PHP2Shell: dalawang kritikal na depekto sa PHP, isang embargo na nalantad, at kung ano ang aktwal na nalalaman tungkol sa pagsasamantala

Ang sakop ng video na ito

• Parehong flaw ay rated 9.2 sa CVSS v4.0 ng PHP team. Ang mga naayos na release ay PHP 8.2.35, 8.3.36, 8.4.27 at 8.5.12; ang PHP 7.4, 8.0 at 8.1 ay nakatanggap lamang ng source patches. Sabi ng PHP, ang pag-update ang tanging kumpletong mitigasyon.
• Ang unang flaw ay nagmumula sa PHP na iniiwan ang isang request na kalahating nabuo kapag naubusan ito ng memorya sa maling oras. Ang pangalawa ay nagmumula sa isang natitirang pointer sa memorya ng isang request na maaaring gamitin ng isang huling request sa parehong worker. Sa Apache na may mod_php, ang unang path ay tumatakbo bago ang application code.
• Natagpuan ng isang PHP core developer ang mga unang palatandaan ng problema sa memorya sa isang 2024 audit. Sabi ng PHP Foundation, ang magkumpitensyang fix ay may trade-off at nahirapan ang isang consensus-based security team na pumili, na tinatawag nitong structural failure.
• Sabi ng Foundation, nalantad ang mga CVE ID noong Oktubre 20, nagkamali ang Calif sa paglalathala ng proof-of-concept na video, at naglathala ang Chainguard ng mga built image na may fix higit sa anim na oras bago ang release. Sabi ng CEO ng Chainguard, sinasamantala na ang mga tao at nahanap niya ang mga bug nang hiwalay.
• Nagkakaiba ang mga pinagmulan tungkol sa pagsasamantala. Nag-log ang Amazon ng isang pagtatangka noong Oktubre 17 at kalaunan ay sinabi na ang PHP2Shell ay malawakang sinasamantala. Iniulat ng watchTowr ang pagsasamantala sa "wild". Hindi naobserbahan ng CISA ang pagsasamantala sa oras ng paglalathala, at walang functional na exploit na natagpuan ang PHP team sa release. Maraming pampublikong proof-of-concept scripts ang iniulat na hindi gumagana.
• Suriin ang bawat lugar na tumatakbo ang PHP, kabilang ang mga kopya sa loob ng iba pang software, i-update, i-restart ang mga worker at suriin ang mga log pabalik sa Oktubre 17.

Isinaling transcript

Isinalin mula sa orihinal na salaysay sa English. Ang available na audio at mga caption ay kinokontrol ng YouTube.

Sino ang sumubok ng PHP2Shell apat na araw nang mas maaga?

0:00 Ang isang security embargo ay dapat na panatilihing tahimik ang isang bug hanggang sa mailabas ang patch. Nag-log ang Amazon ng isang pagtatangka laban sa kritikal na bug ng PHP apat na araw nang maaga. Sa video na ito, sino ang nakatuklas nito? Paano lumabas ang embargo? At gaano nga ba ito kalala? At ang kumpanyang sinisisi sa paglabas ay may depensa na hindi ko inaasahan. Pupuntahan ko yan. Huwebes, Oktubre dalawampu't dalawa, at ito ang The Daily Diff.

0:21 Ang PHP ay isang scripting language na bumubuo ng mga web page sa server bago pa man sila makarating sa iyo. Ito ay mahigit tatlumpung taong gulang na at, sa isang pagtatantya, tumatakbo sa halos pitumpung porsyento ng mga website, kabilang ang WordPress at ang software sa likod ng Wikipedia. Gustong-gusto ng mga developer na kutyain ito, kadalasan mula sa isang pahina na pinagsisilbihan ng PHP sa kanila. Ang pagpapanatili nito ay isang nonprofit na may halos labing-tatlong inhinyero.

Ano ang dalawang bug ng PHP2Shell?

0:41 Noong Miyerkules, naglabas ang PHP ng mga emergency fix para sa dalawang kritikal na flaw na nagpapahintulot sa isang dayuhan na magpatakbo ng code sa isang server nang walang login. Sama-sama silang tinatawag na PHP2Shell, at umaabot sila pabalik sa PHP five point four. Narito ang unang bug sa simpleng salita. Binibigyan ng PHP ang bawat request ng memory budget. Kung ang isang request ay umabot sa limitasyong iyon sa eksaktong maling sandali, Mabilis na aalis ang PHP at iiwan ang request na kalahating nabuo. Pagkatapos ang hakbang ng paglilinis ay nagtitiwala sa kalahating nabuong bagay.

