PHP2Shell: PHP-ის ორი კრიტიკული ხარვეზი, ემბარგო, რომელიც გაჟონა და რაც რეალურად ცნობილია ექსპლოიტაციის შესახებ

რას მოიცავს ეს ვიდეო

• PHP-ის გუნდის მიერ CVSS v4.0-ზე ორივე ხარვეზი შეფასებულია 9.2 ქულით. შესწორებული ვერსიებია PHP 8.2.35, 8.3.36, 8.4.27 და 8.5.12; PHP 7.4, 8.0 და 8.1 მიიღეს მხოლოდ წყაროს პატჩები. PHP აცხადებს, რომ განახლება ერთადერთი სრული შერბილებაა.
• პირველი ხარვეზი გამოწვეულია იმით, რომ PHP ტოვებს მოთხოვნას ნახევრად აწყობილს, როდესაც არასწორ მომენტში იწურება მეხსიერება. მეორე გამოწვეულია წინა მოთხოვნის მეხსიერების დარჩენილი მაჩვენებლით, რომელიც იმავე მუშაკში მოგვიანებით მოთხოვნას შეუძლია გამოიყენოს. Apache-ზე mod_php-ით პირველი გზა მუშაობს აპლიკაციის კოდის წინ.
• PHP-ის ძირითადმა დეველოპერმა მეხსიერების პრობლემის პირველი ნიშნები 2024 წლის აუდიტის დროს აღმოაჩინა. PHP Foundation აცხადებს, რომ კონკურენტულ შესწორებებს ჰქონდათ დათმობები და კონსენსუსზე დაფუძნებული უსაფრთხოების გუნდი იბრძოდა არჩევანის გასაკეთებლად, რასაც ის სტრუქტურულ წარუმატებლობას უწოდებს.
• ფონდი აცხადებს, რომ CVE ID-ები გაჟონა 20 ოქტომბერს, Calif-მა შეცდომით გამოაქვეყნა კონცეფციის დამადასტურებელი ვიდეო, ხოლო Chainguard-მა გამოაქვეყნა შესწორებით აგებული სურათები გამოშვებამდე ექვს საათზე მეტი ხნით ადრე. Chainguard-ის აღმასრულებელმა დირექტორმა განაცხადა, რომ ადამიანებს უკვე ექმნებოდათ პრობლემები და რომ მან დამოუკიდებლად აღმოაჩინა ხარვეზები.
• წყაროები განსხვავებულად აცხადებენ ექსპლოიტაციის შესახებ. Amazon-მა 17 ოქტომბერს დააფიქსირა მცდელობა და მოგვიანებით განაცხადა, რომ PHP2Shell ფართოდ იყო ექსპლოიტებული. watchTowr-მა განაცხადა ექსპლოიტაციის შესახებ ველურ ბუნებაში. CISA-ს გამოქვეყნების მომენტში არ ჰქონდა დაფიქსირებული ექსპლოიტაცია, ხოლო PHP-ის გუნდმა გამოშვებისას არ აღმოაჩინა ფუნქციური ექსპლოიტი. მრავალი საჯარო კონცეფციის დამადასტურებელი სკრიპტი არ მუშაობს.
• შეამოწმეთ ყველა ადგილი, სადაც PHP მუშაობს, მათ შორის სხვა პროგრამული უზრუნველყოფის შიგნით არსებული ასლები, განაახლეთ, გადატვირთეთ მუშაკები და გადახედეთ ჟურნალებს 17 ოქტომბრამდე.

ნათარგმნი ტრანსკრიპტი

ნათარგმნია ორიგინალური ინგლისური ნარატივიდან. ხელმისაწვდომი აუდიო და სუბტიტრები კონტროლდება YouTube-ის მიერ.

ვინ სცადა PHP2Shell ოთხი დღით ადრე?

0:00 უსაფრთხოების ემბარგო ვარაუდობს, რომ ხარვეზი დაფარული უნდა იყოს, სანამ პატჩი არ გამოვა. Amazon-მა PHP-ის კრიტიკული ხარვეზის წინააღმდეგ მცდელობა ოთხი დღით ადრე დააფიქსირა. ამ ვიდეოში ვინ იპოვა ის? როგორ გაჟონა ემბარგომ? და რამდენად ცუდია ის, ნამდვილად? და კომპანიას, რომელიც გაჟონვაში დაადანაშაულეს, აქვს დაცვა, რასაც არ ველოდი. მე მივადგები მას. ხუთშაბათია, ოცდაორი ოქტომბერი, და ეს არის The Daily Diff.

