PHP2Shell: দুটি গুরুতর পিএইচপি ত্রুটি, একটি ফাঁস হওয়া নিষেধাজ্ঞা, এবং শোষণ সম্পর্কে আসলে যা জানা যায়

এই ভিডিওতে যা আছে

• পিএইচপি দল কর্তৃক উভয় ত্রুটি CVSS v4.0-এ 9.2 রেট করা হয়েছে। ফিক্স করা রিলিজগুলি হল PHP 8.2.35, 8.3.36, 8.4.27 এবং 8.5.12; PHP 7.4, 8.0 এবং 8.1 শুধুমাত্র সোর্স প্যাচ পেয়েছে। পিএইচপি বলছে আপডেট করাই একমাত্র সম্পূর্ণ প্রতিকার।
• প্রথম ত্রুটিটি আসে যখন PHP ভুল মুহূর্তে মেমরি শেষ হয়ে গেলে একটি অনুরোধ অর্ধ-নির্মিত রেখে দেয়। দ্বিতীয়টি আসে একটি অনুরোধের মেমরির একটি অবশিষ্ট পয়েন্টার থেকে যা একই ওয়ার্কারের একটি পরবর্তী অনুরোধ ব্যবহার করতে পারে। mod_php সহ Apache-এ প্রথম পাথ অ্যাপ্লিকেশন কোডের আগে চলে।
• একজন পিএইচপি কোর ডেভেলপার 2024 সালের একটি নিরীক্ষার সময় মেমরি সমস্যার প্রথম লক্ষণগুলি খুঁজে পান। পিএইচপি ফাউন্ডেশন বলছে প্রতিযোগিতামূলক ফিক্সগুলির মধ্যে আপস ছিল এবং একটি ঐকমত্য-ভিত্তিক নিরাপত্তা দল নির্বাচন করতে সংগ্রাম করেছিল, যেটিকে তারা একটি কাঠামোগত ব্যর্থতা বলে।
• ফাউন্ডেশন বলছে CVE আইডিগুলি 20শে অক্টোবর ফাঁস হয়েছিল, Calif ভুলবশত একটি প্রুফ-অফ-কনসেপ্ট ভিডিও প্রকাশ করেছিল, এবং Chainguard রিলিজের ছয় ঘণ্টারও বেশি আগে ফিক্স সহ বিল্ট ইমেজ প্রকাশ করেছিল। Chainguard-এর CEO বলেছেন যে লোকেরা ইতিমধ্যেই আক্রান্ত হচ্ছিল এবং তিনি স্বাধীনভাবে বাগগুলি খুঁজে পেয়েছিলেন।
• শোষণ সম্পর্কে সূত্রগুলির মধ্যে মতভেদ রয়েছে। অ্যামাজন 17ই অক্টোবর একটি প্রচেষ্টার লগ করেছে এবং পরে বলেছে যে PHP2Shell ব্যাপকভাবে শোষিত হয়েছিল। watchTowr বাস্তবে শোষণ রিপোর্ট করেছে। CISA প্রকাশের সময় শোষণ পর্যবেক্ষণ করেনি এবং পিএইচপি দল রিলিজের সময় কোনও কার্যকরী শোষণ খুঁজে পায়নি। অনেক পাবলিক প্রুফ-অফ-কনসেপ্ট স্ক্রিপ্ট কাজ করে না বলে রিপোর্ট করা হয়েছে।
• পিএইচপি যেখানে চলে তার প্রতিটি জায়গা পরীক্ষা করুন, যার মধ্যে অন্যান্য সফ্টওয়্যারের মধ্যে থাকা কপিগুলিও রয়েছে, আপডেট করুন, ওয়ার্কারগুলি পুনরায় চালু করুন এবং 17ই অক্টোবর পর্যন্ত লগগুলি পর্যালোচনা করুন।

অনুবাদিত প্রতিলিপি

মূল ইংরেজি বর্ণনা থেকে অনূদিত। উপলব্ধ অডিও এবং ক্যাপশন YouTube দ্বারা নিয়ন্ত্রিত।

চার দিন আগে PHP2Shell কে চেষ্টা করেছিল?

