PHP2Shell: दो गंभीर PHP खामियां, एक लीक हुआ प्रतिबंध, और शोषण के बारे में वास्तव में क्या पता है

इस वीडियो में क्या शामिल है

• PHP टीम द्वारा CVSS v4.0 पर दोनों खामियों को 9.2 रेट किया गया है। फिक्स्ड रिलीज़ PHP 8.2.35, 8.3.36, 8.4.27 और 8.5.12 हैं; PHP 7.4, 8.0 और 8.1 को केवल स्रोत पैच प्राप्त हुए। PHP का कहना है कि अपडेट करना ही एकमात्र पूर्ण समाधान है।
• पहली खामी PHP के एक अनुरोध को आधा-अधूरा छोड़ने से आती है जब गलत समय पर मेमोरी खत्म हो जाती है। दूसरा एक अनुरोध की मेमोरी के लिए एक बचा हुआ पॉइंटर से आता है जिसका उपयोग उसी वर्कर में बाद का अनुरोध कर सकता है। mod_php के साथ Apache पर पहला पथ एप्लिकेशन कोड से पहले चलता है।
• एक PHP कोर डेवलपर ने 2024 के ऑडिट के दौरान मेमोरी समस्या के पहले संकेत पाए। PHP फाउंडेशन का कहना है कि प्रतिस्पर्धी फिक्स में ट्रेड-ऑफ थे और एक सहमति-आधारित सुरक्षा टीम को चुनने के लिए संघर्ष करना पड़ा, जिसे वह एक संरचनात्मक विफलता कहता है।
• फाउंडेशन का कहना है कि CVE ID 20 अक्टूबर को लीक हो गए, Calif ने गलती से एक प्रूफ-ऑफ-कॉन्सेप्ट वीडियो प्रकाशित किया, और Chainguard ने रिलीज़ से छह घंटे से अधिक पहले फिक्स के साथ निर्मित छवियां प्रकाशित कीं। Chainguard के सीईओ का कहना है कि लोग पहले से ही प्रभावित हो रहे थे और उन्होंने स्वतंत्र रूप से बग पाए।
• शोषण पर स्रोत असहमत हैं। अमेज़न ने 17 अक्टूबर को एक प्रयास दर्ज किया और बाद में कहा कि PHP2Shell का व्यापक रूप से शोषण किया गया था। watchTowr ने जंगली में शोषण की सूचना दी। CISA ने प्रकाशन के समय शोषण का अवलोकन नहीं किया था, और PHP टीम को रिलीज़ के समय कोई कार्यात्मक शोषण नहीं मिला। कई सार्वजनिक प्रूफ-ऑफ-कॉन्सेप्ट स्क्रिप्ट काम नहीं करती हैं।
• हर उस जगह की जाँच करें जहाँ PHP चलता है, जिसमें अन्य सॉफ़्टवेयर के अंदर की प्रतियाँ भी शामिल हैं, अपडेट करें, वर्कर को पुनरारंभ करें और 17 अक्टूबर तक के लॉग की समीक्षा करें।

अनुवादित प्रतिलेख

मूल अंग्रेजी कथन से अनुवादित। उपलब्ध ऑडियो और कैप्शन YouTube द्वारा नियंत्रित होते हैं।

PHP2Shell को चार दिन पहले किसने आज़माया?

0:00 एक सुरक्षा प्रतिबंध को पैच शिप होने तक एक बग को शांत रखना चाहिए। अमेज़न ने PHP के गंभीर बग के खिलाफ चार दिन पहले एक प्रयास दर्ज किया। इस वीडियो में, इसे किसने पाया? प्रतिबंध कैसे लीक हुआ? और यह वास्तव में कितना बुरा है? और लीक के लिए जिम्मेदार कंपनी का एक बचाव है जिसकी मैंने उम्मीद नहीं की थी। मैं उस पर पहुंचूंगा। यह गुरुवार, 22 अक्टूबर है, और यह The Daily Diff है।