0:21 PHP არის სკრიპტინგის ენა, რომელიც აშენებს ვებ გვერდებს სერვერზე ზუსტად მათ წინ, რომ მოგაღწიონ. ის ოცდაათ წელზე მეტი ხნისაა და, ერთი შეფასებით, მუშაობს ვებსაიტების დაახლოებით სამოცდაათ პროცენტზე, მათ შორის WordPress-ზე და პროგრამულ უზრუნველყოფაზე, რომელიც Wikipedia-ს უკან დგას. დეველოპერებს უყვართ მისი დაცინვა, როგორც წესი, იმ გვერდიდან, რომელსაც PHP ემსახურება მათ. მისი მოვლა არის არაკომერციული ორგანიზაცია დაახლოებით ცამეტი ინჟინრით.

რა არის ორი PHP2Shell ხარვეზი?

0:41 ოთხშაბათს, PHP-მ გამოუშვა საგანგებო შესწორებები ორი კრიტიკული ხარვეზისთვის, რომელიც საშუალებას აძლევს უცნობს სერვერზე კოდის გაშვება შესვლის გარეშე. ერთად მათ PHP2Shell ეწოდებათ, და ისინი PHP ხუთ წერტილ ოთხამდე მიდის. აქ არის პირველი ხარვეზი მარტივი სიტყვებით. PHP ყოველ მოთხოვნას აძლევს მეხსიერების ბიუჯეტს. თუ მოთხოვნა ამ ლიმიტს ზუსტად არასწორ მომენტში მიაღწევს, PHP ნაჩქარევად წყვეტს მუშაობას და ტოვებს მოთხოვნას ნახევრად აწყობილს. შემდეგ გასუფთავების ნაბიჯი ენდობა ნახევრად აწყობილ ნივთს.

1:07 მეორე ხარვეზი ნარჩენია. ფატალურმა შეცდომამ შეიძლება დატოვოს ჩანაწერი, რომელიც მიუთითებს მეხსიერებაზე, რომელიც ეკუთვნოდა ბოლო მოთხოვნას. იგივე მუშაკი ამუშავებს შემდეგ მოთხოვნას და მიჰყვება ჩანაწერს. მაშინ უკვე სხვა ვინმე ცხოვრობს ამ მისამართზე. Apache-ზე mod PHP-ით, ზიანი ხდება თქვენი საკუთარი კოდის გაშვებამდე, ასე რომ თქვენი შესვლის გვერდი არასოდეს იღებს ხმას. Wiz ამბობს, რომ "hello world" სკრიპტიც კი დაუცველია. შესწორება შლის PHP-ის საგანგებო გამოსვლას მეხსიერების ამოწურვის გამო.

1:32 მოთხოვნის შუა ნაწილში შეწყვეტის ნაცვლად, PHP ახლა თავაზიანად ჩერდება შემდეგ უსაფრთხო წერტილში. უცნაური ნაწილი ის არის, თუ რამდენად ძველია პირველი მინიშნება.

რატომ დაელოდა ცნობილი ხარვეზი ორ წელიწადს?

1:39 2024 წელს, გარე უსაფრთხოების აუდიტმა PHP-ის ძირითადი დეველოპერი მიიყვანა მეხსიერების პრობლემის პირველ ნიშნებამდე. არცერთი ექსპლოიტი არ იყო ცნობილი, და ყოველი შესწორება რაღაცას აფუჭებდა. გუნდმა, რომელიც კონსენსუსით იღებს გადაწყვეტილებებს, ვერ აირჩია, ამიტომ ხარვეზი ელოდა. შემდეგ, აგვისტოში, აღმომჩენები რამდენიმე დღის განმავლობაში ჩამოვიდნენ.

ვინ აღმოაჩინა PHP2Shell და როგორ?

