PHP2Shell: dvě kritické chyby PHP, únik embarga a co je skutečně známo o zneužití

Co toto video pokrývá

• Obě chyby jsou týmem PHP hodnoceny 9,2 na CVSS v4.0. Opravené verze jsou PHP 8.2.35, 8.3.36, 8.4.27 a 8.5.12; PHP 7.4, 8.0 a 8.1 obdržely pouze zdrojové záplaty. PHP uvádí, že aktualizace je jedinou kompletní mitigací.
• První chyba pochází z toho, že PHP nechá požadavek napůl hotový, když v nevhodný okamžik dojde paměť. Druhá chyba pochází z ukazatele na paměť jednoho požadavku, který může použít pozdější požadavek ve stejném workeru. Na Apache s mod_php se první cesta spustí před kódem aplikace.
• Vývojář jádra PHP našel první známky paměťového problému během auditu v roce 2024. PHP Foundation uvádí, že konkurenční opravy měly kompromisy a bezpečnostní tým založený na konsensu se potýkal s výběrem, což nazývá strukturálním selháním.
• Nadace uvádí, že ID CVE unikla 20. října, Calif omylem zveřejnil video s proof-of-concept a Chainguard zveřejnil sestavené obrazy s opravou více než šest hodin před vydáním. CEO Chainguardu říká, že lidé již byli zasaženi a že chyby našel nezávisle.
• Zdroje se neshodují ohledně zneužití. Amazon zaznamenal pokus 17. října a později uvedl, že PHP2Shell byl široce zneužíván. watchTowr hlásil zneužití v reálném prostředí. CISA v době zveřejnění nezaznamenala zneužití a tým PHP nenašel žádný funkční exploit při vydání. Mnoho veřejných proof-of-concept skriptů údajně nefunguje.
• Zkontrolujte každé místo, kde běží PHP, včetně kopií uvnitř jiného softwaru, aktualizujte, restartujte workery a zkontrolujte protokoly zpět k 17. říjnu.

Přeložený přepis

Přeloženo z původního anglického vyprávění. Dostupné audio a titulky jsou řízeny YouTube.

Kdo se pokusil o PHP2Shell o čtyři dny dříve?

0:00 Bezpečnostní embargo by mělo udržet chybu v tajnosti, dokud se neodešle oprava. Amazon zaznamenal pokus proti kritické chybě PHP o čtyři dny dříve. V tomto videu, kdo to našel? Jak uniklo embargo? A jak je to doopravdy špatné? A společnost obviněná z úniku má obranu, kterou jsem nečekal. Dostanu se k tomu. Je čtvrtek, dvacátého druhého října, a toto je The Daily Diff.

0:21 PHP je skriptovací jazyk, který vytváří webové stránky na serveru těsně předtím, než se k vám dostanou. Je mu přes třicet let a podle jednoho odhadu běží na zhruba sedmdesáti procentech webových stránek, včetně WordPressu a softwaru za Wikipedií. Vývojáři si z něj rádi dělají legraci, obvykle ze stránky, kterou jim PHP servíruje. Jeho údržba je neziskovou organizací s asi třinácti inženýry.

Jaké jsou dvě chyby PHP2Shell?

0:41 Ve středu PHP vydalo nouzové opravy pro dvě kritické chyby, které umožňují cizinci spustit kód na serveru bez přihlášení. Dohromady se nazývají PHP2Shell a sahají až do PHP pět bodů čtyři. Zde je první chyba jednoduchými slovy. PHP dává každému požadavku paměťový rozpočet. Pokud požadavek narazí na tento limit v přesně špatnou chvíli, PHP se rychle stáhne a požadavek zůstane napůl hotový. Pak krok úklidu důvěřuje napůl hotové věci.

1:07 Druhá chyba je zbytek. Fatální chyba může zanechat poznámku ukazující na paměť, která patřila poslednímu požadavku. Stejný worker zpracuje další požadavek a sleduje poznámku. Tou dobou už na této adrese bydlí někdo jiný. Na Apache s mod PHP se poškození stane dříve, než se spustí váš vlastní kód, takže vaše přihlašovací stránka nikdy nedostane hlas. Wiz říká, že je ohrožen i skript hello world. Oprava odstraňuje nouzový výstup PHP pro vyčerpání paměti.

1:32 Místo aby se PHP uprostřed požadavku stáhlo, nyní se zdvořile zastaví na dalším bezpečném bodě. Zvláštní je, jak stará je první stopa.

Proč známá chyba čekala dva roky?

1:39 V roce 2024 externí bezpečnostní audit přivedl hlavního vývojáře PHP k prvním známkám paměťového problému. Nebyl znám žádný exploit a každá oprava něco rozbila. Tým, který rozhoduje konsensem, si nemohl vybrat, takže chyba čekala. Pak v srpnu, nálezci dorazili během několika dní.

Kdo našel PHP2Shell a jak?

1:56 Výzkumník Calif Ryan Austin ji našel 1. srpna, pracující v rámci programu OpenAI Patch the Planet. OpenAI nezávisle nahlásila stejnou kořenovou příčinu. Wiz našel varianty o několik týdnů později s modely Gemini a GPT. Austin říká, že použil modely, které může získat kdokoli, plus teorii o tom, kde se skrývají staré chyby PHP. OpenAI říká, že klíčem byla hraniční AI. Chyba se skrývala déle než deset let. Vydání bylo plánováno na čtvrtek.

