PHP2Shell: zwei kritische PHP-Schwachstellen, ein durchgesickertes Embargo und was tatsächlich über die Ausnutzung bekannt ist

Was dieses Video behandelt

• Beide Schwachstellen werden vom PHP-Team mit 9.2 auf CVSS v4.0 bewertet. Behobene Versionen sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12; PHP 7.4, 8.0 und 8.1 erhielten nur Quellcode-Patches. PHP sagt, dass ein Update die einzige vollständige Abhilfe ist.
• Der erste Fehler entsteht, wenn PHP eine Anfrage halbfertig lässt, wenn der Speicher zum falschen Zeitpunkt ausgeht. Der zweite entsteht durch einen übrig gebliebenen Zeiger auf den Speicher einer Anfrage, den eine spätere Anfrage im selben Worker verwenden kann. Auf Apache mit mod_php läuft der erste Pfad vor dem Anwendungscode.
• Ein PHP-Core-Entwickler fand die ersten Anzeichen des Speicherproblems während eines Audits im Jahr 2024. Die PHP Foundation sagt, dass konkurrierende Fixes Kompromisse hatten und ein auf Konsens basierendes Sicherheitsteam Schwierigkeiten hatte, sich zu entscheiden, was sie als strukturelles Versagen bezeichnet.
• Die Foundation sagt, dass die CVE-IDs am 20. Oktober durchgesickert sind, Calif versehentlich ein Proof-of-Concept-Video veröffentlichte und Chainguard mehr als sechs Stunden vor der Veröffentlichung fertige Images mit dem Fix veröffentlichte. Der CEO von Chainguard sagt, dass Leute bereits betroffen waren und dass er die Bugs unabhängig voneinander gefunden hat.
• Quellen sind sich über die Ausnutzung uneinig. Amazon protokollierte am 17. Oktober einen Versuch und sagte später, dass PHP2Shell weit verbreitet ausgenutzt wurde. watchTowr berichtete über Ausnutzung in freier Wildbahn. CISA hatte zum Zeitpunkt der Veröffentlichung keine Ausnutzung beobachtet, und das PHP-Team fand zum Zeitpunkt der Veröffentlichung keinen funktionsfähigen Exploit. Viele öffentliche Proof-of-Concept-Skripte sollen nicht funktionieren.
• Überprüfen Sie jeden Ort, an dem PHP läuft, einschließlich Kopien in anderer Software, aktualisieren Sie, starten Sie Worker neu und überprüfen Sie Protokolle bis zum 17. Oktober zurück.

Übersetztes Transkript

Aus der englischen Originalerzählung übersetzt. Verfügbare Audio- und Untertitel werden von YouTube gesteuert.

Wer hat PHP2Shell vier Tage zu früh ausprobiert?

0:00 Ein Sicherheitsembargo soll einen Fehler geheim halten, bis der Patch veröffentlicht wird. Amazon protokollierte einen Versuch gegen den kritischen PHP-Bug vier Tage zu früh. In diesem Video: Wer hat es gefunden? Wie ist das Embargo durchgesickert? Und wie schlimm ist es wirklich? Und das Unternehmen, das für das Leck verantwortlich gemacht wird, hat eine Verteidigung, die ich nicht erwartet habe. Ich komme dazu. Es ist Donnerstag, der 22. Oktober, und dies ist The Daily Diff.

0:21 PHP ist eine Skriptsprache, die Webseiten auf dem Server erstellt, kurz bevor sie Sie erreichen. Es ist über dreißig Jahre alt und nach einer Schätzung betreibt es etwa siebzig Prozent der Websites, einschließlich WordPress und der Software hinter Wikipedia. Entwickler lieben es, es zu verspotten, normalerweise von einer Seite, die PHP ihnen serviert. Die Wartung ist eine gemeinnützige Organisation mit etwa dreizehn Ingenieuren.

Was sind die beiden PHP2Shell-Bugs?

