PHP2Shell: PHPko bi akats kritiko, filtratutako enbargo bat eta ustiapenari buruz benetan dakiguna

Bideo honek zer jorratzen duen

• Bi akatsek 9.2ko balorazioa dute CVSS v4.0-n PHP taldearen arabera. Konpondu diren bertsioak PHP 8.2.35, 8.3.36, 8.4.27 eta 8.5.12 dira; PHP 7.4, 8.0 eta 8.1 bertsioek iturburu-adabakiak soilik jaso dituzte. PHPk dio eguneratzea dela mitigaizo oso bakarra.
• Lehen akatsa PHPk eskaera bat erdibidean uztean datza, memoria agortzen zaionean une desegokian. Bigarrena, eskaera baten memoriari dagokion puntero bat geratzen denean, lan-prozesu bereko geroagoko beste eskaera batek erabil dezakeena. Apache-n mod_php-rekin, lehen bidea aplikazioaren kodea baino lehen exekutatzen da.
• PHPko kernela garatzen duen batek memoria arazoaren lehen zantzuak aurkitu zituen 2024ko ikuskaritza batean. PHP Fundazioak dio konponketa lehiaketek konpromezuak zituztela eta adostasun bidezko segurtasun talde batek zailtasunak izan zituela aukeratzeko, eta horri egitura-hutsegite deitzen dio.
• Fundazioak dio CVE IDak urriaren 20an filtratu zirela, Califek oker argitaratu zuela frogapen-kontzeptuaren bideo bat, eta Chainguardek konponketa zuten irudi eraikiak argitaratu zituela kaleratzea baino sei ordu baino gehiago lehenago. Chainguardeko zuzendari nagusiak dio jendea jada erasotua zegoela eta berak akatsak modu independentean aurkitu zituela.
• Iturriak ez datoz bat ustiapenari buruz. Amazonek saiakera bat erregistratu zuen urriaren 17an eta geroago esan zuen PHP2Shell orokorrean ustiatzen zela. watchTowr-ek ustiapena ingurune errealean jakinarazi zuen. CISAk ez zuen ustiapenik behatu argitaratzean, eta PHP taldeak ez zuen ustiapen funtzionalik aurkitu kaleratzean. Frogapen-kontzeptu publiko askok ez omen dute funtzionatzen.
• Egiaztatu PHP exekutatzen den leku guztiak, beste software batzuen barruan dauden kopiak barne, eguneratu, berrabiarazi lan-prozesuak eta berrikusi erregistroak urriaren 17ra arte.

Itzulitako transkripzioa

Jatorrizko ingelesezko narraziotik itzulia. Eskuragarri dauden audioa eta azpitituluak YouTube-k kontrolatzen ditu.

Nork probatu zuen PHP2Shell lau egun lehenago?

0:00 Segurtasun-enbargo batek akats bat isilean gorde behar du adabakia bidali arte. Amazonek PHPren akats kritikoaren aurkako saiakera bat erregistratu zuen lau egun lehenago. Bideo honetan, nork aurkitu zuen? Nola filtratu zen enbargoa? Eta zein txarra da, benetan? Eta filtrazioaren errudun den enpresak ez nuen espero nuen defentsa bat du. Horretara helduko naiz. Osteguna da, urriaren hogeita bigarrena, eta hau The Daily Diff da.

0:21 PHP web-orriak zerbitzarian sortzen dituen scripting-lengoaia bat da, iritsi aurretik. Hogeita hamar urte baino gehiago ditu eta, kalkulu baten arabera, webguneen hirurogeita hamar ehuneko inguru exekutatzen du, WordPress eta Wikipediaren atzean dagoen softwarea barne. Garatzaileei iseka egitea gustatzen zaie, normalean PHPk zerbitzatzen dien orri batetik. Mantentzea irabazi asmorik gabeko bat da, hamahiru ingeniari inguru dituena.

Zeintzuk dira PHP2Shell-eko bi akatsak?

0:41 Asteazkenean, PHPk larrialdiko konponketak bidali zituen bi akats kritikorako, baimenik gabeko bati kodea exekutatzeko aukera ematen diotenak. zerbitzari batean saioa hasi gabe. Elkarrekin PHP2Shell deitzen zaie, eta PHP 5.4ra arte atzeratzen dira. Hona hemen lehen akatsa argi eta garbi. PHPk eskaera bakoitzari memoria-aurrekontu bat esleitzen dio. Eskaera batek muga hori une okerrenean jotzen badu, PHPk azkar ihes egiten du eta eskaera erdi eraikita uzten du. Orduan, garbiketa urratsak erdi eraikitako gauza hori fidatzen du.

