PHP2Shell: iki kritik PHP qüsuru, sızan embarqo və istismar haqqında əslində nə məlumdur

Bu videoda nələr əhatə olunur

• Hər iki qüsur PHP komandası tərəfindən CVSS v4.0-da 9.2 qiymətləndirilib. Düzəliş edilmiş buraxılışlar PHP 8.2.35, 8.3.36, 8.4.27 və 8.5.12-dir; PHP 7.4, 8.0 və 8.1 yalnız mənbə düzəlişləri aldı. PHP deyir ki, yeniləmə yeganə tam yumşaltmadır.
• Birinci qüsur PHP-nin səhv anda yaddaş tükəndikdə sorğunu yarı qurulmuş vəziyyətdə tərk etməsindən qaynaqlanır. İkinci qüsur eyni işçidə sonrakı sorğunun istifadə edə biləcəyi əvvəlki sorğunun yaddaşına qalan bir göstəricidən qaynaqlanır. Apache-də mod_php ilə birinci yol proqram kodundan əvvəl işləyir.
• PHP nüvə tərtibatçısı 2024-cü il auditində yaddaş probleminin ilk əlamətlərini aşkar etdi. PHP Fondu deyir ki, rəqabət aparan düzəlişlər kompromislərə malik idi və konsensus əsaslı təhlükəsizlik qrupu seçməkdə çətinlik çəkdi, bunu struktur uğursuzluğu adlandırır.
• Fond deyir ki, CVE ID-ləri 20 oktyabrda sızdı, Calif səhvən sübut-konsept videosu yayımladı və Chainguard düzəlişlə hazırlanmış şəkilləri buraxılışdan altı saatdan çox əvvəl yayımladı. Chainguard-ın icraçı direktoru deyir ki, insanlar artıq zərər çəkirdi və o, səhvləri müstəqil olaraq tapdı.
• Mənbələr istismar mövzusunda razılaşmır. Amazon 17 oktyabrda bir cəhd qeyd etdi və sonra PHP2Shell-in geniş şəkildə istismar edildiyini bildirdi. watchTowr sahədə istismarın olduğunu bildirdi. CISA nəşr zamanı istismar müşahidə etməmişdi və PHP komandası buraxılış zamanı heç bir funksional istismar tapmadı. Bir çox ictimai sübut-konsept skriptlərinin işləmədiyi bildirilir.
• PHP-nin işlədiyi hər yeri, o cümlədən digər proqram təminatı daxilindəki surətləri yoxlayın, yeniləyin, işçiləri yenidən başladın və 17 oktyabr tarixinə qədər logları nəzərdən keçirin.

Tərcümə olunmuş transkript

Orijinal ingilis dilindəki nəqldən tərcümə edilmişdir. Mövcud audio və subtitrlər YouTube tərəfindən idarə olunur.

PHP2Shell-i dörd gün əvvəl kim sınaqdan keçirdi?

0:00 Təhlükəsizlik embarqosu yamaq göndərilənə qədər səhvi gizli saxlamaq üçündür. Amazon PHP-nin kritik səhvinə qarşı dörd gün əvvəl bir cəhd qeydə aldı. Bu videoda, bunu kim tapdı? Embarqo necə sızdı? Və əslində nə qədər pisdir? Və sızmaya görə günahlandırılan şirkətin gözləmədiyim bir müdafiəsi var. Mən ora çatacam. Bu cümə axşamıdır, iyirmi ikinci oktyabr, və bu The Daily Diff-dir.

0:21 PHP veb səhifələri serverdə, onlar sizə çatmazdan əvvəl quran bir skript dilidir. Otuz ildən artıqdır və bir hesablamaya görə, WordPress və Wikipedia-nın arxasında duran proqram təminatı da daxil olmaqla, veb saytlarının yetmiş faizini işlədir. Tərtibatçılar onu lağa qoymağı sevirlər, adətən PHP-nin onlara xidmət etdiyi bir səhifədən. Onun baxımı on üç mühəndisi olan bir qeyri-kommersiya təşkilatıdır.

İki PHP2Shell səhvi nədir?

0:41 Çərşənbə günü, PHP, yad bir şəxsin giriş etmədən serverdə kod işlətməsinə imkan verən iki kritik qüsur üçün təcili düzəlişlər göndərdi. Birlikdə onlar PHP2Shell adlanır və PHP beş nöqtə dördə qədər uzanır. Burada ilk səhv sadə sözlərlə verilir. PHP hər sorğuya bir yaddaş büdcəsi verir. Əgər bir sorğu həmin həddi tamamilə səhv anda çatarsa, PHP tələsik çıxış edir və sorğunu yarı qurulmuş vəziyyətdə tərk edir. Sonra təmizləmə addımı yarı qurulmuş şeyə etibar edir. İkinci səhv bir qalıqdır.