0:41 Am Mittwoch veröffentlichte PHP Notfall-Fixes für zwei kritische Schwachstellen, die es einem Fremden ermöglichen, Code auf einem Server ohne Anmeldung auszuführen. Zusammen werden sie PHP2Shell genannt, und sie reichen zurück bis zu PHP fünf Punkt vier. Hier ist der erste Bug in einfachen Worten. PHP gibt jeder Anfrage ein Speicherbudget. Wenn eine Anfrage diese Grenze genau zum falschen Zeitpunkt erreicht, bricht PHP eilig ab und lässt die Anfrage halbfertig. Dann vertraut der Bereinigungsschritt der halbfertigen Sache.

1:07 Der zweite Bug ist ein Überbleibsel. Ein schwerwiegender Fehler kann einen Zeiger auf den Speicher der letzten Anfrage hinterlassen. Der gleiche Worker verarbeitet die nächste Anfrage und folgt dem Zeiger. Bis dahin wohnt jemand anderes an dieser Adresse. Auf Apache mit mod PHP passiert der Schaden, bevor Ihr eigener Code ausgeführt wird, Ihre Anmeldeseite hat also keine Chance. Wiz sagt, dass sogar ein Hello-World-Skript exponiert ist. Der Fix entfernt PHPs Notausgang, wenn der Speicher ausgeht.

1:32 Anstatt mitten in der Anfrage abzubrechen, stoppt PHP jetzt höflich am nächsten sicheren Punkt. Das Merkwürdige ist, wie alt der erste Hinweis ist.

Warum wartete ein bekannter Bug zwei Jahre?

1:39 Im Jahr 2024 führte ein externes Sicherheitsaudit einen PHP-Core-Entwickler zu den ersten Anzeichen des Speicherproblems. Kein Exploit war bekannt, und jeder Fix brach etwas. Ein Team, das durch Konsens entscheidet, konnte sich nicht entscheiden, also wartete der Bug. Dann, im August, trafen die Finder innerhalb weniger Tage ein.

Wer hat PHP2Shell gefunden und wie?

1:56 Calif-Forscher Ryan Austin fand es am ersten August, im Rahmen des Patch the Planet-Programms von OpenAI. OpenAI meldete die gleiche Ursache unabhängig voneinander. Wiz fand ein paar Wochen später Varianten mit Gemini- und GPT-Modellen. Austin sagt, er habe Modelle verwendet, die jeder bekommen kann, plus eine Theorie darüber, wo sich PHPs alte Bugs verstecken. OpenAI sagt, dass Frontier AI der Schlüssel war. Der Bug hatte sich über ein Jahrzehnt versteckt. Die Veröffentlichung war für Donnerstag geplant.

Wie ist das PHP2Shell-Embargo durchgesickert?

2:21 Am Dienstag begannen die beiden CVE-Nummern online zu zirkulieren, mit einer falschen Veröffentlichungszeit und einer falschen Bewertung von zehn. PHP zog die Veröffentlichung um einen Tag vor. Am Abend veröffentlichte Calif versehentlich ein Video seines Proof of Concepts in Aktion, und Kopien überlebten die Löschung. Am Mittwochmorgen, mehr als sechs Stunden vor der Veröffentlichung, veröffentlichte Chainguard fertige Images mit dem Fix. PHP sagt, dass jeder Angreifer diesen Fix studieren konnte, während alle anderen warteten.

2:46 Ein Patch ist auch ein Diff, und Angreifer lesen Diffs.

Wird PHP2Shell ausgenutzt und von wem?

2:50 Wer ist also tatsächlich betroffen? Amazons Honeypot protokollierte am 17. Oktober einen Versuch und sagte später, PHP2Shell werde weit verbreitet ausgenutzt. watchTowr berichtet von Ausnutzung in freier Wildbahn. Cisa sagte, es habe zum Zeitpunkt der Veröffentlichung keine beobachtet, und PHPs Team sah keinen funktionierenden Exploit zum Zeitpunkt der Veröffentlichung. Der CEO von Cloudflare sagte, dass es in den zehn Stunden vor der Ankündigung Tausende von Versuchen und bis Donnerstagmorgen Millionen von Versuchen gab.

3:13 Amazon ist in einem Punkt vorsichtig. Es weiß nicht, ob seine frühesten Versuche auf einem realen System funktioniert hätten. Ein Versuch ist nur ein Anklopfen an die Tür. Wie schlimm ist es also wirklich? watchTowr sagt, dass die herumfliegenden öffentlichen Exploits meistens abstürzen oder nichts tun. VulnCheck sagt, dass die Codeausführung in einigen Setups funktioniert, und keiner der öffentlichen überwindet die Speicher-Randomisierung auf Standard-x86-Servern. Forscher Elias Taylor sagt, es sei bei weitem nicht so einfach wie Log4Shell.

