PHP2Shell: две критични PHP уязвимости, изтекло ембарго и какво всъщност се знае за експлоатацията

Какво обхваща този видеоклип

• И двете уязвимости са оценени с 9.2 по CVSS v4.0 от екипа на PHP. Фиксираните версии са PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12; PHP 7.4, 8.0 и 8.1 получиха само изходни пачове. PHP казва, че актуализацията е единственото пълно смекчаване.
• Първата уязвимост идва от това, че PHP оставя заявка наполовина изградена, когато изчерпи паметта в грешен момент. Втората идва от остатъчен указател към паметта на една заявка, която по-късна заявка в същия работник може да използва. В Apache с mod_php първият път работи преди кода на приложението.
• Основен разработчик на PHP е открил първите признаци на проблема с паметта по време на одит през 2024 г. PHP Foundation казва, че конкуриращите се корекции са имали компромиси и екипът по сигурността, базиран на консенсус, се е борил да избере, което те наричат структурен провал.
• Фондацията казва, че CVE идентификаторите са изтекли на 20 октомври, Calif по погрешка е публикувал видео с доказателство за концепция, а Chainguard е публикувал изградени изображения с корекцията повече от шест часа преди пускането. Изпълнителният директор на Chainguard казва, че хората вече са били засегнати и че той е открил бъговете независимо.
• Източниците не са съгласни относно експлоатацията. Amazon регистрира опит на 17 октомври и по-късно заяви, че PHP2Shell е широко експлоатиран. watchTowr съобщи за експлоатация в реалния свят. CISA не е наблюдавала експлоатация към момента на публикуване, а екипът на PHP не е открил функционален експлойт при пускането. Много публични скриптове за доказателство за концепция се съобщава, че не работят.
• Проверете всяко място, където PHP работи, включително копия в друг софтуер, актуализирайте, рестартирайте работниците и прегледайте дневниците до 17 октомври.

Преведен препис

Преведено от оригиналния английски разказ. Наличните аудио и субтитри се контролират от YouTube.

Кой е опитал PHP2Shell четири дни по-рано?

0:00 Ембаргото за сигурност трябва да пази бъг в тайна, докато пачът не бъде пуснат. Amazon регистрира опит за критичния бъг на PHP четири дни по-рано. В това видео, кой го е намерил? Как изтече ембаргото? И колко лошо е всъщност? И компанията, обвинена за изтичането, има защита, която не очаквах. Ще стигна до нея. Четвъртък е, 22 октомври, и това е The Daily Diff.

0:21 PHP е скриптов език, който изгражда уеб страници на сървъра непосредствено преди да достигнат до вас. Той е на повече от тридесет години и по една оценка, работи около седемдесет процента от уебсайтовете, включително WordPress и софтуера зад Wikipedia. Разработчиците обичат да му се подиграват, обикновено от страница, която PHP им сервира. Поддръжката му е с нестопанска цел с около тринадесет инженери.

Какви са двата бъга на PHP2Shell?

0:41 В сряда PHP пусна спешни корекции за две критични уязвимости, които позволяват на непознат да изпълнява код на сървър без вход. Заедно те се наричат PHP2Shell и датират от PHP пет точка четири. Ето първия бъг с прости думи. PHP дава на всяка заявка бюджет за памет. Ако заявка достигне този лимит в точно неподходящия момент, PHP се отказва бързо и оставя заявката наполовина изградена. Тогава стъпката за почистване се доверява на наполовина изграденото нещо.

1:07 Вторият бъг е остатък. Фатална грешка може да остави бележка, сочеща към памет, която е принадлежала на последната заявка. Същият работник обработва следващата заявка и следва бележката. Дотогава някой друг живее на този адрес. В Apache с mod PHP, щетите се случват преди вашия собствен код да работи, така че вашата страница за вход никога не получава право на глас. Wiz казва, че дори скрипт за "здравейте свят" е изложен на риск. Корекцията премахва аварийния изход на PHP при изчерпване на паметта.

1:32 Вместо да се отказва по средата на заявката, PHP сега спира учтиво на следващата безопасна точка. Странното е колко стара е първата улика.

Защо известен бъг е чакал две години?

1:39 През 2024 г. външен одит по сигурността е довел основен разработчик на PHP до първите признаци на проблема с паметта. Не е бил известен експлойт и всяка корекция е разваляла нещо. Екип, който взима решения с консенсус, не е могъл да избере, така че бъгът е чакал. След това през август, откривателите пристигнаха в рамките на дни.

Кой е открил PHP2Shell и как?

1:56 Изследователят на Calif Райън Остин го е открил на първи август, работейки по програмата "Patch the Planet" на OpenAI. OpenAI докладва същата основна причина независимо. Wiz откри варианти няколко седмици по-късно с моделите Gemini и GPT. Остин казва, че е използвал модели, до които всеки може да получи достъп, плюс теория за това къде се крият старите бъгове на PHP. OpenAI казва, че изкуственият интелект от следващо поколение е бил ключът. Бъгът се е крил повече от десетилетие. Пускането беше планирано за четвъртък.