0:00 একটি নিরাপত্তা নিষেধাজ্ঞা প্যাচ প্রকাশ না হওয়া পর্যন্ত একটি বাগ চুপ করে রাখার কথা। অ্যামাজন পিএইচপি-এর গুরুতর বাগের বিরুদ্ধে চার দিন আগে একটি প্রচেষ্টা লগ করেছে। এই ভিডিওতে, কে এটি খুঁজে পেয়েছে? নিষেধাজ্ঞা কীভাবে ফাঁস হয়েছিল? এবং এটি আসলে কতটা খারাপ? এবং ফাঁস হওয়ার জন্য দায়ী কোম্পানিটির একটি প্রতিরক্ষা আছে যা আমি আশা করিনি। আমি এতে আসব। এটি বৃহস্পতিবার, 22শে অক্টোবর, এবং এটি The Daily Diff।

0:21 পিএইচপি একটি স্ক্রিপ্টিং ভাষা যা ওয়েব পেজ তৈরি করে সার্ভারে ঠিক আপনার কাছে পৌঁছানোর আগে। এটি ত্রিশ বছরেরও বেশি পুরনো এবং, একটি অনুমান অনুযায়ী, ওয়ার্ল্ডপ্রেস এবং উইকিপিডিয়ার পিছনের সফ্টওয়্যার সহ প্রায় সত্তর শতাংশ ওয়েবসাইট চালায়। ডেভেলপাররা এটিকে উপহাস করতে ভালোবাসে, সাধারণত একটি পেজ থেকে যা পিএইচপি তাদের পরিবেশন করছে। এর রক্ষণাবেক্ষণ একটি অলাভজনক সংস্থা যার প্রায় তেরো জন প্রকৌশলী রয়েছে।

দুটি PHP2Shell বাগ কি?

0:41 বুধবার, পিএইচপি দুটি গুরুতর ত্রুটির জন্য জরুরি ফিক্স প্রকাশ করেছে যা একজন অপরিচিত ব্যক্তিকে কোনও লগইন ছাড়াই একটি সার্ভারে কোড চালানোর অনুমতি দেয়। একসাথে তাদের PHP2Shell বলা হয়, এবং তারা পিএইচপি ফাইভ পয়েন্ট ফোরে ফিরে যায়। এখানে প্রথম বাগটি সহজ ভাষায়। পিএইচপি প্রতিটি অনুরোধকে একটি মেমরি বাজেট দেয়। যদি একটি অনুরোধ ঠিক ভুল মুহূর্তে সেই সীমা অতিক্রম করে, পিএইচপি তাড়াহুড়ো করে বেরিয়ে আসে এবং অনুরোধটি অর্ধ-নির্মিত রেখে দেয়। তারপর পরিষ্কার করার ধাপটি অর্ধ-নির্মিত জিনিসটিকে বিশ্বাস করে।

1:07 দ্বিতীয় বাগটি একটি অবশিষ্ট জিনিস। একটি মারাত্মক ত্রুটি মেমরিতে একটি নোট রেখে যেতে পারে যা শেষ অনুরোধের অন্তর্গত ছিল। একই ওয়ার্কার পরবর্তী অনুরোধটি পরিচালনা করে এবং নোটটি অনুসরণ করে। ততক্ষণে অন্য কেউ সেই ঠিকানায় থাকে। mod PHP সহ Apache-এ, ক্ষতি আপনার নিজের কোড চালানোর আগে ঘটে, সুতরাং আপনার লগইন পেজ কখনই ভোট পায় না। Wiz বলছে এমনকি একটি হ্যালো ওয়ার্ল্ড স্ক্রিপ্টও উন্মুক্ত। ফিক্সটি মেমরি শেষ হয়ে যাওয়ার জন্য পিএইচপি-এর জরুরি প্রস্থান সরিয়ে দেয়।

1:32 অনুরোধের মাঝখানে বেরিয়ে আসার পরিবর্তে, পিএইচপি এখন পরবর্তী নিরাপদ পয়েন্টে বিনয়ের সাথে থেমে যায়। অদ্ভুত অংশটি হল প্রথম সূত্রটি কতটা পুরনো।

একটি পরিচিত বাগ কেন দুই বছর অপেক্ষা করেছিল?

