PHP2Shell: to kritiske PHP-fejl, en embargo, der lækkede, og hvad der faktisk er kendt om udnyttelse

Hvad denne video dækker

• Begge fejl er vurderet til 9,2 på CVSS v4.0 af PHP-teamet. Rettede udgivelser er PHP 8.2.35, 8.3.36, 8.4.27 og 8.5.12; PHP 7.4, 8.0 og 8.1 modtog kun kilde-patches. PHP siger, at opdatering er den eneste komplette afhjælpning.
• Den første fejl skyldes, at PHP efterlader en anmodning halvt bygget, når den løber tør for hukommelse på det forkerte tidspunkt. Den anden skyldes en tilbageværende pointer til en anmodnings hukommelse, som en senere anmodning i den samme arbejder kan bruge. På Apache med mod_php kører den første sti før applikationskode.
• En PHP-kerneudvikler fandt de første tegn på hukommelsesproblemet under en revision i 2024. PHP Foundation siger, at konkurrerende rettelser havde afvejninger, og et konsensusbaseret sikkerhedsteam kæmpede for at vælge, hvilket de kalder en strukturel fejl.
• Fonden siger, at CVE-ID'erne lækkede den 20. oktober, Calif udgav fejlagtigt en proof-of-concept-video, og Chainguard udgav byggede billeder med rettelsen mere end seks timer før udgivelsen. Chainguards CEO siger, at folk allerede blev ramt, og at han fandt fejlene uafhængigt.
• Kilder er uenige om udnyttelse. Amazon loggede et forsøg den 17. oktober og sagde senere, at PHP2Shell var bredt udnyttet. watchTowr rapporterede udnyttelse i naturen. CISA havde ikke observeret udnyttelse ved offentliggørelse, og PHP-teamet fandt ingen funktionel udnyttelse ved udgivelse. Mange offentlige proof-of-concept-scripts rapporteres ikke at virke.
• Tjek alle steder, hvor PHP kører, inklusive kopier inde i anden software, opdater, genstart arbejdere og gennemgå logs tilbage til 17. oktober.

Oversat udskrift

Oversat fra den originale engelske fortælling. Tilgængelig lyd og undertekster styres af YouTube.

Hvem prøvede PHP2Shell fire dage for tidligt?

0:00 En sikkerheds-embargo skal holde en fejl hemmelig, indtil patchen sendes ud. Amazon loggede et forsøg mod PHPs kritiske fejl fire dage for tidligt. I denne video, hvem fandt den? Hvordan lækkede embargoen? Og hvor slemt er det, egentlig? Og virksomheden, der blev beskyldt for lækagen, har et forsvar, jeg ikke havde forventet. Jeg vender tilbage til det. Det er torsdag den toogtyvende oktober, og dette er The Daily Diff.

0:21 PHP er et scriptsprog, der bygger websider på serveren, lige før de når dig. Det er over tredive år gammelt og kører ifølge et skøn omkring halvfjerds procent af hjemmesiderne, inklusive WordPress og softwaren bag Wikipedia. Udviklere elsker at håne det, normalt fra en side, PHP serverer dem. Vedligeholdelsen er en nonprofitorganisation med omkring tretten ingeniører.

Hvad er de to PHP2Shell-fejl?

0:41 Onsdag sendte PHP nødrettelser ud for to kritiske fejl, der lod en fremmed køre kode på en server uden login. Sammen kaldes de PHP2Shell, og de går tilbage til PHP fem punkt fire. Her er den første fejl med almindelige ord. PHP giver hver anmodning et hukommelsesbudget. Hvis en anmodning rammer den grænse på præcis det forkerte tidspunkt, PHP afbryder i en fart og efterlader anmodningen halvt bygget. Så stoler oprydningstrinnet på den halvt byggede ting.

1:07 Den anden fejl er en rest. En fatal fejl kan efterlade en note, der peger på hukommelse, der tilhørte den sidste anmodning. Den samme arbejder håndterer den næste anmodning og følger noten. På det tidspunkt bor der en anden på den adresse. På Apache med mod PHP sker skaden, før din egen kode kører, så din loginside får aldrig en stemme. Wiz siger, at selv et 'hello world'-script er eksponeret. Rettelsen fjerner PHPs nødudgang for at løbe tør for hukommelse.

1:32 I stedet for at afbryde midt i en anmodning stopper PHP nu høfligt ved det næste sikre punkt. Det mærkelige er, hvor gammelt det første spor er.

Hvorfor ventede en kendt fejl to år?

1:39 I 2024 førte en ekstern sikkerhedsrevision en PHP-kerneudvikler til de første tegn på hukommelsesproblemet. Ingen udnyttelse var kendt, og enhver rettelse brød noget. Et team, der træffer beslutninger ved konsensus, kunne ikke vælge, så fejlen ventede. Så i august ankom finderne inden for få dage.

Hvem fandt PHP2Shell, og hvordan?

1:56 Calif-forsker Ryan Austin fandt det den første august, arbejdende gennem OpenAIs Patch the Planet-program. OpenAI rapporterede den samme rodårsag uafhængigt. Wiz fandt varianter et par uger senere med Gemini- og GPT-modeller. Austin siger, at han brugte modeller, som alle kan få, plus en teori om, hvor PHPs gamle fejl gemmer sig. OpenAI siger, at grænselinjen AI var nøglen. Fejlen havde gemt sig i mere end et årti. Udgivelsen var planlagt til torsdag.

