PHP2Shell: dues fallades crítiques de PHP, un embargament que es va filtrar i el que realment se sap sobre l'explotació

Què cobreix aquest vídeo

• Les dues fallades estan classificades amb un 9,2 a CVSS v4.0 per l'equip de PHP. Les versions corregides són PHP 8.2.35, 8.3.36, 8.4.27 i 8.5.12; PHP 7.4, 8.0 i 8.1 només van rebre pegats de codi font. PHP diu que l'actualització és l'única mitigació completa.
• La primera fallada prové de PHP que deixa una sol·licitud a mig construir quan es queda sense memòria en el moment equivocat. La segona prové d'un punter residual a la memòria d'una sol·licitud que una sol·licitud posterior en el mateix treballador pot utilitzar. A Apache amb mod_php, la primera ruta s'executa abans del codi de l'aplicació.
• Un desenvolupador del nucli de PHP va trobar els primers signes del problema de memòria durant una auditoria del 2024. La Fundació PHP diu que les solucions competidores tenien contrapartides i que un equip de seguretat basat en el consens va tenir dificultats per triar, cosa que anomena un fracàs estructural.
• La Fundació diu que els identificadors CVE es van filtrar el 20 d'octubre, Calif va publicar per error un vídeo de prova de concepte i Chainguard va publicar imatges compilades amb la solució més de sis hores abans del llançament. El CEO de Chainguard diu que la gent ja estava sent afectada i que ell va trobar els errors de manera independent.
• Les fonts no estan d'acord sobre l'explotació. Amazon va registrar un intent el 17 d'octubre i més tard va dir que PHP2Shell va ser àmpliament explotat. watchTowr va informar d'explotació en la natura. CISA no havia observat explotació en el moment de la publicació, i l'equip de PHP no va trobar cap exploit funcional en el llançament. Molts scripts públics de prova de concepte s'informa que no funcionen.
• Comproveu tots els llocs on s'executa PHP, incloses les còpies dins d'altres programes, actualitzeu, reinicieu els treballadors i reviseu els registres fins al 17 d'octubre.

Transcripció traduïda

Traduït de la narració original en anglès. L'àudio i els subtítols disponibles estan controlats per YouTube.

Qui va provar PHP2Shell quatre dies abans?

0:00 Se suposa que un embargament de seguretat ha de mantenir un error en silenci fins que es publiqui el pegat. Amazon va registrar un intent contra l'error crític de PHP quatre dies abans. En aquest vídeo, qui el va trobar? Com es va filtrar l'embargament? I què tan greu és, realment? I l'empresa acusada de la filtració té una defensa que no esperava. Ja hi aniré. És dijous, 22 d'octubre, i això és The Daily Diff.

0:21 PHP és un llenguatge de script que construeix pàgines web al servidor just abans que us arribin. Té més de trenta anys i, segons una estimació, executa aproximadament el setanta per cent dels llocs web, inclòs WordPress i el programari darrere de la Viquipèdia. Als desenvolupadors els encanta burlar-se'n, normalment des d'una pàgina que PHP els està servint. El seu manteniment és una organització sense ànim de lucre amb uns tretze enginyers.

Quins són els dos errors de PHP2Shell?

0:41 Dimecres, PHP va llançar correccions d'emergència per a dues fallades crítiques que permeten a un estrany executar codi en un servidor sense iniciar sessió. Junts es diuen PHP2Shell, i es remunten a PHP cinc punt quatre. Aquí teniu el primer error en paraules senzilles. PHP assigna un pressupost de memòria a cada sol·licitud. Si una sol·licitud arriba a aquest límit exactament en el moment equivocat, PHP s'atura ràpidament i deixa la sol·licitud a mig construir. Llavors el pas de neteja confia en la cosa a mig construir.

1:07 El segon error és un romanent. Un error fatal pot deixar una nota que apunta a la memòria que pertanyia a la darrera sol·licitud. El mateix treballador gestiona la següent sol·licitud i segueix la nota. Per llavors, algú altre viu en aquesta adreça. A Apache amb mod PHP, el dany es produeix abans que s'executi el vostre propi codi, de manera que la vostra pàgina d'inici de sessió mai no té vot. Wiz diu que fins i tot un script de "hola món" està exposat. La solució elimina la sortida d'emergència de PHP per quedar-se sense memòria.

1:32 En lloc de sortir a mig sol·licitud, PHP ara s'atura educadament en el següent punt segur. La part estranya és la vellesa de la primera pista.

Per què un error conegut va esperar dos anys?

1:39 El 2024, una auditoria de seguretat externa va portar un desenvolupador principal de PHP als primers signes del problema de memòria. No es coneixia cap exploit, i cada solució trencava alguna cosa. Un equip que decideix per consens no podia triar, així que l'error va esperar. Llavors, a l'agost, van arribar els descobridors en pocs dies.

Qui va trobar PHP2Shell i com?

1:56 Ryan Austin, investigador de Calif, el va trobar l'u d'agost, treballant a través del programa Patch the Planet d'OpenAI. OpenAI va informar de la mateixa causa arrel de manera independent. Wiz va trobar variants unes setmanes més tard amb models Gemini i GPT. Austin diu que va utilitzar models que qualsevol pot obtenir, a més d'una teoria sobre on s'amaguen els antics errors de PHP. OpenAI diu que la IA de frontera va ser la clau. L'error s'havia amagat durant més d'una dècada. El llançament estava previst per dijous.

