PHP2Shell: dúas fallas críticas de PHP, un embargo que se filtrou e o que se sabe realmente sobre a explotación

Que abrangue este vídeo

• Ambas as fallas están valoradas en 9.2 en CVSS v4.0 polo equipo de PHP. As versións corrixidas son PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12; PHP 7.4, 8.0 e 8.1 só recibiron parches de orixe. PHP di que a actualización é a única mitigación completa.
• A primeira falla provén de que PHP deixa unha solicitude medio construída cando se queda sen memoria no momento equivocado. A segunda provén dun punteiro sobrante á memoria dunha solicitude que unha solicitude posterior no mesmo traballador pode usar. En Apache con mod_php, o primeiro camiño execútase antes do código da aplicación.
• Un desenvolvedor principal de PHP atopou os primeiros sinais do problema de memoria durante unha auditoría de 2024. A Fundación PHP di que as correccións en competencia tiñan compromisos e un equipo de seguridade baseado no consenso tivo dificultades para elixir, o que chama un fallo estrutural.
• A Fundación di que os IDs de CVE filtráronse o 20 de outubro, Calif publicou por erro un vídeo de proba de concepto e Chainguard publicou imaxes construídas coa corrección máis de seis horas antes do lanzamento. O CEO de Chainguard di que a xente xa estaba sendo afectada e que atopou os erros de forma independente.
• As fontes discrepan sobre a explotación. Amazon rexistrou un intento o 17 de outubro e despois dixo que PHP2Shell foi amplamente explotado. watchTowr informou da explotación na natureza. CISA non observara explotación na publicación, e o equipo de PHP non atopou ningunha explotación funcional no lanzamento. Moitos scripts públicos de proba de concepto non funcionan.
• Comproba todos os lugares onde se executa PHP, incluídas as copias dentro doutro software, actualiza, reinicia os traballadores e revisa os rexistros ata o 17 de outubro.

Transcrición traducida

Traducido da narración orixinal en inglés. O audio e os subtítulos dispoñibles son controlados por YouTube.

Quen probou PHP2Shell catro días antes?

0:00 Un embargo de seguridade supostamente mantén un erro en silencio ata que se lanza o parche. Amazon rexistrou un intento contra o erro crítico de PHP catro días antes. Neste vídeo, quen o atopou? Como se filtrou o embargo? E que tan grave é, realmente? E a empresa culpada da fuga ten unha defensa que non esperaba. Xa che digo. É xoves, 22 de outubro, e isto é The Daily Diff.

0:21 PHP é unha linguaxe de scripting que constrúe páxinas web no servidor xusto antes de que che cheguen. Ten máis de trinta anos e, segundo unha estimación, execútase en aproximadamente o setenta por cento dos sitios web, incluíndo WordPress e o software detrás de Wikipedia. Os desenvolvedores adoran burlarse del, normalmente desde unha páxina que PHP lles está servindo. O seu mantemento é unha organización sen ánimo de lucro con uns trece enxeñeiros.

Cales son os dous erros de PHP2Shell?

0:41 O mércores, PHP lanzou correccións de emerxencia para dúas fallas críticas que permiten a un descoñecido executar código nun servidor sen inicio de sesión. Xuntos chámanse PHP2Shell, e remóntanse a PHP cinco punto catro. Aquí está o primeiro erro en palabras sinxelas. PHP asigna un orzamento de memoria a cada solicitude. Se unha solicitude alcanza ese límite xusto no momento equivocado, PHP sae apresuradamente e deixa a solicitude medio construída. Entón, o paso de limpeza confía na cousa medio construída.

1:07 O segundo erro é un resto. Un erro fatal pode deixar unha nota que apunta á memoria que pertencía á última solicitude. O mesmo traballador manexa a seguinte solicitude e segue a nota. Nese momento alguén máis vive nesa dirección. En Apache con mod PHP, o dano ocorre antes de que se execute o seu propio código, polo que a súa páxina de inicio de sesión nunca ten voz nin voto. Wiz di que incluso un script de "Ola mundo" está exposto. A corrección elimina a saída de emerxencia de PHP por quedar sen memoria.

1:32 En lugar de saír no medio da solicitude, PHP agora detense educadamente no seguinte punto seguro. O estraño é o vella que é a primeira pista.

Por que un erro coñecido esperou dous anos?

1:39 En 2024, unha auditoría de seguridade externa levou a un desenvolvedor principal de PHP aos primeiros sinais do problema de memoria. Non se coñecía ningunha explotación, e cada corrección rompía algo. Un equipo que decide por consenso non puido elixir, polo que o erro esperou. Entón, en agosto, os descubridores chegaron en cuestión de días.

Quen atopou PHP2Shell e como?

1:56 O investigador de Calif Ryan Austin atopouno o primeiro de agosto, traballando a través do programa Patch the Planet de OpenAI. OpenAI informou da mesma causa raíz de forma independente. Wiz atopou variantes unhas semanas despois con modelos Gemini e GPT. Austin di que usou modelos que calquera pode conseguir, máis unha teoría sobre onde se esconden os antigos erros de PHP. OpenAI di que a IA de vangarda foi a clave. O erro estivera escondido durante máis dunha década. O lanzamento estaba previsto para o xoves.