0:21 PHP एक स्क्रिप्टिंग भाषा है जो वेब पेज बनाती है सर्वर पर ठीक पहले वे आप तक पहुंचते हैं। यह तीस साल से अधिक पुराना है और, एक अनुमान के अनुसार, लगभग सत्तर प्रतिशत वेबसाइटों को चलाता है, जिसमें वर्डप्रेस और सॉफ्टवेयर शामिल है विकिपीडिया के पीछे। डेवलपर्स इसे मज़ाक उड़ाना पसंद करते हैं, आमतौर पर एक पेज से जो PHP उन्हें सेवा दे रहा है। इसका रखरखाव लगभग तेरह इंजीनियरों के साथ एक गैर-लाभकारी संगठन है।

दो PHP2Shell बग क्या हैं?

0:41 बुधवार को, PHP ने दो गंभीर खामियों के लिए आपातकालीन सुधार जारी किए, जो एक अजनबी को बिना किसी लॉगिन के सर्वर पर कोड चलाने देते हैं। साथ में उन्हें PHP2Shell कहा जाता है, और वे PHP पांच पॉइंट चार तक पहुंचते हैं। यहां सादे शब्दों में पहला बग है। PHP हर अनुरोध को एक मेमोरी बजट देता है। यदि एक अनुरोध ठीक गलत समय पर उस सीमा तक पहुंचता है, PHP जल्दी से बाहर निकल जाता है और अनुरोध को आधा-अधूरा छोड़ देता है। फिर सफाई कदम आधे-अधूरे चीज़ पर भरोसा करता है।

1:07 दूसरा बग एक बचा हुआ है। एक घातक त्रुटि उस मेमोरी की ओर इशारा करते हुए एक नोट छोड़ सकती है जो पिछले अनुरोध से संबंधित थी। वही वर्कर अगले अनुरोध को संभालता है और नोट का पालन करता है। तब तक उस पते पर कोई और रहता है। mod PHP के साथ Apache पर, नुकसान आपके अपने कोड के चलने से पहले होता है, इसलिए आपका लॉगिन पेज कभी वोट नहीं पाता है। Wiz का कहना है कि एक hello world स्क्रिप्ट भी उजागर है। फिक्स मेमोरी खत्म होने के लिए PHP के आपातकालीन निकास को हटा देता है।

1:32 अनुरोध के बीच में बाहर निकलने के बजाय, PHP अब अगले सुरक्षित बिंदु पर विनम्रता से रुकता है। अजीब बात यह है कि पहला सुराग कितना पुराना है।

एक ज्ञात बग ने दो साल क्यों इंतज़ार किया?

1:39 2024 में, एक बाहरी सुरक्षा ऑडिट ने एक PHP कोर डेवलपर को मेमोरी समस्या के पहले संकेत दिए। कोई शोषण ज्ञात नहीं था, और हर फिक्स ने कुछ तोड़ दिया। एक टीम जो सहमति से निर्णय लेती है वह चुन नहीं सकती थी, इसलिए बग ने इंतजार किया। फिर अगस्त में, खोजकर्ता दिनों के भीतर पहुंचे।

PHP2Shell किसने और कैसे पाया?

1:56 Calif शोधकर्ता रयान ऑस्टिन ने इसे 1 अगस्त को पाया, OpenAI के Patch the Planet कार्यक्रम के माध्यम से काम कर रहा था। OpenAI ने स्वतंत्र रूप से उसी मूल कारण की सूचना दी। Wiz ने कुछ हफ्तों बाद मिथुन और GPT मॉडल के साथ वेरिएंट पाए। ऑस्टिन का कहना है कि उसने ऐसे मॉडल का उपयोग किया जो कोई भी प्राप्त कर सकता है, साथ ही एक सिद्धांत कि PHP के पुराने बग्स कहाँ छिपे होते हैं। OpenAI का कहना है कि फ्रंटियर AI कुंजी थी। बग एक दशक से अधिक समय से छिपा हुआ था। रिलीज़ गुरुवार के लिए योजना बनाई गई थी।

PHP2Shell प्रतिबंध कैसे लीक हुआ?