1:56 Calif-ის მკვლევარმა რაიან ოსტინმა ის 1 აგვისტოს აღმოაჩინა, OpenAI-ის Patch the Planet პროგრამის ფარგლებში მუშაობით. OpenAI-მ დამოუკიდებლად განაცხადა იგივე ძირეული მიზეზის შესახებ. Wiz-მა რამდენიმე კვირის შემდეგ აღმოაჩინა ვარიანტები Gemini და GPT მოდელებით. ოსტინი ამბობს, რომ მან გამოიყენა მოდელები, რომლებიც ნებისმიერს შეუძლია მიიღოს, პლუს თეორია იმის შესახებ, თუ სად იმალება PHP-ის ძველი ხარვეზები. OpenAI ამბობს, რომ მოწინავე AI იყო გასაღები. ხარვეზი ათწლეულზე მეტი ხნის განმავლობაში იმალებოდა. გამოშვება ხუთშაბათისთვის იყო დაგეგმილი.

როგორ გაჟონა PHP2Shell-ის ემბარგომ?

2:21 სამშაბათს, ორი CVE ნომერი დაიწყო ონლაინ გავრცელება, არასწორი გამოშვების დროით და არასწორი ათი ქულით. PHP-მ გამოშვება ერთი დღით ადრე გადმოსწია. იმ საღამოს, Calif-მა შემთხვევით გამოაქვეყნა თავისი კონცეფციის დამადასტურებელი ვიდეო მუშაობის შესახებ, და ასლებმა წაშლას გაუძლო. ოთხშაბათს დილით, გამოშვებამდე ექვს საათზე მეტი ხნით ადრე, Chainguard-მა გამოაქვეყნა შესწორების შემცველი აგებული სურათები. PHP ამბობს, რომ ნებისმიერ თავდამსხმელს შეეძლო შეესწავლა ეს შესწორება, სანამ ყველა დანარჩენი ელოდა.

2:46 პატჩი ასევე არის განსხვავება, და თავდამსხმელები კითხულობენ განსხვავებებს.

ექსპლოიტდება თუ არა PHP2Shell და ვის მიერ?

2:50 ვინ არის რეალურად დაზარალებული? Amazon-ის honeypot-მა 17 ოქტომბერს დააფიქსირა მცდელობა და მოგვიანებით განაცხადა, რომ PHP2Shell ფართოდ იყო ექსპლოიტებული. watchTowr აცხადებს ექსპლოიტაციის შესახებ ველურ ბუნებაში. Cisa-მ განაცხადა, რომ მას არ დაუფიქსირებია არცერთი გამოქვეყნებისას, და PHP-ის გუნდმა არ დაინახა მომუშავე ექსპლოიტი გამოშვებისას. Cloudflare-ის აღმასრულებელმა დირექტორმა განაცხადა, რომ მან ათასობით მცდელობა დაინახა ათი საათის განმავლობაში განცხადებამდე, და მილიონობით ხუთშაბათ დილისთვის.

3:13 Amazon ერთ წერტილზე ფრთხილია. მან არ იცის, იმუშავებდა თუ არა მისი ადრეული მცდელობები რეალურ სისტემაზე. მცდელობა მხოლოდ კარზე დაკაკუნებაა. ასე რომ, რამდენად ცუდია ის, ნამდვილად? watchTowr ამბობს, რომ საჯარო ექსპლოიტები ძირითადად იშლება ან არაფერს აკეთებს. VulnCheck ამბობს, რომ კოდის შესრულება მუშაობს ზოგიერთ კონფიგურაციაში, და არცერთი საჯარო არ ამარცხებს მეხსიერების რანდომიზაციას სტანდარტულ x86 სერვერებზე. მკვლევარი ელიას ტეილორი ამბობს, რომ ის არ არის ისეთი ადვილი, როგორც Log4Shell.

3:40 ყველა მაინც ამბობს, რომ პატჩი საჭიროა. მთავრობებმა განაჩენს არ დაელოდეს.

რა გამორთეს მთავრობებმა?

3:44 NSA-მ ორგანიზაციებს, რომლებსაც პატჩის დაყენება არ შეეძლოთ, მოუწოდა PHP სისტემების გამორთვას, ხოლო გაერთიანებული სამეფოს კიბერუსაფრთხოების ეროვნულმა ცენტრმა მსგავსი რჩევა მისცა. ჰოლანდიური საიტები, მათ შორის ეროვნული ციფრული იდენტიფიკაციის სერვისი, გაითიშა, პარიზის პოლიციის საიტთან ერთად. Wikimedia-მ რამდენიმე სისტემა გამორთო სიფრთხილის მიზნით. Palo Alto Networks-მა დაითვალა ოცდაორ მილიონზე მეტი დაუცველი ინსტანცია. და ავსტრალიელმა პროფესორმა ყველაზე მწვავე წერტილი გააკეთა. საიტები, რაზეც უნდა იდარდოთ, არის ის, რაც დღეს არ არის გამორთული.