1:07 Bigarren akatsa soberan geratutako bat da. Errore larri batek memoriaren puntu batera apuntatzen duen ohar bat utz dezake, aurreko eskaerari zegokiona. Lan-prozesu berak hurrengo eskaera kudeatzen du eta oharra jarraitzen du. Ordurako, beste norbait bizi da helbide horretan. Apache-n mod PHP-rekin, kaltea zure kodea exekutatu baino lehen gertatzen da, beraz, zure saioa hasteko orriak ez du inoiz botorik jasotzen. Wizek dio 'kaixo mundua' script bat ere esposizioa duela. Konponketak PHPren larrialdiko irteera kentzen du memoria agortzeagatik.

1:32 Eskaera erdian irten beharrean, PHPk orain hurrengo puntu seguruan gelditzen da adeitasunez. Zati arraroa lehen arrastoaren antzinatasuna da.

Zergatik itxaron zuen akats ezagun batek bi urte?

1:39 2024an, kanpoko segurtasun-ikuskaritza batek PHPko kernela garatzen duen bat eraman zuen memoria arazoaren lehen zantzuak aurkitzera. Ez zen ustiapenik ezagutzen, eta konponketa guztiek zerbait hautsi zuten. Adostasunez erabakitzen duen talde batek ezin izan zuen aukeratu, beraz, akatsak itxaron egin zuen. Orduan, abuztuan, aurkitzaileak egun gutxitan iritsi ziren.

Nork aurkitu zuen PHP2Shell, eta nola?

1:56 Califeko ikertzaile Ryan Austinek abuztuaren lehenean aurkitu zuen, OpenAIren Patch the Planet programan lan egiten. OpenAIk kausa nagusi bera modu independentean jakinarazi zuen. Wizek aldaerak aurkitu zituen aste batzuk geroago Gemini eta GPT modeloekin. Austinek dio edonork lor ditzakeen modeloak erabili zituela, gehi PHPren akats zaharrak non ezkutatzen diren teoriari buruzko bat. OpenAIk dio punta-puntako AIa izan zela gakoa. Akatsa hamarkada bat baino gehiagoz ezkutuan egon zen. Kaleratzea ostegunerako zegoen aurreikusita.

Nola filtratu zen PHP2Shell enbargoa?

2:21 Asteartean, bi CVE zenbakiak sarean zirkulatzen hasi ziren, kaleratze-ordu oker batekin eta hamarreko puntuazio oker batekin. PHPk kaleratzea egun bat aurreratu zuen. Arratsalde hartan, Califek nahi gabe argitaratu zuen bere frogapen-kontzeptuaren bideo bat funtzionatzen, eta kopiak ezabaketatik bizirik atera ziren. Asteazken goizean, kaleratzea baino sei ordu baino gehiago lehenago, Chainguardek konponketa zituzten irudi eraikiak argitaratu zituen. PHPk dio edozein erasotzailek konponketa hori aztertu zezakeela gainerako guztiak itxaroten zeuden bitartean.

2:46 Adabaki bat ere 'diff' bat da, eta erasotzaileek 'diff'ak irakurtzen dituzte.

PHP2Shell ustiatzen ari da, eta nork?

2:50 Orduan, nor ari da benetan kaltetzen? Amazonek erregistratu zuen saiakera bat urriaren hamazazpian eta geroago esan zuen PHP2Shell orokorrean ustiatzen dela. watchTowr-ek ustiapena ingurune errealean jakinarazi du. Cisak esan zuen ez zuela behatu ustiapenik argitaratu zuenean, eta PHPren taldeak ez zuen ustiapen funtzionalik ikusi kaleratzean. Cloudflareko zuzendari nagusiak esan zuen milaka saiakera ikusi zituela iragarkia baino hamar ordu lehenago, eta milioika ostegun goizerako.

3:13 Amazon puntu batean zehatza da. Ez daki bere lehen saiakerak sistema erreal batean funtzionatuko zuketen ala ez. Saiakera atean kolpe bat besterik ez da. Beraz, zein txarra da, benetan? watchTowr-ek dio hedatuta dauden ustiapen publiko gehienek huts egiten dutela edo ezer ez dutela egiten. VulnCheck-ek dio kode-exekuzioak funtzionatzen duela konfigurazio batzuetan, eta publikoetako inork ez duela memoriaren ausazkotasuna gainditzen x86 zerbitzari estandarretan. Elias Taylor ikertzaileak dio ez dela Log4Shell bezain erraza.