1:07 Ölümcül bir səhv son sorğuya aid olan yaddaşa işarə edən bir qeyd buraxa bilər. Eyni işçi növbəti sorğunu idarə edir və qeydə əməl edir. O zamana qədər o ünvanda başqa biri yaşayır. Apache-də mod PHP ilə ziyan sizin öz kodunuz işləməzdən əvvəl baş verir, belə ki, sizin giriş səhifəniz heç vaxt səs vermir. Wiz deyir ki, hətta salam dünya skripti də açıqdır. Düzəliş PHP-nin yaddaş tükənməsi üçün təcili çıxışını aradan qaldırır. Sorğunun ortasında çıxış etmək əvəzinə, PHP indi növbəti təhlükəsiz nöqtədə nəzakətlə dayanır.

1:32 Qəribə hiss odur ki, ilk ipucu nə qədər köhnədir. 2024-cü ildə, xarici təhlükəsizlik auditi PHP nüvə tərtibatçısını

Niyə məlum bir səhv iki il gözlədi?

1:39 yaddaş probleminin ilk əlamətlərinə apardı. Heç bir istismar məlum deyildi və hər bir düzəliş nəyisə pozurdu. Konsensusla qərar verən bir komanda seçə bilmədi, buna görə də səhv gözlədi. Sonra avqustda, tapıcılar bir neçə gün ərzində gəldilər. Calif tədqiqatçısı Ryan Austin bunu avqustun birində tapdı,

PHP2Shell-i kim və necə tapdı?

1:56 OpenAI-nin Patch the Planet proqramı vasitəsilə işləyərkən. OpenAI eyni kök səbəbi müstəqil olaraq bildirdi. Wiz bir neçə həftə sonra Gemini və GPT modelləri ilə variantlar tapdı. Austin deyir ki, o, hər kəsin əldə edə biləcəyi modellərdən, üstəlik PHP-nin köhnə səhvlərinin harada gizləndiyinə dair bir nəzəriyyədən istifadə etdi. OpenAI deyir ki, qabaqcıl süni intellekt əsas idi. Səhv on ildən çox gizlənmişdi. Buraxılış cümə axşamı üçün planlaşdırılmışdı. Çərşənbə axşamı, iki CVE nömrəsi onlayn dövriyyəyə buraxıldı,

PHP2Shell embarqosu necə sızdı?

2:21 səhv buraxılış vaxtı və səhv on qiyməti ilə. PHP buraxılışı bir gün irəli çəkdi. Həmin axşam, Calif təsadüfən öz sübut-konseptinin işlədiyini göstərən bir video yayımladı, və surətlər silinməkdən daha uzun yaşadı. Çərşənbə səhəri, buraxılışdan altı saatdan çox əvvəl, Chainguard düzəlişi ehtiva edən hazırlanmış şəkilləri yayımladı. PHP deyir ki, hər hansı bir hücumçu hamı gözləyərkən bu düzəlişi öyrənə bilərdi. Bir yamaq həm də bir fərqdir və hücumçular fərqləri oxuyurlar.

2:46 Bəs kim əslində zərər çəkir?

PHP2Shell istismar edilirmi və kim tərəfindən?

2:50 Amazon-un honeypotu 17 oktyabrda bir cəhd qeydə aldı və daha sonra PHP2Shell-in geniş şəkildə istismar edildiyini bildirdi. watchTowr sahədə istismarın olduğunu bildirir. Cisa nəşr zamanı heç bir müşahidə etmədiyini bildirdi və PHP komandası buraxılış zamanı heç bir işləyən istismar görmədi. Cloudflare-in icraçı direktoru elandan əvvəlki on saat ərzində minlərlə cəhd və cümə axşamı səhərinə qədər milyonlarla cəhd gördüyünü bildirdi. Amazon bir nöqtədə diqqətlidir. O, ən erkən cəhdlərinin real bir sistemdə işləyib-işləməyəcəyini bilmir. Bir cəhd yalnız qapı döyməkdir. Bəs əslində nə qədər pisdir?

