PHP2Shell: שני פגמים קריטיים ב-PHP, אמברגו שהודלף, ומה באמת ידוע על ניצול

מה מכסה הסרטון הזה

• שני הפגמים מדורגים 9.2 ב-CVSS v4.0 על ידי צוות PHP. הגרסאות המתוקנות הן PHP 8.2.35, 8.3.36, 8.4.27 ו-8.5.12; PHP 7.4, 8.0 ו-8.1 קיבלו תיקוני מקור בלבד. PHP אומרת שעדכון הוא הפתרון המלא היחיד.
• הפגם הראשון נובע מכך ש-PHP משאירה בקשה חצי בנויה כשהיא נגמרת מזיכרון ברגע הלא נכון. השני נובע מצביע שנותר לזיכרון של בקשה אחת שבה בקשה מאוחרת יותר באותו עובד יכולה להשתמש. על Apache עם mod_php הנתיב הראשון פועל לפני קוד היישום.
• מפתח ליבה של PHP מצא את הסימנים הראשונים לבעיית הזיכרון במהלך ביקורת של 2024. קרן PHP אומרת שלתיקונים מתחרים היו פשרות וצוות אבטחה מבוסס קונצנזוס התקשה לבחור, והיא מכנה זאת כשל מבני.
• הקרן אומרת שמזהי CVE הודלפו ב-20 באוקטובר, קאליף פרסם בטעות סרטון הוכחת היתכנות, ו-Chainguard פרסמה תמונות בנויות עם התיקון יותר משש שעות לפני השחרור. מנכ"ל Chainguard אומר שאנשים כבר נפגעו ושהוא מצא את הבאגים באופן עצמאי.
• מקורות חלוקים לגבי ניצול. אמזון רשמה ניסיון ב-17 באוקטובר ומאוחר יותר אמרה ש-PHP2Shell נוצלה באופן נרחב. watchTowr דיווחה על ניצול בטבע. CISA לא הבחינה בניצול בעת הפרסום, וצוות PHP לא מצא ניצול פונקציונלי בעת השחרור. רבים משיטות הוכחת היתכנות הציבוריות מדווחות כלא עובדות.
• בדקו כל מקום שבו PHP פועל, כולל עותקים בתוך תוכנות אחרות, עדכנו, הפעילו מחדש עובדים ובדקו יומנים החל מ-17 באוקטובר.

תמליל מתורגם

תורגם מהקריינות המקורית באנגלית. זמינות אודיו וכתוביות נשלטת על ידי YouTube.

מי ניסה את PHP2Shell ארבעה ימים מוקדם יותר?

0:00 אמברגו אבטחה אמור לשמור על באג בשקט עד שהתיקון נשלח. אמזון תיעדה ניסיון נגד באג קריטי של PHP ארבעה ימים מוקדם יותר. בסרטון הזה, מי מצא את זה? כיצד האמברגו הודלף? וכמה זה רע, באמת? ולחברה שהואשמה בהדלפה יש הגנה שלא ציפיתי לה. אגיע לזה. זה יום חמישי, עשרים ושניים באוקטובר, וזה The Daily Diff.

0:21 PHP היא שפת סקריפטים שבונת דפי אינטרנט בשרת ממש לפני שהם מגיעים אליך. היא בת למעלה משלושים שנה, ועל פי הערכה אחת, מריצה כשבעים אחוז מהאתרים, כולל וורדפרס והתוכנה שמאחורי ויקיפדיה. מפתחים אוהבים ללעוג לה, בדרך כלל מדף ש-PHP משרתת אותם. התחזוקה שלה היא מלכ"ר עם כשלושה עשר מהנדסים.

מהם שני באגי ה-PHP2Shell?

0:41 ביום רביעי, PHP שלחה תיקוני חירום לשני פגמים קריטיים שמאפשרים לזר להריץ קוד על שרת ללא התחברות. יחד הם נקראים PHP2Shell, והם מגיעים עד PHP חמש נקודה ארבע. הנה הבאג הראשון במילים פשוטות. PHP מקצה לכל בקשה תקציב זיכרון. אם בקשה מגיעה למגבלה הזו בדיוק ברגע הלא נכון, PHP נסוגה בחופזה ומשאירה את הבקשה חצי בנויה. ואז שלב הניקוי בוטח בדבר החצי בנוי.