3:40 Guztiek oraindik 'adabaki' diote. Gobernuek ez zuten epaiaren zain egon.

Zer hartu zuten gobernuak lineaz kanpo?

3:44 NSA-k, adabaki ezin zuten erakundeei PHP sistemak lineaz kanpo kentzeko esan zien, eta Erresuma Batuko Zibersegurtasun Nazionaleko Zentroak antzeko aholkua eman zuen. Herbehereetako guneak, identitate digitaleko zerbitzu nazionala barne, ilundu ziren, baita Parisko polizia-gune bat ere. Wikimedia-k hainbat sistema itxi zituen prebentzio gisa. Palo Alto Networks-ek hogeita bi milioi instantzia baino gehiago zenbatu zituen esposizioan. Eta Australiako irakasle batek puntu garrantzitsuena egin zuen. Kezkagarriak diren guneak gaur itzalita ez daudenak dira.

Zein PHP bertsioek jasotzen dute konponketa?

4:11 Konponketak existitzen dira PHP 8.2tik 8.5era. 7.4, 8.0 eta 8.1 bertsioetarako, PHPk iturburu-adabakiak soilik argitaratu zituen. Bertsio zaharrenek ez dute ezer jasotzen PHP proiektutik, beraz, galdetu zure banaketari. Irtenbideek probabilitateak murrizten dituzte, baina PHPk dio eguneratzea dela osoa den bakarra. konponketa. Atzoko eMudhra ataleko ikasgai bera da,

Zer egin PHP2Shell-ekin gaur gauean?

4:32 konponketa bat egotea ez baita prozesu exekutatzen ari denak hura izatearen berdina. Bilatu zure pilako PHP guztiak, baita beste software batzuen barruan ezkutatzen diren kopiak ere. Eguneratu, berrabiarazi lan-prozesuak eta egiaztatu erregistroak urriaren hamazazpira arte. Egun berean, GitLab-ek adabaki kritiko bat argitaratu zuen,

Zer gehiago argitaratu zuen RCE adabaki kritiko bat gaur?

4:47 hemeretzi puntu bost puntu bat. Zenbaki osoen gainezkapen bat bere adierazpen erregularreko konpilatzaileak autentifikatu gabeko bati kodea exekutatzeko aukera ematen dio erabiltzaileak zerbitzarian kodea exekutatzeko, eta hamarretik hamar puntu lortu ditu. GitLab dot com dagoeneko adabakita dago. Kudeaketa propioa duten instalazioek eguneratzea behar dute.

Zergatik agindu zioten Metari 25 mila milioi dolar ordaintzeko?

5:01 Bitartean, Mexiko Berrian, epaile batek Metari Cambridge Analyticaren inguruko isunetan hogeita bost mila milioi dolar ordaintzeko agindu zion. epaimahaiak berrogeita hiru milioi urraketa baino gehiago zenbatu zituen, bost mila dolar artekoak bakoitza, gutxi gorabehera berrehun eta hogeita hamar mila milioi izan ziren epaileak murriztu aurretik. Metak dio helegitean irabaziko duela. Orain agindu nizun defentsa. Chainguardeko zuzendari nagusiak The Register-i esan zion akats berdinak berak aurkitu zituela ostiral gauean,

Zein da Chainguard-en defentsa hasierako konponketarako?

5:19 PHPn zerbait zetorrela jakin ondoren, ahultasun txarrak aurkitzeko oinarrizko abisu batekin. Goizegi argitaratu zuela dio, jendea jada erasotua zegoelako. Nahiago baduzu hau irakurri niri entzun baino, diff-a zure sarrerako ontzian lurreratzen da goizero, doan the daily diff dot dev helbidean, beheko esteka. Beraz, gaurko epaia SHIP IT da. Bidali PHP eguneraketa gaur gauean, bertsio-zenbaki berria baita konponketa osoa den bakarra.

Zerk jasotzen du SHIP IT zigilua?

5:39 Eta hori da gaurko diff-a. Niko naiz, Axrisikoa. Ardura osoz batu. Ardura osoz batu.

Iturriak

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News