3:13 watchTowr deyir ki, ətrafda uçuşan ictimai istismarlar əsasən çökür və ya heç bir şey etmir. VulnCheck deyir ki, kod icrası bəzi quraşdırmalarda işləyir və ictimai olanların heç biri standart x86 serverlərində yaddaş təsadüfiləşdirməsini üstələyə bilmir. Tədqiqatçı Elias Taylor deyir ki, Log4Shell qədər asan deyil. Hər kəs hələ də yamaq deyir. Hökumətlər hökmü gözləmədilər. NSA yamaq edə bilməyən təşkilatlara PHP sistemlərini internetdən ayırmağı tapşırdı, və Böyük Britaniyanın Milli Kiber Təhlükəsizlik Mərkəzi oxşar məsləhət verdi. Niderland saytları, o cümlədən milli rəqəmsal identifikasiya xidməti,

3:40 Paris polis saytı ilə birlikdə söndürüldü. Wikimedia ehtiyat tədbiri olaraq bir neçə sistemi söndürdü.

Hökumətlər nəyi internetdən ayırdılar?

3:44 Palo Alto Networks iyirmi iki milyondan çox açıq instansiya saydı. Və Avstraliyalı bir professor ən kəskin nöqtəni qeyd etdi. Narahat olunmalı olan saytlar bu gün söndürülməyən saytlardır. PHP səkkiz nöqtə iki ilə səkkiz nöqtə beş üçün düzəlişlər mövcuddur. Yeddi nöqtə dörd, səkkiz nöqtə sıfır və səkkiz nöqtə bir üçün, PHP yalnız mənbə yamaqlarını yayımladı. Köhnə versiyalar PHP layihəsindən heç bir şey almır, buna görə distribyutorunuzdan soruşun. İşləmə yolları şansları azaldır, lakin PHP deyir ki, yeniləmə yeganə tam düzəlişdir.

Hansı PHP versiyaları düzəliş alır?

4:11 Bu, dünənki eMudhra epizodunda olduğu kimi eyni dərslikdir, çünki düzəlişin olması işləyən prosesin ona sahib olması demək deyil. Stackinizdəki hər bir PHP-ni tapın, hətta digər proqram təminatının içində gizlənən surətləri də. Yeniləyin, işçiləri yenidən başladın və 17 oktyabr tarixinə qədər logları yoxlayın. Eyni gün, GitLab kritik bir yamaq buraxılışı göndərdi, on doqquz nöqtə beş nöqtə bir.

Bu axşam PHP2Shell ilə bağlı nə edirsiniz?

4:32 Onun müntəzəm ifadə tərtibatçısında bir tam ədəd daşması, təsdiqlənməmiş bir istifadəçinin serverdə kod işlətməsinə imkan verir, və ondan on bal alır. GitLab.com artıq yamaq edilib.

Bu gün başqa hansı kritik RCE yamağı göndərildi?

4:47 Öz-özünə idarə olunan quraşdırmalar yeniləməyə ehtiyac duyur. Bu arada New Mexico-da bir hakim Meta-ya Cambridge Analytica ilə bağlı iyirmi beş milyard dollar cərimə ödəməyi əmr etdi. Juri qırx üç milyondan çox pozuntu saydı, hər biri beş min dollara qədər, bu da hakimin kəsməsindən əvvəl iki yüz iyirmi milyarda çatırdı. Meta deyir ki, apellyasiyada qalib gələcək. İndi vəd etdiyim müdafiə.

Meta niyə 25 milyard dollar ödəməyə məhkum edildi?

5:01 Chainguard-ın icraçı direktoru The Register-ə dedi ki, o, eyni səhvləri cümə axşamı gecəsi özü tapdı, PHP-də nəyinsə gəldiyini öyrəndikdən sonra, pis zəiflikləri tapmaq üçün əsas bir tələblə. O deyir ki, insanlar artıq zərər çəkdiyi üçün erkən göndərdi. Əgər bunu məndən eşitməkdən daha çox oxumaq istəyirsinizsə, fərq hər səhər pulsuz olaraq daxil qutunuza düşür, thedailydiff.dev-də, aşağıdakı keçid. Beləliklə, bugünkü hökm SHIP IT-dir.

Chainguard-ın erkən düzəliş üçün müdafiəsi nədir?

5:19 PHP yeniləməsini bu axşam göndərin, çünki yeni versiya nömrəsi yeganə tam düzəlişdir. Və bu, bu gün üçün fərqdir. Mən Axrisi-dən Nikon. Məsuliyyətlə birləşdirin. Bu, əslində işləməyən bir sübut-konsept skripti də ola bilər. Və ya hakerlər əllərini çirkləndirmək istəmirlər.

SHIP IT möhürünü nə alır?

5:39 Və ya hakerlər sadəcə təhlükəsizlik tədqiqatçılarından daha yaxşıdılar. Və ya bəlkə də hakerlər heç nə etmirlər. Ona görə də mən SHIP IT möhürünü vururam. PHP yeniləməsini bu axşam göndərin, çünki yeni versiya nömrəsi yeganə tam düzəlişdir.

Mənbələr

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News