1:07 הבאג השני הוא שארית. שגיאה קטלנית יכולה להשאיר פתק המצביע על זיכרון שהיה שייך לבקשה האחרונה. אותו עובד מטפל בבקשה הבאה ועוקב אחר הפתק. עד אז מישהו אחר גר בכתובת הזו. ב-Apache עם mod PHP, הנזק קורה לפני שהקוד שלך פועל, כך שדף ההתחברות שלך לעולם לא מקבל קול. וויז אומר שאפילו סקריפט hello world חשוף. התיקון מסיר את יציאת החירום של PHP מזיכרון שנגמר.

1:32 במקום לצאת באמצע בקשה, PHP עוצרת כעת בנימוס בנקודה הבטוחה הבאה. החלק המוזר הוא עד כמה הרמז הראשון ישן.

מדוע באג ידוע המתין שנתיים?

1:39 ב-2024, ביקורת אבטחה חיצונית הובילה מפתח ליבה של PHP ל לסימנים הראשונים של בעיית הזיכרון. לא היה ידוע על ניצול, וכל תיקון שבר משהו. צוות שמחליט בקונצנזוס לא יכול היה לבחור, אז הבאג המתין. ואז באוגוסט, מוצאים הגיעו תוך ימים.

מי מצא את PHP2Shell, ואיך?

1:56 החוקר ראיין אוסטין מקאליף מצא אותו ב-1 באוגוסט, ועבד דרך תוכנית Patch the Planet של OpenAI. OpenAI דיווחה על אותה סיבת שורש באופן עצמאי. וויז מצא וריאנטים כמה שבועות לאחר מכן עם דגמי Gemini ו-GPT. אוסטין אומר שהוא השתמש בדגמים שכל אחד יכול להשיג, בתוספת תיאוריה על היכן מסתתרים באגים ישנים של PHP. OpenAI אומרת ש-AI פורץ דרך היה המפתח. הבאג הסתתר במשך יותר מעשור. ההשקה תוכננה ליום חמישי.

כיצד הודלף אמברגו ה-PHP2Shell?

2:21 ביום שלישי, שני מספרי ה-CVE החלו להסתובב באינטרנט, עם זמן שחרור שגוי וציון שגוי של עשר. PHP הקדימה את השחרור ביום אחד. באותו ערב, קאליף פרסם בטעות סרטון של הוכחת ההיתכנות שלו עובד, ועודפים שרדו את המחיקה. ביום רביעי בבוקר, יותר משש שעות לפני השחרור, Chainguard פרסמה תמונות בנויות המכילות את התיקון. PHP אומרת שכל תוקף יכול היה ללמוד את התיקון הזה בזמן שכולם המתינו.

2:46 תיקון הוא גם diff, ותוקפים קוראים diffs.

האם PHP2Shell מנוצל, ועל ידי מי?

2:50 אז מי באמת נפגע? מלכודת הדבש של אמזון תיעדה ניסיון ב-17 באוקטובר ומאוחר יותר אמרה ש-PHP2Shell מנוצלת באופן נרחב. watchTowr מדווחת על ניצול בטבע. Cisa אמרה שלא הבחינה בניצול כשפרסמה, וצוות PHP לא ראה ניצול עובד בעת השחרור. מנכ"ל Cloudflare אמר שהוא ראה אלפי ניסיונות בעשר השעות שלפני ה הודעה, ומיליונים עד יום חמישי בבוקר.

3:13 אמזון זהירה בנקודה אחת. היא לא יודעת אם הניסיונות המוקדמים ביותר שלה היו עובדים על מערכת אמיתית. ניסיון הוא רק דפיקה על הדלת. אז כמה זה רע, באמת? watchTowr אומרת שניצולים ציבוריים שמתפשטים לרוב קורסים או לא עושים כלום. VulnCheck אומרת שביצוע קוד עובד בחלק מההגדרות, ואף אחד מהציבוריים לא מנצח את אקראיות הזיכרון בשרתי x86 סטנדרטיים. החוקר אליאס טיילור אומר שזה רחוק מלהיות קל כמו Log4Shell.