2:21 मंगलवार को, दो CVE नंबर ऑनलाइन प्रसारित होने लगे, एक गलत रिलीज़ समय और दस के गलत स्कोर के साथ। PHP ने रिलीज़ को एक दिन पहले खींच लिया। उस शाम, Calif ने गलती से अपने प्रूफ ऑफ कॉन्सेप्ट का एक वीडियो काम करते हुए प्रकाशित किया, और प्रतियां विलोपन से बची रहीं। बुधवार सुबह, रिलीज़ से छह घंटे से अधिक पहले, Chainguard ने फिक्स युक्त निर्मित छवियां प्रकाशित कीं। PHP का कहना है कि कोई भी हमलावर उस फिक्स का अध्ययन कर सकता था जबकि बाकी सभी इंतजार कर रहे थे।

2:46 एक पैच भी एक अंतर है, और हमलावर अंतर पढ़ते हैं।

क्या PHP2Shell का शोषण किया जा रहा है, और किसके द्वारा?

2:50 तो वास्तव में कौन प्रभावित हो रहा है? अमेज़न के हनीपोट ने 17 अक्टूबर को एक प्रयास दर्ज किया और बाद में कहा PHP2Shell का व्यापक रूप से शोषण किया गया है। watchTowr ने जंगली में शोषण की रिपोर्ट की। Cisa ने कहा कि उसने प्रकाशन के समय किसी का अवलोकन नहीं किया था, और PHP की टीम ने रिलीज़ के समय कोई काम करने वाला शोषण नहीं देखा। Cloudflare के सीईओ ने कहा कि उसने घोषणा से पहले दस घंटों में हजारों प्रयासों और गुरुवार सुबह तक लाखों प्रयासों को देखा।

3:13 अमेज़न एक बात पर सावधान है। यह नहीं जानता कि उसके शुरुआती प्रयास एक वास्तविक सिस्टम पर काम करते। एक प्रयास केवल दरवाजे पर एक दस्तक है। तो यह वास्तव में कितना बुरा है? watchTowr का कहना है कि चारों ओर उड़ने वाले अधिकांश सार्वजनिक शोषण क्रैश होते हैं या कुछ नहीं करते हैं। VulnCheck का कहना है कि कोड निष्पादन कुछ सेटअप में काम करता है, और कोई भी सार्वजनिक नहीं मानक x86 सर्वर पर मेमोरी रैंडमाइजेशन को हराता है। शोधकर्ता एलियास टेलर का कहना है कि यह Log4Shell जितना आसान नहीं है।

3:40 फिर भी हर कोई पैच लगाने को कहता है। सरकारों ने फैसले का इंतजार नहीं किया।

सरकारों ने क्या ऑफ़लाइन किया?

3:44 NSA ने उन संगठनों से कहा जो PHP सिस्टम को ऑफलाइन नहीं कर सकते थे और यूके के राष्ट्रीय साइबर सुरक्षा केंद्र ने ऐसी ही सलाह दी। डच साइटें, जिसमें राष्ट्रीय डिजिटल पहचान सेवा भी शामिल है, एक पेरिस पुलिस साइट के साथ अंधेरे में चली गईं। विकिमीडिया ने सावधानी के तौर पर कई सिस्टम बंद कर दिए। पलो ऑल्टो नेटवर्क्स ने बाईस मिलियन से अधिक उजागर उदाहरणों की गिनती की। और एक ऑस्ट्रेलियाई प्रोफेसर ने सबसे तीखा बिंदु बनाया। जिन साइटों के बारे में चिंता करनी है वे वे हैं जो आज बंद नहीं हैं।

कौन से PHP संस्करणों को फिक्स मिलता है?