რომელი PHP ვერსიები იღებენ შესწორებას?

4:11 შესწორებები არსებობს PHP რვა წერტილ ორის მეშვეობით რვა წერტილ ხუთამდე. შვიდი წერტილ ოთხისთვის, რვა წერტილ ომისთვის და რვა წერტილ ერთისთვის, PHP-მ გამოაქვეყნა მხოლოდ წყაროს პატჩები. ძველი ვერსიები PHP პროექტისგან არაფერს იღებენ, ასე რომ იკითხეთ თქვენს დისტრიბუციაში. შემოვლითი გზები ამცირებს შანსებს, მაგრამ PHP ამბობს, რომ განახლება ერთადერთი სრული შესწორებაა. ეს იგივე გაკვეთილია, რაც გუშინდელი eMudhra ეპიზოდი იყო,

რას აკეთებთ PHP2Shell-ის შესახებ ამაღამ?

4:32 რადგან შესწორების არსებობა არ ნიშნავს იმას, რომ გაშვებულ პროცესს ის აქვს. იპოვეთ ყველა PHP თქვენს სტეკში, თუნდაც სხვა პროგრამული უზრუნველყოფის შიგნით დამალული ასლები. განაახლეთ, გადატვირთეთ მუშაკები და შეამოწმეთ ჟურნალები 17 ოქტომბრამდე. იმავე დღეს, GitLab-მა გამოუშვა კრიტიკული პატჩის გამოშვება,

კიდევ რა გამოუშვა კრიტიკული RCE პატჩი დღეს?

4:47 ცხრამეტი წერტილი ხუთი წერტილი ერთი. მთელი რიცხვის გადავსება მის რეგულარული გამოსახულების კომპილერში საშუალებას აძლევს არაავთენტური მომხმარებელს სერვერზე კოდის გაშვება, და ის ათიდან ათს იღებს. GitLab.com უკვე შესწორებულია. თვითმმართველი ინსტალაციები საჭიროებს განახლებას.

რატომ დაეკისრა Meta-ს 25 მილიარდი დოლარის გადახდა?

5:01 ამასობაში ნიუ-მექსიკოში, მოსამართლემ Meta-ს დაავალა ოცდახუთი მილიარდი დოლარის გადახდა ჯარიმის სახით Cambridge Analytica-ს გამო. ჟიურიმ დაითვალა ორმოცდასამ მილიონზე მეტი დარღვევა, თითო ხუთი ათას დოლარამდე, რამაც მოსამართლის შემცირებამდე დაახლოებით ორას ოცი მილიარდი შეადგინა. Meta ამბობს, რომ ის მოიგებს საჩივარს. ახლა კი დაცვა, რომელიც დაგპირდით.

რა არის Chainguard-ის დაცვა ადრეული შესწორებისთვის?

5:19 Chainguard-ის აღმასრულებელმა დირექტორმა The Register-ს უთხრა, რომ მან თავად იპოვა იგივე ხარვეზები პარასკევს ღამით, მას შემდეგ რაც გაიგო, რომ PHP-ში რაღაც მოდიოდა, ძირითადი მოთხოვნით ცუდი დაუცველობების მოსაძებნად. ის ამბობს, რომ მან ადრე გამოუშვა, რადგან ხალხს უკვე უტევდნენ. თუ გირჩევნიათ ეს წაიკითხოთ, ვიდრე მოისმინოთ ჩემგან, განსხვავება თქვენს შემოსულებში ხვდება ყოველ დილით, უფასოდ dailydiff.dev-ზე, ბმული ქვემოთ. ასე რომ, დღევანდელი განაჩენი არის SHIP IT.

რა იღებს SHIP IT ბეჭედს?

5:39 გამოუშვით PHP განახლება ამაღამ, რადგან ახალი ვერსიის ნომერი ერთადერთი სრული შესწორებაა. და ეს არის დღევანდელი განსხვავება. მე ვარ ნიკო Axrisi-დან. გააერთიანეთ პასუხისმგებლობით.

წყაროები

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News