3:40 כולם עדיין אומרים לתקן. ממשלות לא המתינו לפסק הדין.

מה הממשלות הורידו מהאינטרנט?

3:44 ה-NSA אמר לארגונים שלא יכלו לתקן להוריד מערכות PHP מהאינטרנט, והמרכז הלאומי לאבטחת סייבר בבריטניה נתן עצה דומה. אתרים הולנדיים, כולל שירות הזהות הדיגיטלי הלאומי, ירדו מהאינטרנט, יחד עם אתר משטרת פריז. ויקימדיה הורידה כמה מערכות כאמצעי זהירות. פאלו אלטו נטוורקס מנתה יותר מעשרים ושניים מיליון מופעים חשופים. ופרופסור אוסטרלי ציין את הנקודה החדה ביותר. האתרים שצריך לדאוג להם הם אלה שלא ירדו היום.

אילו גרסאות PHP מקבלות תיקון?

4:11 קיימים תיקונים ל-PHP שמונה נקודה שתיים עד שמונה נקודה חמש. עבור שבע נקודה ארבע, שמונה נקודה אפס ושמונה נקודה אחת, PHP פרסמה תיקוני מקור בלבד. גרסאות ישנות יותר לא מקבלות דבר מפרויקט PHP, אז שאלו את ההפצה שלכם. פתרונות עוקפים מקטינים את הסיכויים, אך PHP אומרת שעדכון הוא הפתרון המלא היחיד. זהו אותו שיעור כמו בפרק eMudhra של אתמול,

מה עושים עם PHP2Shell הלילה?

4:32 מכיוון שקיומו של תיקון אינו זהה לכך שלתהליך הרץ יש אותו. מצאו כל PHP בערימה שלכם, אפילו את העותקים המסתתרים בתוך תוכנות אחרות. עדכנו, הפעילו מחדש את העובדים, ובדקו יומנים החל מ-17 באוקטובר. באותו יום, GitLab שלחה שחרור תיקון קריטי,

מה עוד שוחרר היום עם תיקון RCE קריטי?

4:47 תשע עשרה נקודה חמש נקודה אחת. גלישת מספרים במהדר הביטויים הרגולריים שלה מאפשרת למשתמש לא מאומת להריץ קוד על השרת, והוא זוכה לציון עשר מתוך עשר. GitLab.com כבר תוקן. התקנות מנוהלות עצמית זקוקות לעדכון.

מדוע מטא נצטוותה לשלם 25 מיליארד דולר?

5:01 בינתיים בניו מקסיקו, שופט הורה למטא לשלם עשרים וחמישה מיליארד דולר בפיצויים על פרשת קיימברידג' אנליטיקה. חבר המושבעים מנה יותר מארבעים ושלושה מיליון הפרות בסך של עד חמשת אלפים דולר כל אחת, שהסתכמו בכמאתיים ועשרים מיליארד לפני שהשופט חתך אותו. מטא אומרת שהיא תנצח בערעור. ועכשיו ההגנה שהבטחתי.

מהי הגנת Chainguard לתיקון המוקדם?

5:19 מנכ"ל Chainguard סיפר ל-The Register שהוא מצא את אותם באגים בעצמו ביום שישי בערב, לאחר שנודע לו שמשהו עומד להגיע ב-PHP, עם הנחיה בסיסית למצוא פגיעויות רעות. הוא אומר שהוא שלח מוקדם מכיוון שאנשים כבר נפגעו. אם אתם מעדיפים לקרוא את זה מאשר לשמוע אותי אומר את זה, ה-diff נוחת בתיבת הדואר הנכנס שלכם כל בוקר, בחינם ב-the daily diff dot dev, קישור למטה. אז פסק הדין של היום הוא SHIP IT.

מה מקבל את חותמת SHIP IT?

5:39 שלחו את עדכון PHP הלילה, מכיוון שמספר הגרסה החדש הוא התיקון המלא היחיד. וזה ה-diff להיום. אני ניקו מ-Axrisi. מזגו באחריות.

מקורות

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News