Como se filtrou o embargo de PHP2Shell?

2:21 O martes, os dous números de CVE comezaron a circular en liña, cunha hora de lanzamento incorrecta e unha puntuación incorrecta de dez. PHP adiantou o lanzamento un día. Esa noite, Calif publicou accidentalmente un vídeo do seu proba de concepto funcionando, e as copias sobreviviron á eliminación. O mércores pola mañá, máis de seis horas antes do lanzamento, Chainguard publicou imaxes construídas que contiñan a corrección. PHP di que calquera atacante podería estudar esa corrección mentres todos os demais esperaban.

2:46 Un parche tamén é un diff, e os atacantes len os diffs.

Estase explotando PHP2Shell, e por quen?

2:50 Entón, a quen se está atacando realmente? A "honeypot" de Amazon rexistrou un intento o 17 de outubro e despois dixo que PHP2Shell está amplamente explotado. watchTowr informa de explotación na natureza. Cisa dixo que non observara ningunha cando o publicou, e o equipo de PHP non viu ningunha explotación funcional no lanzamento. O CEO de Cloudflare dixo que viu miles de intentos nas dez horas anteriores ao anuncio, e millóns ata o xoves pola mañá.

3:13 Amazon é coidadoso nun punto. Non sabe se os seus primeiros intentos funcionarían nun sistema real. Un intento é só un golpe na porta. Entón, que tan grave é, realmente? watchTowr di que a maioría dos exploits públicos que circulan fallan ou non fan nada. VulnCheck di que a execución de código funciona nalgunhas configuracións, e ningún dos públicos supera a aleatorización de memoria nos servidores x86 estándar. O investigador Elias Taylor di que non é nin de lonxe tan fácil como Log4Shell.

3:40 Todo o mundo segue dicindo "parchear". Os gobernos non esperaron o veredicto.

Que sacaron os gobernos da rede?

3:44 A NSA díxolles ás organizacións que non podían parchear que desconectaran os sistemas PHP, e o Centro Nacional de Ciberseguridade do Reino Unido deu consellos similares. Sitios holandeses, incluído o servizo nacional de identidade dixital, quedaron inactivos, xunto cun sitio da policía de París. Wikimedia desactivou varios sistemas como precaución. Palo Alto Networks contabilizou máis de vinte e dous millóns de instancias expostas. E un profesor australiano fixo o punto máis agudo. Os sitios dos que preocuparse son os que non están caídos hoxe.

Que versións de PHP reciben unha corrección?

4:11 Existen correccións para PHP oito punto dous ata oito punto cinco. Para sete punto catro, oito punto cero e oito punto un, PHP publicou só parches de orixe. As versións máis antigas non reciben nada do proxecto PHP, así que pregunta á túa distribución. As solucións provisionais reducen as probabilidades, pero PHP di que a actualización é a única solución completa. É a mesma lección que o episodio de onte de eMudhra,

Que facer con PHP2Shell esta noite?

4:32 porque unha corrección existente non é o mesmo que o proceso en execución téñaa. Busca todos os PHP na túa pila, incluso as copias que se esconden dentro doutro software. Actualiza, reinicia os traballadores e revisa os rexistros ata o 17 de outubro. O mesmo día, GitLab lanzou un parche crítico,

Que máis lanzou un parche RCE crítico hoxe?

4:47 dez e nove punto cinco punto un. Un desbordamento de enteiros no seu compilador de expresións regulares permite a un usuario non autenticado executar código no servidor, e puntúa dez sobre dez. GitLab.com xa está parcheado. As instalacións autoxestionadas necesitan a actualización.

Por que se lle ordenou a Meta pagar 25 mil millóns de dólares?

5:01 Mentres tanto en Novo México, un xuíz ordenou a Meta pagar vinte e cinco mil millóns de dólares en multas por Cambridge Analytica. O xurado contabilizou máis de corenta e tres millóns de infraccións de ata cinco mil dólares cada unha, o que sumaba uns douscentos vinte mil millóns antes de que o xuíz o recortara. Meta di que gañará na apelación. Agora a defensa que prometín.

Cal é a defensa de Chainguard para a corrección anticipada?

5:19 O CEO de Chainguard díxolle a The Register que atopou os mesmos erros el mesmo un venres á noite, despois de saber que algo viría en PHP, cunha indicación básica para atopar vulnerabilidades malas. Di que lanzou cedo porque a xente xa estaba sendo afectada. Se prefires ler isto que escoitarmo dicir, o "diff" chega á túa caixa de entrada cada mañá, de balde en thedailydiff.dev, ligazón a continuación. Así que o veredicto de hoxe é SHIP IT.

Que recibe o selo SHIP IT?

5:39 Envía a actualización de PHP esta noite, porque o novo número de versión é a única corrección completa. E iso é o "diff" de hoxe. Son Niko de Axrisi. Fusiona con responsabilidade.

Fontes

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News