PHP2Shell: dua cacat PHP kritis, embargo yang bocor, dan apa yang sebenarnya diketahui tentang eksploitasi

Isi video ini

• Kedua kelemahan tersebut dinilai 9.2 pada CVSS v4.0 oleh tim PHP. Rilis yang diperbaiki adalah PHP 8.2.35, 8.3.36, 8.4.27, dan 8.5.12; PHP 7.4, 8.0, dan 8.1 hanya menerima patch sumber. PHP mengatakan pembaruan adalah satu-satunya mitigasi lengkap.
• Kelemahan pertama berasal dari PHP yang meninggalkan permintaan setengah jadi ketika kehabisan memori pada saat yang salah. Yang kedua berasal dari pointer sisa ke memori satu permintaan yang dapat digunakan oleh permintaan selanjutnya di pekerja yang sama. Pada Apache dengan mod_php jalur pertama berjalan sebelum kode aplikasi.
• Seorang pengembang inti PHP menemukan tanda-tanda pertama masalah memori selama audit tahun 2024. PHP Foundation mengatakan perbaikan yang bersaing memiliki trade-off dan tim keamanan berbasis konsensus kesulitan memilih, yang disebutnya sebagai kegagalan struktural.
• Foundation mengatakan ID CVE bocor pada 20 Oktober, Calif secara keliru menerbitkan video proof-of-concept, dan Chainguard menerbitkan gambar build dengan perbaikan lebih dari enam jam sebelum rilis. CEO Chainguard mengatakan orang-orang sudah diserang dan dia menemukan bug secara independen.
• Sumber-sumber tidak setuju tentang eksploitasi. Amazon mencatat upaya pada 17 Oktober dan kemudian mengatakan PHP2Shell dieksploitasi secara luas. watchTowr melaporkan eksploitasi di alam liar. CISA belum mengamati eksploitasi pada publikasi, dan tim PHP tidak menemukan eksploitasi fungsional pada rilis. Banyak skrip proof-of-concept publik dilaporkan tidak berfungsi.
• Periksa setiap tempat PHP berjalan, termasuk salinan di dalam perangkat lunak lain, perbarui, mulai ulang pekerja, dan tinjau log kembali ke 17 Oktober.

Transkrip terjemahan

Diterjemahkan dari narasi asli bahasa Inggris. Audio dan teks tersedia yang dikontrol oleh YouTube.

Siapa yang mencoba PHP2Shell empat hari lebih awal?

0:00 Embargo keamanan seharusnya menjaga bug tetap tenang sampai patch dirilis. Amazon mencatat upaya terhadap bug kritis PHP empat hari lebih awal. Dalam video ini, siapa yang menemukannya? Bagaimana embargo bocor? Dan seberapa buruk itu, sungguh? Dan perusahaan yang disalahkan atas kebocoran memiliki pembelaan yang tidak saya duga. Saya akan membahasnya. Ini hari Kamis, 22 Oktober, dan ini The Daily Diff.

0:21 PHP adalah bahasa skrip yang membangun halaman web di server tepat sebelum mereka mencapai Anda. Usianya lebih dari tiga puluh tahun dan, menurut satu perkiraan, menjalankan sekitar tujuh puluh persen situs web, termasuk WordPress dan perangkat lunak di balik Wikipedia. Pengembang suka mengejeknya, biasanya dari halaman yang dilayani PHP mereka. Pemeliharaannya adalah nirlaba dengan sekitar tiga belas insinyur.

Apa dua bug PHP2Shell?

0:41 Pada hari Rabu, PHP mengirimkan perbaikan darurat untuk dua kelemahan kritis yang memungkinkan orang asing menjalankan kode di server tanpa login. Bersama-sama mereka disebut PHP2Shell, dan mereka kembali ke PHP lima titik empat. Berikut adalah bug pertama dengan kata-kata sederhana. PHP memberikan setiap permintaan anggaran memori. Jika suatu permintaan mencapai batas itu pada saat yang salah, PHP keluar dengan tergesa-gesa dan meninggalkan permintaan setengah jadi. Kemudian langkah pembersihan mempercayai hal yang setengah jadi.

