PHP2Shell: tveir mikilvægir PHP-gallar, bann sem lak, og hvað er raunverulega vitað um nýtingu

Það sem þetta myndband fjallar um

• Báðir gallarnir eru metnir 9,2 á CVSS v4.0 af PHP teyminu. Leiðréttar útgáfur eru PHP 8.2.35, 8.3.36, 8.4.27 og 8.5.12; PHP 7.4, 8.0 og 8.1 fengu aðeins frumkóðaleiðréttingar. PHP segir að uppfærsla sé eina fullkomna lausnin.
• Fyrri gallinn stafar af því að PHP skilur beiðni eftir hálfbyggða þegar minni klárast á röngum tíma. Sá síðari stafar af eftirstöðvarvísir á minni einnar beiðni sem síðari beiðni í sama vinnuþræði getur notað. Á Apache með mod_php keyrir fyrri leiðin áður en forritakóði keyrir.
• Kjarnaframleiðandi PHP fann fyrstu merki minnisvandamálsins í úttekt árið 2024. PHP Foundation segir að samkeppnisleiðréttingar hafi haft málamiðlanir og öryggisteymi sem byggði á samstöðu hafi átt erfitt með að velja, sem það kallar byggingarfræðilega bilun.
• Stofnunin segir að CVE auðkennin hafi lekið þann 20. október, Calif hafi af mistökum birt sýnikennslumyndband og Chainguard hafi birt byggðar myndir með leiðréttingunni meira en sex klukkustundum fyrir útgáfuna. Forstjóri Chainguard segir að fólk hafi þegar verið að verða fyrir áhrifum og að hann hafi fundið villurnar sjálfstætt.
• Heimildir eru ósammála um nýtingu. Amazon skráði tilraun þann 17. október og sagði síðar að PHP2Shell væri víða nýtt. watchTowr greindi frá nýtingu í raunheimum. CISA hafði ekki orðið vart við nýtingu við birtingu, og PHP teymið fann enga virka nýtingu við útgáfu. Margar opinberar sýnikennsluskrár eru sagðar ekki virka.
• Athugaðu alls staðar þar sem PHP keyrir, þar á meðal afrit inni í öðrum hugbúnaði, uppfærðu, endurræstu vinnuþræði og skoðaðu logga aftur til 17. október.

Þýtt afrit

Þýtt úr upprunalegri enskri frásögn. Tiltækt hljóð og textar eru stjórnaðir af YouTube.

Hver reyndi PHP2Shell fjórum dögum of snemma?

0:00 Öryggisbann á að halda villu leyndri þar til plásturinn er sendur út. Amazon skráði tilraun gegn mikilvægri villu PHP fjórum dögum of snemma. Í þessu myndbandi, hver fann hana? Hvernig lak bannið? Og hversu slæmt er það, í raun? Og fyrirtækið sem var kennt um lekann hefur vörn sem ég bjóst ekki við. Ég mun koma að því. Það er fimmtudagur, tuttugasti og annar október, og þetta er The Daily Diff.

0:21 PHP er skriftumál sem byggir vefsíður á vefþjóninum rétt áður en þær ná til þín. Það er yfir þrjátíu ára gamalt og, samkvæmt einni áætlun, keyrir um sjötíu prósent vefsíðna, þar á meðal WordPress og hugbúnaðinn á bak við Wikipedia. Forritarar elska að hæðast að því, venjulega frá síðu sem PHP er að þjóna þeim. Viðhald þess er rekið af félagasamtökum með um þrettán verkfræðinga.

Hverjir eru gallarnir í PHP2Shell?

0:41 Á miðvikudaginn sendi PHP frá sér neyðarleiðréttingar vegna tveggja mikilvægra galla sem leyfa óþekktum einstaklingi að keyra kóða á vefþjóni án innskráningar. Saman eru þeir kallaðir PHP2Shell, og þeir ná aftur til PHP fimm punkt fjögur. Hér er fyrsti gallinn í einföldum orðum. PHP gefur hverri beiðni minnisfjárveitingu. Ef beiðni nær þeirri takmörkun á nákvæmlega röngum tíma, PHP hættir í skyndi og skilur beiðnina eftir hálfbyggða. Þá treystir hreinsunarferlið hálfbyggða hlutnum.