1:39 2024 সালে, একটি বাইরের নিরাপত্তা নিরীক্ষা একজন পিএইচপি কোর ডেভেলপারকে মেমরি সমস্যার প্রথম লক্ষণগুলির দিকে নিয়ে যায়। কোনও শোষণ জানা ছিল না, এবং প্রতিটি ফিক্স কিছু ভেঙে দিয়েছিল। একটি দল যা ঐকমত্যের দ্বারা সিদ্ধান্ত নেয় তা নির্বাচন করতে পারেনি, তাই বাগটি অপেক্ষা করেছিল। তারপর আগস্টে, সন্ধানকারীরা কয়েক দিনের মধ্যে পৌঁছেছিল।

কে এবং কীভাবে PHP2Shell খুঁজে পেয়েছিল?

1:56 Calif গবেষক রায়ান অস্টিন এটি আগস্টের প্রথম দিকে খুঁজে পান, OpenAI-এর Patch the Planet প্রোগ্রামের মাধ্যমে কাজ করে। OpenAI স্বাধীনভাবে একই মূল কারণ রিপোর্ট করেছে। Wiz কয়েক সপ্তাহ পরে জেমিনি এবং GPT মডেলগুলির সাথে ভেরিয়েন্টগুলি খুঁজে পায়। অস্টিন বলেছেন যে তিনি এমন মডেল ব্যবহার করেছেন যা যে কেউ পেতে পারে, সাথে পিএইচপি-এর পুরনো বাগগুলি কোথায় লুকিয়ে থাকে সে সম্পর্কে একটি তত্ত্ব। OpenAI বলছে ফ্রন্টিয়ার এআই ছিল মূল চাবিকাঠি। বাগটি এক দশকেরও বেশি সময় ধরে লুকিয়ে ছিল। প্রকাশনা বৃহস্পতিবারের জন্য পরিকল্পনা করা হয়েছিল।

PHP2Shell নিষেধাজ্ঞা কীভাবে ফাঁস হয়েছিল?

2:21 মঙ্গলবার, দুটি CVE নম্বর অনলাইনে ছড়িয়ে পড়তে শুরু করে, একটি ভুল প্রকাশের সময় এবং দশের একটি ভুল স্কোর সহ। পিএইচপি প্রকাশনা একদিন এগিয়ে নিয়ে আসে। সেই সন্ধ্যায়, Calif ভুলবশত তার প্রুফ-অফ-কনসেপ্টের একটি ভিডিও প্রকাশ করে যা কাজ করছিল, এবং কপিগুলি মুছে ফেলার পরেও টিকে ছিল। বুধবার সকালে, রিলিজের ছয় ঘণ্টারও বেশি আগে, Chainguard ফিক্স ধারণকারী বিল্ট ইমেজ প্রকাশ করে। পিএইচপি বলছে যে কোনও আক্রমণকারী সেই ফিক্সটি অধ্যয়ন করতে পারত যখন অন্যরা অপেক্ষা করছিল।

2:46 একটি প্যাচও একটি ডিফারেন্স, এবং আক্রমণকারীরা ডিফারেন্স পড়ে।

PHP2Shell শোষিত হচ্ছে কি এবং কার দ্বারা?

