PHP2Shell: due falle critiche di PHP, un embargo trapelato e cosa si sa realmente sullo sfruttamento

Contenuto di questo video

• Entrambe le falle sono classificate 9.2 su CVSS v4.0 dal team PHP. Le versioni corrette sono PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12; PHP 7.4, 8.0 e 8.1 hanno ricevuto solo patch di origine. PHP afferma che l'aggiornamento è l'unica mitigazione completa.
• La prima falla deriva dal fatto che PHP lascia una richiesta a metà quando la memoria si esaurisce nel momento sbagliato. La seconda deriva da un puntatore residuo alla memoria di una richiesta che una richiesta successiva nello stesso worker può utilizzare. Su Apache con mod_php il primo percorso viene eseguito prima del codice dell'applicazione.
• Uno sviluppatore del core di PHP ha trovato i primi segnali del problema di memoria durante un audit del 2024. La PHP Foundation afferma che le correzioni concorrenti avevano compromessi e un team di sicurezza basato sul consenso ha faticato a scegliere, definendolo un fallimento strutturale.
• La Foundation afferma che gli ID CVE sono trapelati il 20 ottobre, Calif ha erroneamente pubblicato un video proof-of-concept e Chainguard ha pubblicato immagini costruite con la correzione più di sei ore prima del rilascio. Il CEO di Chainguard afferma che le persone erano già state colpite e che ha trovato i bug indipendentemente.
• Le fonti non sono d'accordo sullo sfruttamento. Amazon ha registrato un tentativo il 17 ottobre e in seguito ha affermato che PHP2Shell era ampiamente sfruttato. watchTowr ha segnalato lo sfruttamento in natura. CISA non aveva osservato lo sfruttamento al momento della pubblicazione e il team PHP non ha trovato exploit funzionali al momento del rilascio. Molti script proof-of-concept pubblici non funzionano.
• Controlla ogni luogo in cui PHP è in esecuzione, incluse le copie all'interno di altri software, aggiorna, riavvia i worker e rivedi i log fino al 17 ottobre.

Trascrizione tradotta

Tradotto dalla narrazione originale inglese. L'audio e i sottotitoli disponibili sono controllati da YouTube.

Chi ha provato PHP2Shell con quattro giorni di anticipo?

0:00 Un embargo di sicurezza dovrebbe mantenere un bug segreto fino all'invio della patch. Amazon ha registrato un tentativo contro il bug critico di PHP con quattro giorni di anticipo. In questo video, chi l'ha trovato? Come è trapelato l'embargo? E quanto è grave, in realtà? E l'azienda accusata della fuga di notizie ha una difesa che non mi aspettavo. Ci arriverò. È giovedì 22 ottobre, e questo è The Daily Diff.

0:21 PHP è un linguaggio di scripting che costruisce pagine web sul server poco prima che ti raggiungano. Ha più di trent'anni e, secondo una stima, gestisce circa il settanta percento dei siti web, inclusi WordPress e il software dietro Wikipedia. Gli sviluppatori amano deriderlo, di solito da una pagina che PHP sta servendo loro. La sua manutenzione è un'organizzazione senza scopo di lucro con circa tredici ingegneri.

Quali sono i due bug di PHP2Shell?

0:41 Mercoledì, PHP ha rilasciato correzioni d'emergenza per due falle critiche che consentono a un estraneo di eseguire codice su un server senza login. Insieme sono chiamate PHP2Shell, e risalgono a PHP cinque punto quattro. Ecco il primo bug in parole semplici. PHP assegna a ogni richiesta un budget di memoria. Se una richiesta raggiunge quel limite esattamente nel momento sbagliato, PHP si ritira di fretta e lascia la richiesta a metà. Quindi il passaggio di pulizia si fida della cosa a metà.

1:07 Il secondo bug è un residuo. Un errore fatale può lasciare una nota che punta alla memoria che apparteneva all'ultima richiesta. Lo stesso worker gestisce la richiesta successiva e segue la nota. A quel punto qualcun altro vive a quell'indirizzo. Su Apache con mod PHP, il danno si verifica prima che il tuo codice venga eseguito, quindi la tua pagina di login non ottiene mai un voto. Wiz afferma che anche uno script "hello world" è esposto. La correzione rimuove l'uscita di emergenza di PHP per l'esaurimento della memoria.

1:32 Invece di interrompere la richiesta a metà, PHP ora si ferma educatamente al prossimo punto sicuro. La parte strana è quanto sia vecchio il primo indizio.

Perché un bug noto ha aspettato due anni?

1:39 Nel 2024, un audit di sicurezza esterno ha portato uno sviluppatore del core di PHP ai primi segnali del problema di memoria. Nessun exploit era noto e ogni correzione rompeva qualcosa. Un team che decide per consenso non poteva scegliere, quindi il bug ha atteso. Poi ad agosto, i ricercatori sono arrivati nel giro di pochi giorni.

Chi ha trovato PHP2Shell e come?

1:56 Il ricercatore di Calif Ryan Austin l'ha trovato il primo agosto, lavorando attraverso il programma Patch the Planet di OpenAI. OpenAI ha segnalato la stessa causa radice indipendentemente. Wiz ha trovato varianti poche settimane dopo con i modelli Gemini e GPT. Austin afferma di aver usato modelli che chiunque può ottenere, più una teoria su dove si nascondono i vecchi bug di PHP. OpenAI afferma che l'IA di frontiera è stata la chiave. Il bug era rimasto nascosto per più di un decennio. Il rilascio era previsto per giovedì.