Hvordan lækkede PHP2Shell-embargoen?

2:21 Tirsdag begyndte de to CVE-numre at cirkulere online, med et forkert udgivelsestidspunkt og en forkert score på ti. PHP fremskyndede udgivelsen med en dag. Den aften offentliggjorde Calif ved et uheld en video af sin proof of concept i funktion, og kopier overlevede sletningen. Onsdag morgen, mere end seks timer før udgivelsen, udgav Chainguard byggede billeder indeholdende rettelsen. PHP siger, at enhver angriber kunne studere den rettelse, mens alle andre ventede.

2:46 En patch er også en diff, og angribere læser diffs.

Bliver PHP2Shell udnyttet, og af hvem?

2:50 Så hvem bliver faktisk ramt? Amazons honeypot loggede et forsøg den syttende oktober og sagde senere, at PHP2Shell er bredt udnyttet. watchTowr rapporterer udnyttelse i naturen. Cisa sagde, at den ikke havde observeret nogen, da den udgav, og PHPs team så ingen fungerende udnyttelse ved udgivelse. Cloudflares CEO sagde, at den så tusindvis af forsøg i de ti timer før meddelelsen, og millioner inden torsdag morgen.

3:13 Amazon er forsigtig på ét punkt. Det ved ikke, om dets tidligste forsøg ville have virket på et ægte system. Et forsøg er kun et bank på døren. Så hvor slemt er det egentlig? watchTowr siger, at de offentlige udnyttelser, der flyver rundt, for det meste går ned eller intet gør. VulnCheck siger, at kodeudførelse virker i nogle opsætninger, og ingen af de offentlige slår hukommelsesrandomisering på standard x86-servere. Forsker Elias Taylor siger, at det slet ikke er så let som Log4Shell.

3:40 Alle siger stadig patch. Regeringer ventede ikke på dommen.

Hvad tog regeringer offline?

3:44 NSA fortalte organisationer, der ikke kunne patche, at de skulle tage PHP-systemer offline, og Storbritanniens National Cyber Security Centre gav lignende råd. Hollandske websteder, herunder den nationale digitale identitetstjeneste, gik i sort, sammen med en parisisk politiside. Wikimedia tog flere systemer ned som en forholdsregel. Palo Alto Networks talte mere end toogtyve millioner eksponerede instanser. Og en australsk professor fremførte det skarpeste argument. De steder at bekymre sig om er dem, der ikke er nede i dag.

Hvilke PHP-versioner får en rettelse?

4:11 Rettelser findes til PHP otte punkt to til otte punkt fem. For syv punkt fire, otte punkt nul og otte punkt et, PHP offentliggjorde kun kilde-patches. Ældre versioner får intet fra PHP-projektet, så spørg din distribution. Omgåelser mindsker oddsene, men PHP siger, at opdatering er den eneste komplette rettelse. Det er den samme lektie som gårsdagens eMudhra-episode,

Hvad gør du ved PHP2Shell i aften?

4:32 fordi en eksisterende rettelse ikke er det samme som den kørende proces, der har den. Find hver PHP i din stak, selv kopierne, der gemmer sig inde i anden software. Opdater, genstart arbejderne, og tjek logs tilbage til syttende oktober. Samme dag sendte GitLab en kritisk patchudgivelse,

Hvad udgav ellers en kritisk RCE-patch i dag?

4:47 nitten punkt fem punkt et. En heltalsoverløb i dens regulære udtrykskompilator lader en uautentificeret bruger køre kode på serveren, og den scorer ti ud af ti. GitLab.com er allerede patchet. Selvadministrerede installationer har brug for opdateringen.

Hvorfor blev Meta beordret til at betale 25 milliarder dollars?

5:01 I mellemtiden i New Mexico beordrede en dommer Meta til at betale femogtyve milliarder dollars i bøder over Cambridge Analytica. Juryen talte mere end treogfyrre millioner overtrædelser til op til fem tusind dollars hver, hvilket beløb sig til omkring to hundrede og tyve milliarder, før dommeren skar det ned. Meta siger, at de vil vinde ved appel. Nu forsvaret, jeg lovede.

Hvad er Chainguards forsvar for den tidlige rettelse?

5:19 Chainguards CEO fortalte The Register, at han selv fandt de samme fejl en fredag aften, efter at have erfaret, at der var noget på vej i PHP, med en grundlæggende opfordring til at finde dårlige sårbarheder. Han siger, at han udgav tidligt, fordi folk allerede blev ramt. Hvis du hellere vil læse dette end høre mig sige det, lander diffen i din indbakke hver morgen, gratis på the daily diff dot dev, link nedenfor. Så dagens dom er SHIP IT.

Hvad får SHIP IT-stemplet?

5:39 Send PHP-opdateringen ud i aften, fordi det nye versionsnummer er den eneste komplette rettelse. Og det var diffen for i dag. Jeg er Niko fra Axrisi. Flet ansvarligt.

Kilder

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News