4:11 PHP आठ पॉइंट दो से आठ पॉइंट पांच के लिए फिक्स मौजूद हैं। सात पॉइंट चार, आठ पॉइंट ओ और आठ पॉइंट एक के लिए, PHP ने केवल स्रोत पैच प्रकाशित किए। पुराने संस्करणों को PHP परियोजना से कुछ भी नहीं मिलता है, इसलिए अपने वितरण से पूछें। वर्कअराउंड बाधाओं को कम करते हैं, लेकिन PHP का कहना है कि अपडेट करना ही एकमात्र पूर्ण फिक्स है। यह कल के eMudhra एपिसोड के समान सबक है,

आज रात आप PHP2Shell के बारे में क्या करते हैं?

4:32 क्योंकि एक फिक्स का अस्तित्व वही नहीं है जो चल रही प्रक्रिया में हो। अपने स्टैक में हर PHP का पता लगाएं, यहां तक कि अन्य सॉफ़्टवेयर के अंदर छिपी हुई प्रतियां भी। अपडेट करें, वर्कर को पुनरारंभ करें, और सत्रह अक्टूबर तक के लॉग की जांच करें। उसी दिन, GitLab ने एक महत्वपूर्ण पैच रिलीज़ जारी की,

आज और क्या एक महत्वपूर्ण RCE पैच भेजा गया?

4:47 उन्नीस पॉइंट पांच पॉइंट एक। इसके रेगुलर एक्सप्रेशन कंपाइलर में एक पूर्णांक ओवरफ्लो एक अप्रमाणित उपयोगकर्ता को सर्वर पर कोड चलाने देता है, और यह दस में से दस स्कोर करता है। GitLab.com पहले ही पैच किया जा चुका है। स्व-प्रबंधित इंस्टाल को अपडेट की आवश्यकता है। इस बीच न्यू मैक्सिको में, एक न्यायाधीश ने मेटा को कैम्ब्रिज एनालिटिका को लेकर पच्चीस अरब डॉलर का

मेटा को $25 बिलियन का भुगतान करने का आदेश क्यों दिया गया?

5:01 जुर्माना चुकाने का आदेश दिया। जूरी ने तैंतालीस मिलियन से अधिक उल्लंघनों की गिनती की, प्रत्येक पांच हजार डॉलर तक, जो न्यायाधीश द्वारा काटने से पहले लगभग दो सौ बीस अरब तक पहुंच गया। मेटा का कहना है कि वह अपील पर जीत हासिल करेगा। अब मैंने जो बचाव का वादा किया था। Chainguard के सीईओ ने The Register को बताया कि उसने शुक्रवार रात को खुद वही बग पाए, यह जानने के बाद कि PHP में कुछ आने वाला था, एक बुनियादी प्रॉम्प्ट के साथ

जल्दी फिक्स के लिए Chainguard का बचाव क्या है?

5:19 खराब कमजोरियों को खोजने के लिए। उनका कहना है कि उन्होंने जल्दी शिप किया क्योंकि लोग पहले से ही प्रभावित हो रहे थे। यदि आप इसे सुनने के बजाय पढ़ना चाहते हैं, तो diff हर सुबह आपके इनबॉक्स में आता है, daily diff dot dev पर मुफ्त, लिंक नीचे। तो आज का फैसला SHIP IT है। आज रात PHP अपडेट SHIP IT करें, क्योंकि नया संस्करण नंबर ही एकमात्र पूर्ण फिक्स है। और आज के लिए यही अंतर है।

SHIP IT स्टैम्प क्या प्राप्त करता है?

5:39 मैं Axrisi से निको हूँ। जिम्मेदारी से विलय करें। क्या आप जानते हैं कि यह आज का सबसे महत्वपूर्ण टेकअवे है? यह शिप IT है। इसका मतलब है कि आप उन अपडेट को आज रात शिप करते हैं, क्योंकि वे केवल यही काम करते हैं।

स्रोत

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News