1:07 Ang pangalawang bug ay isang tira. Ang isang fatal error ay maaaring mag-iwan ng tala na tumuturo sa memorya na pag-aari ng huling request. Ang parehong worker ang humahawak sa susunod na request at sumusunod sa tala. Sa panahong iyon may iba na nakatira sa address na iyon. Sa Apache na may mod PHP, nangyayari ang pinsala bago tumakbo ang sarili mong code, kaya ang iyong login page ay hindi kailanman nakakakuha ng boto. Sabi ni Wiz, kahit isang hello world script ay exposed. Ang fix ay nagtatanggal ng emergency exit ng PHP para sa pagkaubos ng memorya.

1:32 Sa halip na huminto sa kalagitnaan ng request, ang PHP ngayon ay humihinto nang maayos sa susunod na ligtas na punto. Ang kakaiba ay kung gaano katanda ang unang pahiwatig.

Bakit naghintay ng dalawang taon ang isang kilalang bug?

1:39 Noong 2024, isang outside security audit ang naghatid sa isang PHP core developer sa mga unang palatandaan ng problema sa memorya. Walang kilalang exploit, at bawat fix ay may sinisira. Ang isang pangkat na nagdedesisyon sa pamamagitan ng pinagkasunduan ay hindi makapili, kaya naghintay ang bug. Pagkatapos noong Agosto, dumating ang mga tagahanap sa loob ng ilang araw.

Sino ang nakatuklas ng PHP2Shell, at paano?

1:56 Natuklasan ito ng researcher ng Calif na si Ryan Austin noong Agosto uno, nagtatrabaho sa pamamagitan ng programang Patch the Planet ng OpenAI. Hiwalay na iniulat ng OpenAI ang parehong root cause. Nakakita ang Wiz ng mga variant pagkaraan ng ilang linggo gamit ang mga modelong Gemini at GPT. Sabi ni Austin, gumamit siya ng mga modelo na maaaring makuha ng sinuman, kasama ang isang teorya tungkol sa kung saan nagtatago ang mga lumang bug ng PHP. Sabi ng OpenAI, ang frontier AI ang susi. Nakatago ang bug nang mahigit isang dekada. Ang paglabas ay binalak para sa Huwebes.

Paano lumabas ang embargo ng PHP2Shell?

2:21 Noong Martes, nagsimulang kumalat online ang dalawang CVE number, na may maling oras ng paglabas at maling iskor na sampu. Inurong ng PHP ang paglabas ng isang araw. Nang gabing iyon, hindi sinasadyang naglathala ang Calif ng video ng proof of concept nito na gumagana, at nanatili ang mga kopya kahit na tinanggal. Noong Miyerkules ng umaga, mahigit anim na oras bago ang paglabas, Ang Chainguard ay naglathala ng mga built image na naglalaman ng fix. Sabi ng PHP, maaaring pag-aralan ng sinumang attacker ang fix habang naghihintay ang lahat.

2:46 Ang isang patch ay isa ring diff, at ang mga attacker ay nagbabasa ng diffs.

Sinasamantala ba ang PHP2Shell, at sino ang gumagawa nito?

2:50 Kaya sino ba talaga ang tinatamaan? Nag-log ang honeypot ng Amazon ng isang pagtatangka noong Oktubre disisyete at kalaunan ay sinabi na malawakang sinasamantala ang PHP2Shell. Iniulat ng watchTowr ang pagsasamantala sa "wild". Sinabi ng Cisa na hindi sila nakakita ng anuman nang ilabas nila, at walang nakitang gumaganang exploit ang team ng PHP sa paglabas. Sinabi ng CEO ng Cloudflare na nakakita sila ng libu-libong pagtatangka sa loob ng sampung oras bago ang anunsyo, at milyon-milyon pagsapit ng Huwebes ng umaga.

3:13 Maingat ang Amazon sa isang punto. Hindi nito alam kung magiging epektibo ang pinakaunang pagtatangka nito sa isang tunay na sistema. Ang pagtatangka ay katulad lamang ng katok sa pinto. Kaya gaano nga ba ito kalala? Sabi ng watchTowr, ang mga pampublikong exploit na lumalabas ay kadalasang nagka-crash o walang ginagawa. Sabi ng VulnCheck, gumagana ang code execution sa ilang setup, at wala sa mga pampublikong ito ang nakakatalo sa memory randomization sa karaniwang x86 servers. Sabi ng researcher na si Elias Taylor, hindi ito kasing dali ng Log4Shell.

