PHP2Shell: dvije kritične PHP greške, embargo koji je procurio i što se zapravo zna o iskorištavanju

Šta ovaj video pokriva

• Obje greške PHP tim ocjenjuje 9.2 na CVSS v4.0. Ispravljene verzije su PHP 8.2.35, 8.3.36, 8.4.27 i 8.5.12; PHP 7.4, 8.0 i 8.1 dobili su samo izvorne zakrpe. PHP kaže da je ažuriranje jedino potpuno ublažavanje.
• Prva greška potječe od toga što PHP ostavlja zahtjev napola izgrađenim kada u pogrešnom trenutku ostane bez memorije. Druga potječe od zaostalog pokazivača na memoriju jednog zahtjeva koju kasniji zahtjev u istom radniku može koristiti. Na Apacheu s mod_php, prvi put se pokreće prije koda aplikacije.
• PHP core developer pronašao je prve znakove memorijskog problema tokom revizije 2024. godine. PHP Fondacija kaže da su konkurentni popravci imali kompromise i da se sigurnosni tim, koji se temelji na konsenzusu, borio da odabere, što naziva strukturnim neuspjehom.
• Fondacija kaže da su CVE ID-ovi procurili 20. oktobra, Calif je pogrešno objavio video dokaza o konceptu, a Chainguard je objavio izgrađene slike s popravkom više od šest sati prije izdanja. Izvršni direktor Chainguarda kaže da su ljudi već bili pogođeni i da je on samostalno pronašao greške.
• Izvori se ne slažu oko iskorištavanja. Amazon je zabilježio pokušaj 17. oktobra i kasnije rekao da je PHP2Shell široko iskorišten. watchTowr je izvijestio o iskorištavanju u divljini. CISA nije primijetila iskorištavanje u trenutku objavljivanja, a PHP tim nije pronašao funkcionalan exploit prilikom izdanja. Mnogi javni proof-of-concept skriptovi navodno ne rade.
• Provjerite svako mjesto gdje se PHP pokreće, uključujući kopije unutar drugog softvera, ažurirajte, ponovo pokrenite radnike i pregledajte dnevnike do 17. oktobra.

Prevedeni transkript

Prevedeno iz originalne engleske naracije. Dostupan zvuk i titlovi kontroliše YouTube.

Ko je četiri dana ranije pokušao PHP2Shell?

0:00 Sigurnosni embargo bi trebao držati grešku u tajnosti dok se zakrpa ne isporuči. Amazon je zabilježio pokušaj kritične PHP greške četiri dana ranije. U ovom videu, ko ga je pronašao? Kako je procurio embargo? I koliko je to zapravo loše? A tvrtka okrivljena za curenje ima obranu koju nisam očekivao. Doći ću do toga. Četvrtak je, dvadeset i drugi oktobar, i ovo je The Daily Diff.

0:21 PHP je skriptni jezik koji gradi web stranice na poslužitelju neposredno prije nego što dođu do vas. Star je preko trideset godina i, po jednoj procjeni, pokreće oko sedamdeset posto web stranica, uključujući WordPress i softver iza Wikipedije. Programeri ga vole ismijavati, obično s web stranice koju im PHP poslužuje. Njegovo održavanje je neprofitna organizacija s oko trinaest inženjera.

Koje su dvije PHP2Shell greške?

0:41 U srijedu, PHP je isporučio hitne popravke za dvije kritične greške koje omogućuju strancu da pokrene kod na poslužitelju bez prijave. Zajedno se zovu PHP2Shell, i sežu do PHP pet točka četiri. Evo prve greške jednostavnim riječima. PHP svakom zahtjevu daje proračun memorije. Ako zahtjev dostigne tu granicu u točno pogrešnom trenutku, PHP brzo odustaje i ostavlja zahtjev napola izgrađenim. Zatim korak čišćenja vjeruje napola izgrađenoj stvari.

1:07 Druga greška je zaostatak. Fatalna greška može ostaviti bilješku koja pokazuje na memoriju koja je pripadala prošlom zahtjevu. Isti radnik obrađuje sljedeći zahtjev i slijedi bilješku. Do tada netko drugi živi na toj adresi. Na Apacheu s mod PHP-om, šteta se događa prije nego što se pokrene vaš vlastiti kod, tako da vaša stranica za prijavu nikad ne dobije glas. Wiz kaže da je čak i 'hello world' skripta izložena. Popravak uklanja PHP-ov hitni izlaz zbog nedostatka memorije.

1:32 Umjesto da odustaje usred zahtjeva, PHP se sada pristojno zaustavlja na sljedećoj sigurnoj točki. Čudan dio je koliko je star prvi trag.

Zašto je poznata greška čekala dvije godine?

1:39 U 2024. godini, vanjska sigurnosna revizija dovela je PHP core developera do prvih znakova memorijskog problema. Nije bio poznat nikakav exploit, a svaki popravak je nešto pokvario. Tim koji odlučuje konsenzusom nije mogao odabrati, pa je greška čekala. Zatim su u augustu pronalazači stigli u roku od nekoliko dana.

Ko je pronašao PHP2Shell i kako?

1:56 Istraživač iz Califa Ryan Austin pronašao ga je prvog augusta, radeći kroz OpenAI-jev program Patch the Planet. OpenAI je neovisno prijavio isti osnovni uzrok. Wiz je pronašao varijante nekoliko tjedana kasnije s Gemini i GPT modelima. Austin kaže da je koristio modele koje svatko može dobiti, plus teoriju o tome gdje se skrivaju PHP-ove stare greške. OpenAI kaže da je ključ bio AI na granici. Greška se skrivala više od desetljeća. Izdanje je planirano za četvrtak.