1:07 Bug kedua adalah sisa. Kesalahan fatal dapat meninggalkan catatan yang menunjuk ke memori milik permintaan terakhir. Pekerja yang sama menangani permintaan berikutnya dan mengikuti catatan. Saat itu, orang lain tinggal di alamat itu. Pada Apache dengan mod PHP, kerusakan terjadi sebelum kode Anda sendiri berjalan, jadi halaman login Anda tidak pernah mendapatkan suara. Wiz mengatakan bahkan skrip hello world pun terbuka. Perbaikan menghapus keluar darurat PHP karena kehabisan memori.

1:32 Alih-alih keluar di tengah permintaan, PHP sekarang berhenti dengan sopan di titik aman berikutnya. Bagian anehnya adalah seberapa tua petunjuk pertama itu.

Mengapa bug yang diketahui menunggu dua tahun?

1:39 Pada tahun 2024, audit keamanan eksternal mengarahkan pengembang inti PHP ke tanda-tanda pertama masalah memori. Tidak ada eksploitasi yang diketahui, dan setiap perbaikan merusak sesuatu. Tim yang memutuskan berdasarkan konsensus tidak dapat memilih, jadi bug menunggu. Kemudian pada bulan Agustus, para penemu tiba dalam beberapa hari.

Siapa yang menemukan PHP2Shell, dan bagaimana?

1:56 Peneliti Calif Ryan Austin menemukannya pada 1 Agustus, bekerja melalui program Patch the Planet OpenAI. OpenAI melaporkan akar penyebab yang sama secara independen. Wiz menemukan varian beberapa minggu kemudian dengan model Gemini dan GPT. Austin mengatakan dia menggunakan model yang bisa didapatkan siapa saja, ditambah teori tentang di mana bug lama PHP bersembunyi. OpenAI mengatakan AI garis depan adalah kuncinya. Bug itu telah tersembunyi selama lebih dari satu dekade. Rilis direncanakan pada hari Kamis.

Bagaimana embargo PHP2Shell bocor?

2:21 Pada hari Selasa, dua nomor CVE mulai beredar online, dengan waktu rilis yang salah dan skor sepuluh yang salah. PHP menarik rilis satu hari ke depan. Malam itu, Calif secara tidak sengaja menerbitkan video bukti konsepnya berfungsi, dan salinan bertahan dari penghapusan. Pada Rabu pagi, lebih dari enam jam sebelum rilis, Chainguard menerbitkan gambar build yang berisi perbaikan. PHP mengatakan penyerang mana pun dapat mempelajari perbaikan itu sementara yang lain menunggu.

2:46 Patch juga merupakan perbedaan, dan penyerang membaca perbedaan.

Apakah PHP2Shell sedang dieksploitasi, dan oleh siapa?

2:50 Jadi siapa yang sebenarnya terkena? Honeypot Amazon mencatat upaya pada 17 Oktober dan kemudian mengatakan PHP2Shell dieksploitasi secara luas. watchTowr melaporkan eksploitasi di alam liar. Cisa mengatakan belum mengamati apa pun ketika menerbitkannya, dan tim PHP tidak melihat eksploitasi yang berfungsi pada rilis. CEO Cloudflare mengatakan melihat ribuan upaya dalam sepuluh jam sebelum pengumuman, dan jutaan pada Kamis pagi.

3:13 Amazon berhati-hati pada satu hal. Tidak diketahui apakah upaya paling awal akan berhasil pada sistem nyata. Upaya hanyalah ketukan di pintu. Jadi seberapa buruk itu, sungguh? watchTowr mengatakan eksploitasi publik yang beredar sebagian besar crash atau tidak melakukan apa-apa. VulnCheck mengatakan eksekusi kode berfungsi di beberapa pengaturan, dan tidak ada yang publik mengalahkan randomisasi memori pada server x86 standar. Peneliti Elias Taylor mengatakan itu tidak semudah Log4Shell.