2:50 তাহলে আসলে কে আক্রান্ত হচ্ছে? অ্যামাজনের হানিপট 17ই অক্টোবর একটি প্রচেষ্টা লগ করেছে এবং পরে বলেছে PHP2Shell ব্যাপকভাবে শোষিত হয়েছে। watchTowr বাস্তবে শোষণ রিপোর্ট করেছে। Cisa বলেছে যে তারা প্রকাশের সময় কোনও পর্যবেক্ষণ করেনি, এবং পিএইচপি-এর দল রিলিজের সময় কোনও কার্যকরী শোষণ দেখেনি। Cloudflare-এর CEO বলেছেন যে তারা ঘোষণার দশ ঘণ্টা আগে হাজার হাজার প্রচেষ্টা দেখেছিল, এবং বৃহস্পতিবার সকালের মধ্যে লক্ষ লক্ষ।

3:13 অ্যামাজন একটি বিষয়ে সতর্ক। এটি জানে না যে এর প্রথম দিকের প্রচেষ্টাগুলি একটি বাস্তব সিস্টেমে কাজ করত কিনা। একটি প্রচেষ্টা শুধুমাত্র দরজায় একটি নক। তাহলে এটি আসলে কতটা খারাপ? watchTowr বলছে যে পাবলিক শোষণগুলি বেশিরভাগই ক্র্যাশ করে বা কিছুই করে না। VulnCheck বলছে কোড এক্সিকিউশন কিছু সেটআপে কাজ করে, এবং পাবলিকগুলির মধ্যে কোনটিই স্ট্যান্ডার্ড x86 সার্ভারে মেমরি র্যান্ডমাইজেশনকে পরাজিত করে না। গবেষক এলিয়াস টেলর বলছেন এটি Log4Shell-এর মতো সহজ নয়।

3:40 তবুও সবাই প্যাচ করতে বলছে। সরকারগুলি রায় ঘোষণার জন্য অপেক্ষা করেনি।

সরকারগুলি কী অফলাইন করেছিল?

3:44 এনএসএ সংস্থাগুলিকে বলেছিল যারা প্যাচ করতে পারেনি তাদের পিএইচপি সিস্টেমগুলি অফলাইন করতে, এবং যুক্তরাজ্যের ন্যাশনাল সাইবার সিকিউরিটি সেন্টারও একই পরামর্শ দিয়েছে। জাতীয় ডিজিটাল পরিচয় পরিষেবা সহ ডাচ সাইটগুলি, প্যারিস পুলিশের একটি সাইটের সাথে অন্ধকার হয়ে গিয়েছিল। উইকিমিডিয়া সতর্কতামূলক ব্যবস্থা হিসাবে বেশ কয়েকটি সিস্টেম বন্ধ করে দিয়েছিল। পালো অল্টো নেটওয়ার্কস বাইশ মিলিয়নেরও বেশি উন্মুক্ত দৃষ্টান্ত গণনা করেছে। এবং একজন অস্ট্রেলিয়ান অধ্যাপক সবচেয়ে তীক্ষ্ণ মন্তব্য করেছেন। আজ যে সাইটগুলি ডাউন হয়নি, সেগুলির বিষয়ে চিন্তা করতে হবে।

কোন পিএইচপি সংস্করণ ফিক্স পাবে?

4:11 PHP আট পয়েন্ট দুই থেকে আট পয়েন্ট ফাইভের জন্য ফিক্স বিদ্যমান। সাত পয়েন্ট চার, আট পয়েন্ট ওহ এবং আট পয়েন্ট একের জন্য, পিএইচপি শুধুমাত্র সোর্স প্যাচ প্রকাশ করেছে। পুরনো সংস্করণগুলি পিএইচপি প্রকল্প থেকে কিছুই পায় না, তাই আপনার বিতরণকারীকে জিজ্ঞাসা করুন। সমাধানগুলি সম্ভাবনা হ্রাস করে, তবে পিএইচপি বলছে আপডেট করাই একমাত্র সম্পূর্ণ ফিক্স। এটি গতকালের eMudhra পর্বের মতো একই শিক্ষা,

আজ রাতে PHP2Shell নিয়ে কী করবেন?