3:40 Alle sagen immer noch, Patchen. Regierungen warteten nicht auf das Urteil.

Was haben Regierungen offline genommen?

3:44 Die NSA wies Organisationen, die nicht patchen konnten, an, PHP-Systeme offline zu nehmen, und das britische National Cyber Security Centre gab ähnliche Ratschläge. Niederländische Websites, einschließlich des nationalen digitalen Identitätsdienstes, gingen offline, zusammen mit einer Pariser Polizeiseite. Wikimedia nahm vorsorglich mehrere Systeme vom Netz. Palo Alto Networks zählte mehr als 22 Millionen exponierte Instanzen. Und ein australischer Professor machte den schärfsten Punkt. Die Websites, über die man sich Sorgen machen muss, sind diejenigen, die heute nicht offline sind.

Welche PHP-Versionen erhalten einen Fix?

4:11 Fixes existieren für PHP acht Punkt zwei bis acht Punkt fünf. Für sieben Punkt vier, acht Punkt null und acht Punkt eins, PHP veröffentlichte nur Quellcode-Patches. Ältere Versionen erhalten nichts vom PHP-Projekt, also fragen Sie Ihre Distribution. Workarounds verringern die Wahrscheinlichkeit, aber PHP sagt, dass ein Update die einzige vollständige Lösung ist. Es ist die gleiche Lektion wie die heutige eMudhra-Episode,

Was tun Sie heute Nacht gegen PHP2Shell?

4:32 denn ein existierender Fix ist nicht dasselbe wie der laufende Prozess, der ihn hat. Finden Sie jedes PHP in Ihrem Stack, auch die Kopien, die sich in anderer Software verstecken. Aktualisieren Sie, starten Sie die Worker neu und überprüfen Sie die Protokolle bis zum 17. Oktober zurück. Am selben Tag veröffentlichte GitLab eine kritische Patch-Version,

Was hat sonst noch heute einen kritischen RCE-Patch erhalten?

4:47 neunzehn Punkt fünf Punkt eins. Ein Integer-Überlauf in seinem Regulären Ausdrucks-Compiler ermöglicht es einem nicht authentifizierten Benutzer, Code auf dem Server auszuführen, und es erzielt zehn von zehn Punkten. GitLab.com ist bereits gepatcht. Selbstverwaltete Installationen benötigen das Update.

Warum wurde Meta zur Zahlung von 25 Milliarden Dollar verurteilt?

5:01 Unterdessen verurteilte ein Richter in New Mexico Meta zur Zahlung von fünfundzwanzig Milliarden Dollar an Strafen wegen Cambridge Analytica. Die Jury zählte mehr als dreiundvierzig Millionen Verstöße zu jeweils bis zu fünftausend Dollar, was etwa zweihundertzwanzig Milliarden ergab, bevor der Richter es kürzte. Meta sagt, es werde in Berufung gewinnen. Nun die versprochene Verteidigung.

Was ist Chainguards Verteidigung für den frühen Fix?

5:19 Der CEO von Chainguard erzählte The Register, dass er die gleichen Bugs an einem Freitag Nacht selbst gefunden hatte, nachdem er erfahren hatte, dass etwas in PHP im Gange war, mit einem einfachen Befehl, um schlechte Schwachstellen zu finden. Er sagt, er habe früh veröffentlicht, weil Leute bereits betroffen waren. Wenn Sie dies lieber lesen als mich es sagen zu hören, landet das Diff jeden Morgen kostenlos in Ihrem Posteingang unter thedailydiff.dev, Link unten. Das heutige Urteil lautet also SHIP IT.

Was erhält den SHIP IT-Stempel?

5:39 Veröffentlichen Sie das PHP-Update heute Nacht, denn die neue Versionsnummer ist der einzige vollständige Fix. Und das ist das Diff für heute. Ich bin Niko von Axrisi. Verantwortungsbewusst zusammenführen.

Quellen

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News