1:07 Annar gallinn er eftirstöðvar. Banvæn villa getur skilið eftir athugasemd sem vísar á minni sem tilheyrði síðustu beiðni. Sami vinnuþráður sér um næstu beiðni og fylgir athugasemdinni. Þá býr einhver annar á þeirri slóð. Á Apache með mod PHP gerist skaðinn áður en þinn eigin kóði keyrir, svo innskráningarsíðan þín fær aldrei að kjósa. Wiz segir að jafnvel "halló heimur" skripta sé í hættu. Leiðréttingin fjarlægir neyðarútgang PHP vegna minnisleysis.

1:32 Í stað þess að hætta í miðri beiðni, hættir PHP nú kurteislega á næsta öruggu punkti. Það skrýtna er hversu gömul fyrsta vísbendingin er.

Hvers vegna beið þekktur galli í tvö ár?

1:39 Árið 2024, öryggisúttekt að utanverðu leiddi kjarnaframleiðanda PHP að fyrstu merkjum minnisvandamálsins. Engin nýting var þekkt, og hver leiðrétting braut eitthvað. Teymi sem tekur ákvarðanir með samstöðu gat ekki valið, svo gallinn beið. Síðan í ágúst, fundu menn villurnar innan nokkurra daga.

Hver fann PHP2Shell og hvernig?

1:56 Rannsakandi Calif, Ryan Austin, fann hana 1. ágúst, að vinna í gegnum "Patch the Planet" forrit OpenAI. OpenAI greindi frá sömu rótgrónu orsök óháð. Wiz fann afbrigði nokkrum vikum síðar með Gemini og GPT líkönum. Austin segir að hann hafi notað líkön sem allir geta fengið, ásamt kenningu um hvar gamlir PHP gallar leynast. OpenAI segir að "frontier AI" hafi verið lykillinn. Gallinn hafði leynst í meira en áratug. Útgáfan var skipulögð á fimmtudag.

Hvernig lak PHP2Shell bannið?

2:21 Á þriðjudaginn fóru CVE númerin tvö að dreifast á netinu, með röngum útgáfutíma og röngum einkunn tíu. PHP dró útgáfuna fram um einn dag. Þetta kvöld birti Calif óvart myndband af sönnun á hugmynd sinni að virka, og afrit lifðu af eyðingu. Á miðvikudagsmorgun, meira en sex klukkustundum fyrir útgáfuna, birti Chainguard byggðar myndir sem innihéldu leiðréttinguna. PHP segir að allir árásarmenn gætu rannsakað þá leiðréttingu á meðan allir aðrir biðu.

2:46 Plástur er líka diff, og árásarmenn lesa diffs.

Er PHP2Shell nýtt og af hverjum?

2:50 Svo hver er raunverulega að verða fyrir áhrifum? Amazon skráði tilraun á "honeypot" sínum þann 17. október og sagði síðar að PHP2Shell væri víða nýtt. watchTowr greinir frá nýtingu í raunheimum. Cisa sagði að það hefði ekki orðið vart við neina þegar það birti, og teymi PHP sá enga virka nýtingu við útgáfu. Forstjóri Cloudflare sagði að það hefði séð þúsundir tilrauna á tíu klukkustundum fyrir tilkynninguna, og milljónir á fimmtudagsmorgun.

3:13 Amazon er varkárt á einum punkti. Það veit ekki hvort elstu tilraunir þess hefðu virkað á raunverulegu kerfi. Tilraun er bara bank á dyrnar. Svo hversu slæmt er þetta, í raun? watchTowr segir að flestir opinberu nýtingarkóðar sem eru í umferð krassa eða gera ekkert. VulnCheck segir að kóðaframkvæmd virki í sumum uppsetningum, og engin af opinberu nýtingarkóðunum sigri slembiröðun minnis á venjulegum x86 netþjónum. Rannsakandinn Elias Taylor segir að þetta sé hvergi nærri eins auðvelt og Log4Shell.