3:40 Lahat ay nagsasabing mag-patch pa rin. Hindi na naghintay ang mga gobyerno sa hatol.

Ano ang inalis ng mga gobyerno sa online?

3:44 Sinabihan ng NSA ang mga organisasyon na hindi makapag-patch na i-offline ang mga sistema ng PHP, at ang National Cyber Security Centre ng UK ay nagbigay ng katulad na payo. Ang mga Dutch site, kabilang ang pambansang serbisyo ng digital identity, ay nawalan ng serbisyo, kasama ang isang site ng pulisya sa Paris. Inalis ng Wikimedia ang ilang sistema bilang pag-iingat. Nagbilang ang Palo Alto Networks ng mahigit dalawampu't dalawang milyong exposed instances. At isang Australianong propesor ang nagbigay ng pinakamatalim na punto. Ang mga site na dapat alalahanin ay ang mga hindi offline ngayon.

Aling mga bersyon ng PHP ang nakakakuha ng ayos?

4:11 Mayroong mga fix para sa PHP 8.2 hanggang 8.5. Para sa 7.4, 8.0 at 8.1, Inilabas lamang ng PHP ang mga source patch. Ang mas lumang mga bersyon ay walang makukuha mula sa proyekto ng PHP, kaya tanungin ang iyong distribusyon. Pinapaliit ng mga workaround ang posibilidad, ngunit sinasabi ng PHP na ang pag-update ang tanging kumpletong solusyon. Ito ang parehong aral tulad ng episode ng eMudhra kahapon,

Ano ang gagawin mo tungkol sa PHP2Shell ngayong gabi?

4:32 dahil ang pagkakaroon ng fix ay hindi pareho sa pagkakaroon nito ng tumatakbong proseso. Hanapin ang bawat PHP sa iyong stack, kahit ang mga kopya na nagtatago sa loob ng ibang software. I-update, i-restart ang mga worker, at suriin ang mga log pabalik sa Oktubre disisyete. Sa parehong araw, naglabas ang GitLab ng kritikal na patch release,

Ano pa ang naglabas ng kritikal na RCE patch ngayon?

4:47 labinsiyam punto lima punto uno. Ang isang integer overflow sa kanyang regular expression compiler ay nagpapahintulot sa isang hindi authenticated user na magpatakbo ng code sa server, at ito ay nakakuha ng sampu sa sampu. Ang GitLab.com ay na-patch na. Ang mga self-managed install ay nangangailangan ng update.

Bakit inutusan ang Meta na magbayad ng $25 bilyon?

5:01 Samantala sa New Mexico, inutusan ng isang hukom ang Meta na magbayad ng dalawampu't limang bilyong dolyar sa mga multa sa kaso ng Cambridge Analytica. Binilang ng hurado ang mahigit apatnapu't tatlong milyong paglabag sa hanggang limang libong dolyar bawat isa, na umabot sa humigit-kumulang dalawang daan at dalawampung bilyon bago ito pinutol ng hukom. Sabi ng Meta, mananalo sila sa apela. Ngayon ang depensa na ipinangako ko.

Ano ang depensa ng Chainguard para sa maagang ayos?

5:19 Sinabi ng CEO ng Chainguard sa The Register na nahanap niya mismo ang parehong mga bug noong Biyernes ng gabi, matapos malaman na may darating sa PHP, na may simpleng prompt upang makahanap ng masasamang kahinaan. Sabi niya, inilabas niya nang maaga dahil sinasamantala na ang mga tao. Kung mas gusto mong basahin ito kaysa pakinggan akong sabihin ito, ang diff ay darating sa iyong inbox tuwing umaga, libre sa the daily diff dot dev, link sa ibaba. Kaya ang hatol ngayon ay SHIP IT.

Ano ang nakakakuha ng tatak na SHIP IT?

5:39 Ipadala ang update ng PHP ngayong gabi, dahil ang bagong numero ng bersyon ang tanging kumpletong ayos. At iyan ang diff para sa ngayon. Ako si Niko mula sa Axrisi. Maging responsable sa pag-merge.

Mga Pinagmulan

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News