Как изтече ембаргото на PHP2Shell?

2:21 Във вторник двете CVE номера започнаха да циркулират онлайн, с грешно време на пускане и грешен резултат от десет. PHP изтегли пускането с един ден напред. Същата вечер Calif случайно публикува видео с доказателство за концепция, работещо, и копия преживяха изтриването. В сряда сутринта, повече от шест часа преди пускането, Chainguard публикува изградени изображения, съдържащи корекцията. PHP казва, че всеки нападател би могъл да изучи тази корекция, докато всички останали чакат.

2:46 Пачът е също и разлика, а нападателите четат разликите.

Експлоатира ли се PHP2Shell и от кого?

2:50 Така че кой всъщност е засегнат? Honeypot-ът на Amazon регистрира опит на седемнадесети октомври и по-късно заяви, че PHP2Shell е широко експлоатиран. watchTowr съобщава за експлоатация в реални условия. Cisa каза, че не е наблюдавала никакви, когато е публикувала, а екипът на PHP не е видял работещ експлойт при пускането. Изпълнителният директор на Cloudflare каза, че са видели хиляди опити през десетте часа преди съобщението, и милиони до четвъртък сутринта.

3:13 Amazon е внимателна по един въпрос. Не знае дали най-ранните ѝ опити биха работили на реална система. Опитът е само почукване на вратата. И така, колко лошо е всъщност? watchTowr казва, че публичните експлойти, които летят наоколо, предимно се сриват или не правят нищо. VulnCheck казва, че изпълнението на код работи в някои настройки, и нито един от публичните не преодолява рандомизацията на паметта на стандартни x86 сървъри. Изследователят Елиас Тейлър казва, че изобщо не е толкова лесно, колкото Log4Shell.

3:40 Всеки все още казва "закърпи". Правителствата не дочакаха присъдата.

Какво изключиха правителствата?

3:44 NSA нареди на организациите, които не могат да закърпят, да изключат PHP системите, а Националният център за киберсигурност на Обединеното кралство даде подобен съвет. Холандски сайтове, включително националната услуга за цифрова самоличност, потънаха в мрак, заедно със сайт на полицията в Париж. Уикимедия свали няколко системи като предпазна мярка. Palo Alto Networks преброи над двадесет и два милиона изложени инстанции. И австралийски професор направи най-острото заключение. Сайтовете, за които трябва да се притеснявате, са тези, които не са изключени днес.

Кои версии на PHP получават корекция?

4:11 Съществуват корекции за PHP осем точка две до осем точка пет. За седем точка четири, осем точка нула и осем точка едно, PHP публикува само изходни пачове. По-старите версии не получават нищо от проекта PHP, така че попитайте вашата дистрибуция. Заобиколните решения намаляват шансовете, но PHP казва, че актуализацията е единственото пълно решение. Това е същият урок като вчерашния епизод за eMudhra,

Какво да правите с PHP2Shell тази вечер?

4:32 защото съществуваща корекция не е същото като работещият процес да я има. Намерете всеки PHP във вашия стек, дори копията, скрити в друг софтуер. Актуализирайте, рестартирайте работниците и проверете дневниците до седемнадесети октомври. Същия ден GitLab пусна критична версия на пач,

Какво друго пусна критичен RCE пач днес?

4:47 деветнадесет точка пет точка едно. Препълване на цяло число в неговия компилатор на регулярен израз позволява на неавтентикиран потребител да изпълнява код на сървъра и той получава десет от десет точки. GitLab.com вече е закърпен. Самоуправляващите се инсталации се нуждаят от актуализацията.

Защо Meta беше осъдена да плати 25 милиарда долара?

5:01 Междувременно в Ню Мексико съдия нареди на Meta да плати двадесет и пет милиарда долара глоби заради Cambridge Analytica. Журито преброи над четиридесет и три милиона нарушения по до пет хиляди долара всяко, което възлизаше на около двеста и двадесет милиарда, преди съдията да го намали. Meta казва, че ще спечели обжалването. Сега защитата, която обещах.

Каква е защитата на Chainguard за ранната корекция?

5:19 Изпълнителният директор на Chainguard каза пред The Register, че е открил същите бъгове сам в петък вечер, след като е научил, че нещо предстои в PHP, с основна подкана за намиране на лоши уязвимости. Той казва, че е пуснал рано, защото хората вече са били засегнати. Ако предпочитате да прочетете това, отколкото да ме чуете да го казвам, разликата пристига във входящата ви кутия всяка сутрин, безплатно на thedailydiff.dev, линк по-долу. И така, днешната присъда е SHIP IT.

Какво получава печата SHIP IT?

5:39 Публикувайте актуализацията на PHP тази вечер, защото новият номер на версията е единствената пълна корекция. И това е разликата за днес. Аз съм Нико от Axrisi. Обединявайте отговорно.

Източници

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News