3:40 Semua orang masih mengatakan patch. Pemerintah tidak menunggu putusan.

Apa yang pemerintah offline-kan?

3:44 NSA memberi tahu organisasi yang tidak dapat menambal untuk mengofflinekan sistem PHP, dan Pusat Keamanan Siber Nasional Inggris memberikan saran serupa. Situs Belanda, termasuk layanan identitas digital nasional, mati, bersama dengan situs polisi Paris. Wikimedia menurunkan beberapa sistem sebagai tindakan pencegahan. Palo Alto Networks menghitung lebih dari dua puluh dua juta instance yang terekspos. Dan seorang profesor Australia membuat poin paling tajam. Situs yang perlu dikhawatirkan adalah yang tidak down hari ini.

Versi PHP mana yang mendapatkan perbaikan?

4:11 Perbaikan ada untuk PHP delapan titik dua hingga delapan titik lima. Untuk tujuh titik empat, delapan titik nol dan delapan titik satu, PHP hanya menerbitkan patch sumber. Versi yang lebih lama tidak mendapatkan apa-apa dari proyek PHP, jadi tanyakan pada distribusi Anda. Solusi mengurangi kemungkinan, tetapi PHP mengatakan pembaruan adalah satu-satunya yang lengkap. Ini adalah pelajaran yang sama dengan episode eMudhra kemarin,

Apa yang harus Anda lakukan tentang PHP2Shell malam ini?

4:32 karena perbaikan yang ada tidak sama dengan proses yang sedang berjalan memilikinya. Temukan setiap PHP dalam tumpukan Anda, bahkan salinan yang tersembunyi di dalam perangkat lunak lain. Perbarui, mulai ulang pekerja, dan periksa log kembali ke 17 Oktober. Pada hari yang sama, GitLab merilis patch kritis,

Apa lagi yang merilis patch RCE kritis hari ini?

4:47 sembilan belas titik lima titik satu. Overflow integer dalam kompiler ekspresi reguler memungkinkan pengguna yang tidak terotentikasi menjalankan kode di server, dan skornya sepuluh dari sepuluh. GitLab dot com sudah di-patch. Instalasi yang dikelola sendiri memerlukan pembaruan.

Mengapa Meta diperintahkan untuk membayar $25 miliar?

5:01 Sementara itu di New Mexico, seorang hakim memerintahkan Meta untuk membayar dua puluh lima miliar dolar dalam denda atas Cambridge Analytica. Juri menghitung lebih dari empat puluh tiga juta pelanggaran hingga lima ribu dolar masing-masing, yang mencapai sekitar dua ratus dua puluh miliar sebelum hakim memotongnya. Meta mengatakan akan menang dalam banding. Sekarang pembelaan yang saya janjikan.

Apa pembelaan Chainguard untuk perbaikan awal?

5:19 CEO Chainguard memberi tahu The Register bahwa dia menemukan bug yang sama sendiri pada Jumat malam, setelah mengetahui sesuatu akan datang di PHP, dengan perintah dasar untuk menemukan kerentanan buruk. Dia mengatakan dia mengirim lebih awal karena orang-orang sudah terkena. Jika Anda lebih suka membaca ini daripada mendengar saya mengatakannya, perbedaan itu mendarat di kotak masuk Anda setiap pagi, gratis di the daily diff dot dev, tautan di bawah. Jadi putusan hari ini adalah SHIP IT.

Apa yang mendapatkan stempel SHIP IT?

5:39 Kirim pembaruan PHP malam ini, karena nomor versi baru adalah satu-satunya perbaikan lengkap. Dan itu perbedaannya untuk hari ini. Saya Niko dari Axrisi. Gabungkan dengan bertanggung jawab.

Sumber

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News