Com es va filtrar l'embargament de PHP2Shell?

2:21 Dimarts, els dos números CVE van començar a circular en línia, amb una hora de llançament incorrecta i una puntuació errònia de deu. PHP va avançar el llançament un dia. Aquella nit, Calif va publicar accidentalment un vídeo de la seva prova de concepte funcionant, i les còpies van sobreviure a l'eliminació. Dimecres al matí, més de sis hores abans del llançament, Chainguard va publicar imatges compilades que contenien la solució. PHP diu que qualsevol atacant podria estudiar aquesta solució mentre tothom esperava.

2:46 Un pegat també és un diff, i els atacants llegeixen els diffs.

Està sent explotat PHP2Shell, i per qui?

2:50 Així que, qui està sent realment afectat? La honeypot d'Amazon va registrar un intent el disset d'octubre i més tard va dir que PHP2Shell és àmpliament explotat. watchTowr informa d'explotació en la natura. Cisa va dir que no n'havia observat cap quan va publicar, i l'equip de PHP no va veure cap exploit funcional en el llançament. El CEO de Cloudflare va dir que va veure milers d'intents en les deu hores anteriors a l'anunci , i milions el dijous al matí.

3:13 Amazon és prudent en un punt. No sap si els seus primers intents haurien funcionat en un sistema real. Un intent és només un toc a la porta. Així que, què tan greu és, realment? watchTowr diu que els exploits públics que circulen majoritàriament es bloquegen o no fan res. VulnCheck diu que l'execució de codi funciona en algunes configuracions, i cap dels públics supera la randomització de memòria en servidors x86 estàndard. L'investigador Elias Taylor diu que no és tan fàcil com Log4Shell.

3:40 Tots segueixen dient que cal aplicar el pegat. Els governs no van esperar el veredicte.

Què van treure els governs de línia?

3:44 La NSA va dir a les organitzacions que no podien aplicar pegats que desconnectessin els sistemes PHP, i el Centre Nacional de Ciberseguretat del Regne Unit va donar un consell similar. Llocs holandesos, inclòs el servei d'identitat digital nacional, van quedar fora de servei, juntament amb un lloc de la policia de París. Wikimedia va retirar diversos sistemes com a precaució. Palo Alto Networks va comptar més de vint-i-dos milions d'instàncies exposades. I un professor australià va fer la puntualització més encertada. Els llocs dels quals preocupar-se són els que no estan caiguts avui.

Quines versions de PHP reben una solució?

4:11 Existeixen solucions per a PHP vuit punt dos a vuit punt cinc. Per a set punt quatre, vuit punt zero i vuit punt u, PHP va publicar només pegats de codi font. Les versions anteriors no reben res del projecte PHP, així que pregunteu a la vostra distribució. Les solucions alternatives redueixen les probabilitats, però PHP diu que l'actualització és l'única solució completa. És la mateixa lliçó que l'episodi d'ahir d'eMudhra,

Què feu amb PHP2Shell aquesta nit?

4:32 perquè una solució existent no és el mateix que el procés en execució la tingui. Cerqueu tots els PHP de la vostra pila, fins i tot les còpies amagades dins d'altres programaris. Actualitzeu, reinicieu els treballadors i reviseu els registres fins al disset d'octubre. El mateix dia, GitLab va llançar una actualització de pegats crítica,

Què més va llançar un pegat RCE crític avui?

4:47 la dinou punt cinc punt u. Un desbordament d'enter al seu compilador d'expressions regulars permet a un usuari no autenticat executar codi al servidor, i té una puntuació de deu sobre deu. GitLab.com ja està pegat. Les instal·lacions autogestionades necessiten l'actualització.

Per què es va ordenar a Meta pagar 25 mil milions de dòlars?

5:01 Mentrestant, a Nou Mèxic, un jutge va ordenar a Meta pagar vint-i-cinc mil milions de dòlars en multes per Cambridge Analytica. El jurat va comptar més de quaranta-tres milions de violacions a un màxim de cinc mil dòlars cadascuna, que van sumar uns dos-cents vint mil milions abans que el jutge ho reduís. Meta diu que guanyarà en apel·lació. Ara la defensa que vaig prometre.

Quina és la defensa de Chainguard per la solució anticipada?

5:19 El CEO de Chainguard va dir a The Register que ell mateix va trobar els mateixos errors un divendres a la nit, després de saber que alguna cosa anava a venir a PHP, amb una indicació bàsica per trobar vulnerabilitats dolentes. Diu que va llançar la solució aviat perquè la gent ja estava sent afectada. Si preferiu llegir això en lloc d'escoltar-me dir-ho, el diff arriba a la vostra safata d'entrada cada matí, gratuït a the daily diff dot dev, enllaç a continuació. Així que el veredicte d'avui és SHIP IT.

Què obté el segell SHIP IT?

5:39 Envieu l'actualització de PHP aquesta nit, perquè el nou número de versió és l'única solució completa. I aquesta és la diferència d'avui. Sóc Niko d'Axrisi. Fusionar amb responsabilitat.

Fonts

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News