ্ণ RCE পেচ মুকলি হৈছিল?

4:47 উনৈশ দশমিক পাঁচ দশমিক এক। ইয়াৰ নিয়ামক অভিব্যক্তি কম্পাইলাৰত এটা পূৰ্ণসংখ্যা অভাৰফ্লো য়ে এজনক প্ৰমাণীকৃত নোহোৱা ব্যৱহাৰকাৰীক ছাৰ্ভাৰত কোড চলাবলৈ দিয়ে, আৰু ই দহৰ ভিতৰত দহ স্কোৰ কৰে। GitLab ডট কম ইতিমধ্যে পেচ কৰা হৈছে। স্ব-প্ৰশাসিত ইনষ্টলবোৰৰ বাবে আপডেইটৰ প্ৰয়োজন। ইপিনে নিউ মেক্সিকোত, এজন ন্যায়াধীশে মেটাক কেম্ব্ৰিজ এনালাইটিকাৰ ওপৰত পঁচিশ বিলিয়ন ডলাৰ জৰিমনা দিবলৈ আদেশ দিছিল।

মেটাক কিয় ২৫ বিলিয়ন ডলাৰ দিবলৈ আদেশ দিয়া হৈছিল?

5:01 জ্যুৰীয়ে তেতাল্লিশ মিলিয়নতকৈও অধিক উলংঘন গণনা কৰিছিল, প্ৰতিটো পাঁচ হাজাৰ ডলাৰলৈকে, যিটো ন্যায়াধীশে কমোৱাৰ আগতে প্ৰায় দুশ বিশ বিলিয়ন হৈছিল। মেটায়ে কয় যে ই আপীলত জয়ী হ'ব। এতিয়া মই প্ৰতিশ্ৰুতি দিয়া প্ৰতিৰক্ষা। Chainguard ৰ CEO য়ে The Register ক কৈছিল যে তেওঁ শুক্ৰবাৰৰ ৰাতি নিজেই একেটা বাগ বিচাৰি পাইছিল, PHP ত কিবা আহি আছে বুলি জনাৰ পিছত, বেয়া দুৰ্বলতাসমূহ বিচাৰি উলিয়াবলৈ এটা সাধাৰণ প্ৰম্প্টৰ সৈতে। তেওঁ কয় যে তেওঁ আগতীয়াকৈ প্ৰেৰণ কৰিছিল কাৰণ মানুহ ইতিমধ্যে আক্ৰান্ত হৈ আছিল। যদি আপুনি মই কোৱাৰ পৰিৱৰ্তে এইটো পঢ়িব বিচাৰে,

Chainguard ৰ আগতীয়া ফিক্সৰ বাবে প্ৰতিৰক্ষা কি?

5:19 diff টো প্ৰতি পুৱা আপোনাৰ ইনবক্সত আহে, daily diff dot dev ত বিনামূলীয়া, লিংক তলত আছে। সেয়ে আজিৰ ৰায় হৈছে SHIP IT। আজি ৰাতি PHP আপডেইটটো প্ৰেৰণ কৰক, কিয়নো নতুন সংস্কৰণ নম্বৰটোৱেই একমাত্ৰ সম্পূৰ্ণ ফিক্স। আৰু এইটোৱেই আজিৰ বাবে diff। মই Axrisi ৰ পৰা নিকো। দায়িত্বশীলভাৱে একত্ৰিত কৰক।

কিহে SHIP IT ষ্টাম্প পায়?

5:39 SHIP IT PHP আপডেইটটো আজি ৰাতি SHIP IT কৰক, কিয়নো নতুন সংস্কৰণ নম্বৰটোৱেই একমাত্ৰ সম্পূৰ্ণ ফিক্স। মই Axrisi ৰ পৰা নিকো। দায়িত্বশীলভাৱে একত্ৰিত কৰক।

উৎসসমূহ

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News