4:32 কারণ একটি ফিক্স বিদ্যমান থাকা আর চলমান প্রক্রিয়াতে এটি থাকা একই জিনিস নয়। আপনার স্ট্যাকের প্রতিটি পিএইচপি খুঁজে বের করুন, এমনকি অন্যান্য সফ্টওয়্যারের ভিতরে লুকিয়ে থাকা কপিগুলিও। আপডেট করুন, ওয়ার্কারগুলি পুনরায় চালু করুন এবং 17ই অক্টোবর পর্যন্ত লগগুলি পরীক্ষা করুন। একই দিনে, GitLab একটি গুরুতর প্যাচ রিলিজ প্রকাশ করেছে,

আজ আর কী একটি গুরুতর RCE প্যাচ প্রকাশ করেছে?

4:47 উনিশ পয়েন্ট পাঁচ পয়েন্ট এক। এর রেগুলার এক্সপ্রেশন কম্পাইলারে একটি ইন্টিজার ওভারফ্লো একজন অপ্রমাণিত ব্যবহারকারীকে সার্ভারে কোড চালাতে দেয়, এবং এটি দশের মধ্যে দশ স্কোর করে। GitLab ডট কম ইতিমধ্যেই প্যাচ করা হয়েছে। স্ব-ব্যবস্থাপিত ইনস্টলগুলির আপডেটের প্রয়োজন। এদিকে নিউ মেক্সিকোতে, একজন বিচারক মেটাকে কেমব্রিজ অ্যানালিটিকার জন্য পঁচিশ বিলিয়ন ডলার

মেটাকে কেন 25 বিলিয়ন ডলার দিতে আদেশ দেওয়া হয়েছিল?

5:01 জরিমানা দিতে আদেশ দিয়েছেন। জুরি তেতাল্লিশ মিলিয়নেরও বেশি লঙ্ঘন গণনা করেছে, প্রতিটি পাঁচ হাজার ডলার পর্যন্ত, যা বিচারক কমানোর আগে প্রায় দুইশো বিশ বিলিয়ন হয়েছিল। মেটা বলছে তারা আপিলে জিতবে। এখন আমি যে প্রতিরক্ষার প্রতিশ্রুতি দিয়েছিলাম। Chainguard-এর CEO The Register-কে বলেছেন যে তিনি নিজেই শুক্রবার রাতে একই বাগগুলি খুঁজে পেয়েছিলেন, পিএইচপি-তে কিছু আসছে জানতে পারার পর, খারাপ দুর্বলতাগুলি খুঁজে বের করার জন্য একটি মৌলিক প্রম্পট ব্যবহার করে।

Chainguard-এর প্রাথমিক ফিক্সের জন্য কী প্রতিরক্ষা?

5:19 তিনি বলেছেন যে তিনি তাড়াতাড়ি প্রকাশ করেছেন কারণ লোকেরা ইতিমধ্যেই আক্রান্ত হচ্ছিল। আপনি যদি এটি আমার মুখে না শুনে পড়তে চান, diff প্রতিদিন সকালে আপনার ইনবক্সে আসে, the daily diff dot dev-এ বিনামূল্যে, নিচের লিঙ্ক। সুতরাং আজকের রায় হল SHIP IT। আজ রাতে পিএইচপি আপডেটটি প্রকাশ করুন, কারণ নতুন সংস্করণ নম্বরই একমাত্র সম্পূর্ণ ফিক্স। এবং আজকের জন্য এই diff।

কী SHIP IT স্ট্যাম্প পায়?

5:39 আমি অ্যাক্সিসির নিকো। দায়িত্বের সাথে মার্জ করুন। আমি Axrisi থেকে Nico। দায়িত্বের সাথে মার্জ করুন।

উৎস

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News