3:40 Allir segja samt að plástra. Ríkisstjórnir biðu ekki eftir dómnum.

Hvað tók ríkisstjórnir af netinu?

3:44 NSA sagði stofnunum sem gátu ekki plástrað að taka PHP kerfi sín ótengd, og National Cyber Security Centre í Bretlandi gaf svipað ráð. Hollenskar síður, þar á meðal stafræna auðkennisþjónustan landsins, fóru í svart, ásamt vefsvæði lögreglunnar í París. Wikimedia tók nokkur kerfi niður til varúðar. Palo Alto Networks taldi meira en tuttugu og tveggja milljónir útsettra tilfella. Og ástralskur prófessor benti á skarpasta punktinn. Síðurnar til að hafa áhyggjur af eru þær sem eru ekki niðri í dag.

Hvaða PHP útgáfur fá leiðréttingu?

4:11 Leiðréttingar eru til fyrir PHP 8.2 til og með 8.5. Fyrir 7.4, 8.0 og 8.1, birti PHP aðeins frumkóðaleiðréttingar. Eldri útgáfur fá ekkert frá PHP verkefninu, svo spurðu dreifingaraðilann þinn. Útvegun dregur úr líkum, en PHP segir að uppfærsla sé eina heildstæða leiðréttingin. Þetta er sama lexían og eMudhra þátturinn í gær,

Hvað gerirðu við PHP2Shell í kvöld?

4:32 því að leiðrétting er til er ekki það sama og að keyrandi ferli hafi hana. Finndu alla PHP í þínum stafla, jafnvel afrit sem leynast inni í öðrum hugbúnaði. Uppfærðu, endurræstu vinnuþræðina, og athugaðu logga aftur til 17. október. Sama dag sendi GitLab frá sér mikilvæga leiðréttingarútgáfu,

Hvað annað sendi frá sér mikilvæga RCE leiðréttingu í dag?

4:47 19.5.1. Heiltaluleka í venjulegu segðarþýðandanum leyfir óauðkenndum notanda að keyra kóða á netþjóninum, og það fær tíu af tíu. GitLab.com er þegar plástrað. Sjálfstýrðar uppsetningar þurfa uppfærsluna.

Hvers vegna var Meta skipað að greiða 25 milljarða dollara?

5:01 Á meðan í Nýju Mexíkó, skipaði dómari Meta að greiða tuttugu og fimm milljarða dollara í sektum vegna Cambridge Analytica. Kviðdómur taldi meira en fjörutíu og þrjár milljónir brota, allt að fimm þúsund dollara hvert, sem nam um það bil tvö hundruð tuttugu milljörðum áður en dómarinn lækkaði það. Meta segist vinna í áfrýjun. Nú vörnin sem ég lofaði.

Hver er vörn Chainguard fyrir snemma leiðréttingu?

5:19 Forstjóri Chainguard sagði The Register að hann hefði fundið sömu villurnar sjálfur á föstudags kvöldi, eftir að hafa heyrt að eitthvað væri á leiðinni í PHP, með einfaldri beiðni um að finna slæmar veikleikar. Hann segir að hann hafi sent snemma vegna þess að fólk var þegar að verða fyrir áhrifum. Ef þú vilt frekar lesa þetta en heyra mig segja það, mun diffið lenda í pósthólfinu þínu á hverjum morgni, ókeypis á thedailydiff.dev, tengill hér að neðan. Svo dómur dagsins er SHIP IT.

Hvað fær SHIP IT stimpilinn?

5:39 Sendu PHP uppfærsluna í kvöld, því að nýja útgáfunúmerið er eina fullkomna leiðréttingin. Og það er diffið fyrir í dag. Ég er Niko frá Axrisi. Sameinið á ábyrgan hátt.

Heimildir

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News