Kako je procurio PHP2Shell embargo?

2:21 U utorak su se dva CVE broja počela širiti online, s pogrešnim vremenom objave i pogrešnom ocjenom deset. PHP je izdanje povukao dan ranije. Te večeri, Calif je slučajno objavio video svog dokaza koncepta koji radi, a kopije su nadživjele brisanje. U srijedu ujutro, više od šest sati prije izdanja, Chainguard je objavio izgrađene slike koje sadrže popravak. PHP kaže da je svaki napadač mogao proučavati taj popravak dok su svi ostali čekali.

2:46 Zakrpa je također diff, a napadači čitaju diffove.

Je li PHP2Shell iskorišten, i od koga?

2:50 Dakle, ko je zapravo pogođen? Amazonov honeypot zabilježio je pokušaj 17. oktobra i kasnije rekao da je PHP2Shell široko iskorišten. watchTowr izvještava o iskorištavanju u divljini. Cisa je rekla da nije primijetila nikakvo iskorištavanje kada je objavila, a PHP tim nije vidio funkcionalan exploit prilikom izdanja. Izvršni direktor Cloudflare-a rekao je da je vidio hiljade pokušaja u deset sati prije objave, i milione do četvrtka ujutro.

3:13 Amazon je oprezan u jednoj točki. Ne zna jesu li njegovi najraniji pokušaji uspjeli na stvarnom sistemu. Pokušaj je samo kucanje na vrata. Dakle, koliko je to zapravo loše? watchTowr kaže da javni exploiti koji kruže uglavnom padaju ili ne rade ništa. VulnCheck kaže da izvršavanje koda radi u nekim postavkama, i nijedan od javnih ne pobjeđuje randomizaciju memorije na standardnim x86 poslužiteljima. Istraživač Elias Taylor kaže da to nije ni blizu lako kao Log4Shell.

3:40 Svi i dalje kažu zakrpati. Vlade nisu čekale presudu.

Što su vlade ugasile?

3:44 NSA je rekla organizacijama koje nisu mogle zakrpati da isključe PHP sisteme, a Britanski Nacionalni centar za cyber sigurnost dao je sličan savjet. Nizozemske stranice, uključujući nacionalnu digitalnu identifikacijsku uslugu, ugašene su, zajedno sa stranicom pariške policije. Wikimedia je preventivno ugasila nekoliko sistema. Palo Alto Networks je izbrojao više od dvadeset dva miliona izloženih instanci. A australski profesor je iznio najoštriju poantu. Stranice zbog kojih se treba brinuti su one koje danas nisu ugašene.

Koje PHP verzije dobivaju popravak?

4:11 Popravci postoje za PHP osam točka dva do osam točka pet. Za sedam točka četiri, osam točka oh i osam točka jedan, PHP je objavio samo izvorne zakrpe. Starije verzije ne dobivaju ništa od PHP projekta, pa pitajte svoju distribuciju. Rješenja smanjuju šanse, ali PHP kaže da je ažuriranje jedino potpuno rješenje. To je ista lekcija kao jučerašnja eMudhra epizoda,

Što učiniti s PHP2Shell večeras?

4:32 jer postojanje popravka nije isto što i pokrenuti proces koji ga ima. Pronađite svaki PHP u svom steku, čak i kopije koje se skrivaju unutar drugog softvera. Ažurirajte, ponovno pokrenite radnike i provjerite dnevnike do sedamnaestog oktobra. Istog dana, GitLab je isporučio kritično izdanje zakrpe,

Što je još danas isporučeno s kritičnom RCE zakrpom?

4:47 devetnaest točka pet točka jedan. Prelijevanje cijelog broja u njegovom kompilatoru regularnih izraza omogućuje neautenticiranom korisniku da pokrene kod na poslužitelju, i ocjenjuje se deset od deset. GitLab.com je već zakrpljen. Samostalno instalirane instance trebaju ažuriranje.

Zašto je Meta naređeno da plati 25 milijardi dolara?

5:01 U međuvremenu u Novom Meksiku, sudac je naredio Meti da plati dvadeset pet milijardi dolara kazni zbog Cambridge Analytice. Porota je prebrojala više od četrdeset tri miliona kršenja po cijeni do pet hiljada dolara po komadu, što je iznosilo oko dvjesto dvadeset milijardi prije nego što je sudac to smanjio. Meta kaže da će pobijediti u žalbi. Sada obećana obrana.

Koja je Chainguardova obrana za rani popravak?

5:19 Izvršni direktor Chainguarda rekao je za The Register da je sam pronašao iste greške u petak navečer, nakon što je saznao da nešto dolazi u PHP-u, s osnovnim upitom da pronađe loše ranjivosti. Kaže da je isporučio rano jer su ljudi već bili pogođeni. Ako ovo radije čitate nego slušate mene kako to govorim, diff stiže u vaš inbox svako jutro, besplatno na thedailydiff.dev, link ispod. Dakle, današnja presuda je SHIP IT.

Što dobiva SHIP IT pečat?

5:39 Isporučite PHP ažuriranje večeras, jer je novi broj verzije jedini potpuni popravak. I to je diff za danas. Ja sam Niko iz Axrisija. Spajajte odgovorno.

Izvori

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News