Jak uniklo embargo na PHP2Shell?

2:21 V úterý začala online kolovat dvě čísla CVE, s chybným časem vydání a chybným skóre deset. PHP vydání posunulo o den dopředu. Téhož večera Calif omylem zveřejnil video svého proof of concept v provozu a kopie přežily smazání. Ve středu ráno, více než šest hodin před vydáním, Chainguard zveřejnil sestavené obrazy obsahující opravu. PHP říká, že každý útočník mohl tuto opravu studovat, zatímco všichni ostatní čekali.

2:46 Záplata je také rozdíl a útočníci čtou rozdíly.

Je PHP2Shell zneužíván a kým?

2:50 Takže kdo je vlastně zasažen? Amazonův honeypot zaznamenal pokus 17. října a později uvedl, že PHP2Shell je široce zneužíván. watchTowr hlásí zneužití v reálném prostředí. Cisa uvedla, že při zveřejnění žádné nezaznamenala, a tým PHP neviděl žádný funkční exploit při vydání. CEO Cloudflare řekl, že zaznamenal tisíce pokusů během deseti hodin před oznámením a miliony do čtvrtečního rána.

3:13 Amazon je v jednom bodě opatrný. Neví, zda by jeho nejčasnější pokusy fungovaly na skutečném systému. Pokus je pouze klepání na dveře. Takže jak je to doopravdy špatné? watchTowr říká, že veřejné exploity, které se šíří, většinou havarují nebo nic nedělají. VulnCheck říká, že spuštění kódu funguje v některých nastaveních a žádné z veřejných nepřekonává randomizaci paměti na standardních serverech x86. Výzkumník Elias Taylor říká, že to zdaleka není tak snadné jako Log4Shell.

3:40 Všichni stále říkají záplatujte. Vlády nečekaly na verdikt.

Co vlády odpojily?

3:44 NSA řekla organizacím, které nemohly záplatovat, aby odpojily systémy PHP, a britské Národní centrum kybernetické bezpečnosti dalo podobnou radu. Nizozemské stránky, včetně národní služby digitální identity, zatemněly, spolu s pařížskou policejní stránkou. Wikimedia z preventivních důvodů odstavila několik systémů. Palo Alto Networks spočítal více než dvacet dva milionů exponovaných instancí. A australský profesor učinil nejostřejší poznámku. Stránky, kterých se bát, jsou ty, které dnes nejsou dole.

Které verze PHP dostanou opravu?

4:11 Opravy existují pro PHP osm bod dva až osm bod pět. Pro sedm bod čtyři, osm bod oh a osm bod jedna, PHP zveřejnilo pouze zdrojové záplaty. Starší verze nedostanou nic z projektu PHP, takže se zeptejte své distribuce. Alternativní řešení snižují pravděpodobnost, ale PHP říká, že aktualizace je jediným kompletním řešením. Je to stejná lekce jako včerejší epizoda eMudhra,

Co uděláte s PHP2Shell dnes večer?

4:32 protože existence opravy není totéž jako to, že ji má spuštěný proces. Najděte každé PHP ve svém stacku, dokonce i kopie skryté uvnitř jiného softwaru. Aktualizujte, restartujte workery a zkontrolujte protokoly zpět k 17. říjnu. Téhož dne GitLab vydal kritickou opravnou verzi,

Co dalšího dnes vydalo kritickou RCE záplatu?

4:47 devatenáct bod pět bod jedna. Přetečení celého čísla v jeho kompilátoru regulárních výrazů umožňuje neověřenému uživateli spouštět kód na serveru a má skóre deset z deseti. GitLab dot com je již záplatován. Samostatně spravované instalace potřebují aktualizaci.

Proč byla Meta odsouzena k zaplacení 25 miliard dolarů?

5:01 Mezitím v Novém Mexiku soudce nařídil Metě zaplatit dvacet pět miliard dolarů na pokutách za Cambridge Analytica. Porota spočítala více než čtyřicet tři milionů porušení po až pěti tisících dolarů za každé, což činilo asi dvě stě dvacet miliard, než to soudce snížil. Meta říká, že se odvolá a vyhraje. Nyní slibovaná obrana.

Jaká je obrana Chainguardu pro brzkou opravu?

5:19 CEO Chainguardu řekl The Register, že stejné chyby našel sám v pátek večer, poté co se dozvěděl, že v PHP něco přichází, s jednoduchým pokynem k nalezení špatných zranitelností. Říká, že vydal brzy, protože lidé už byli zasaženi. Pokud byste to raději četli než slyšeli ode mě, rozdíl vám přistane ve schránce každé ráno, zdarma na the daily diff dot dev, odkaz níže. Takže dnešní verdikt je SHIP IT.

Co dostane razítko SHIP IT?

5:39 Odešlete aktualizaci PHP dnes večer, protože nové číslo verze je jedinou kompletní opravou. A to je pro dnešek vše. Jsem Niko z Axrisi. Slučujte zodpovědně.

Zdroje

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News