Come è trapelato l'embargo di PHP2Shell?

2:21 Martedì, i due numeri CVE hanno iniziato a circolare online, con un orario di rilascio sbagliato e un punteggio sbagliato di dieci. PHP ha anticipato il rilascio di un giorno. Quella sera, Calif ha accidentalmente pubblicato un video del suo proof of concept funzionante, e le copie sono sopravvissute alla cancellazione. Mercoledì mattina, più di sei ore prima del rilascio, Chainguard ha pubblicato immagini costruite contenenti la correzione. PHP afferma che qualsiasi attaccante avrebbe potuto studiare quella correzione mentre tutti gli altri aspettavano.

2:46 Una patch è anche un diff, e gli attaccanti leggono i diff.

PHP2Shell è sotto attacco e da chi?

2:50 Quindi chi è effettivamente colpito? L'honeypot di Amazon ha registrato un tentativo il diciassette ottobre e in seguito ha affermato che PHP2Shell è ampiamente sfruttato. watchTowr segnala lo sfruttamento in natura. Cisa ha affermato di non averne osservato alcuno al momento della pubblicazione, e il team di PHP non ha visto alcun exploit funzionante al momento del rilascio. Il CEO di Cloudflare ha affermato di aver visto migliaia di tentativi nelle dieci ore prima dell' annuncio, e milioni entro giovedì mattina.

3:13 Amazon è cauta su un punto. Non sa se i suoi primi tentativi avrebbero funzionato su un sistema reale. Un tentativo è solo un bussare alla porta. Quindi quanto è grave, in realtà? watchTowr afferma che gli exploit pubblici in circolazione per lo più si bloccano o non fanno nulla. VulnCheck afferma che l'esecuzione del codice funziona in alcune configurazioni, e nessuno di quelli pubblici supera la randomizzazione della memoria sui server x86 standard. Il ricercatore Elias Taylor afferma che non è affatto facile come Log4Shell.

3:40 Tutti dicono ancora di applicare la patch. I governi non hanno aspettato il verdetto.

Cosa hanno messo offline i governi?

3:44 La NSA ha detto alle organizzazioni che non potevano applicare la patch di mettere offline i sistemi PHP, e il National Cyber Security Centre del Regno Unito ha dato un consiglio simile. Siti olandesi, incluso il servizio di identità digitale nazionale, sono andati offline, insieme a un sito della polizia di Parigi. Wikimedia ha disattivato diversi sistemi a scopo precauzionale. Palo Alto Networks ha contato più di ventidue milioni di istanze esposte. E un professore australiano ha fatto il punto più acuto. I siti di cui preoccuparsi sono quelli che non sono offline oggi.

Quali versioni di PHP ricevono una correzione?

4:11 Esistono correzioni per PHP da otto punto due a otto punto cinque. Per sette punto quattro, otto punto zero e otto punto uno, PHP ha pubblicato solo patch di origine. Le versioni più vecchie non ricevono nulla dal progetto PHP, quindi chiedi alla tua distribuzione. Le soluzioni alternative riducono le probabilità, ma PHP afferma che l'aggiornamento è l'unica correzione completa. È la stessa lezione dell'episodio di eMudhra di ieri,

Cosa fare riguardo a PHP2Shell stasera?

4:32 perché una correzione esistente non è la stessa cosa di un processo in esecuzione che ce l'ha. Trova ogni PHP nel tuo stack, anche le copie nascoste all'interno di altri software. Aggiorna, riavvia i worker e controlla i log fino al diciassette ottobre. Lo stesso giorno, GitLab ha rilasciato una patch critica,

Cos'altro ha rilasciato una patch RCE critica oggi?

4:47 diciannove punto cinque punto uno. Un overflow di interi nel suo compilatore di espressioni regolari consente a un utente non autenticato di eseguire codice sul server, e segna dieci su dieci. GitLab dot com è già stato patchato. Le installazioni autogestite necessitano dell'aggiornamento.

Perché Meta è stata condannata a pagare 25 miliardi di dollari?

5:01 Nel frattempo in Nuovo Messico, un giudice ha ordinato a Meta di pagare venticinque miliardi di dollari di sanzioni per Cambridge Analytica. La giuria ha contato più di quarantatré milioni di violazioni fino a cinquemila dollari ciascuna, che ammontavano a circa duecentoventi miliardi prima che il giudice le tagliasse. Meta afferma che vincerà in appello. Ora la difesa che ho promesso.

Qual è la difesa di Chainguard per la correzione anticipata?

5:19 Il CEO di Chainguard ha detto a The Register di aver trovato gli stessi bug da solo un venerdì sera, dopo aver saputo che qualcosa stava arrivando in PHP, con una semplice richiesta per trovare vulnerabilità gravi. Dice di aver spedito in anticipo perché le persone erano già colpite. Se preferisci leggere questo piuttosto che sentirmi dirlo, il diff arriva nella tua casella di posta ogni mattina, gratuitamente su the daily diff dot dev, link sotto. Quindi il verdetto di oggi è SHIP IT.

Cosa ottiene il timbro SHIP IT?

5:39 Spedisci l'aggiornamento PHP stasera, perché il nuovo numero di versione è l'unica correzione completa. E questo è il diff per oggi. Sono Niko di Axrisi. Unifica responsabilmente.

Fonti

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News