PHP2Shell: PHP-тегі екі маңызды кемшілік, жарияланған эмбарго және эксплуатация туралы не белгілі

Бұл бейне не туралы

• Екі кемшілік те PHP командасымен CVSS v4.0 бойынша 9.2 деп бағаланады. Түзетілген шығарылымдар PHP 8.2.35, 8.3.36, 8.4.27 және 8.5.12 болып табылады; PHP 7.4, 8.0 және 8.1 тек бастапқы патчтар алды. PHP жаңарту жалғыз толық жеңілдету екенін айтады.
• Бірінші кемшілік PHP сұранысты дұрыс емес сәтте жады таусылған кезде жартылай құрастырылған күйде қалдыруынан туындайды. Екіншісі, сол жұмысшыда кейінгі сұраныс қолдана алатын бір сұраныстың жадына қалған нұсқағыштан туындайды. mod_php бар Apache-де бірінші жол қолданбалы кодтан бұрын орындалады.
• PHP негізгі әзірлеушісі 2024 жылғы аудит барысында жад проблемасының алғашқы белгілерін тапты. PHP Foundation бәсекелес түзетулердің кемшіліктері болғанын және консенсусқа негізделген қауіпсіздік тобы таңдауда қиналғанын айтады, мұны ол құрылымдық сәтсіздік деп атайды.
• Foundation CVE идентификаторлары 20 қазанда ашыққа шыққанын, Calif қателікпен дәлелдеу концепциясының бейнесін жариялағанын және Chainguard түзетілген дайын кескіндерді шығарылымнан алты сағаттан астам уақыт бұрын жариялағанын айтады. Chainguard бас директоры адамдарға қазірдің өзінде шабуыл жасалғанын және ол қателерді өз бетінше тапқанын айтады.
• Дереккөздер эксплуатация туралы әртүрлі пікірде. Amazon 17 қазанда әрекетті тіркеп, кейіннен PHP2Shell кеңінен эксплуатацияланғанын айтты. watchTowr нақты эксплуатация туралы хабарлады. CISA жарияланған кезде эксплуатацияны байқамаған, ал PHP командасы шығарылым кезінде функционалдық эксплойт таппаған. Көптеген жалпыға қолжетімді дәлелдеу концепциясы скрипттері жұмыс істемейді деп хабарланады.
• PHP іске қосылатын барлық жерді тексеріңіз, соның ішінде басқа бағдарламалық қамтамасыз ету ішіндегі көшірмелерді де, жаңартыңыз, жұмысшыларды қайта іске қосыңыз және журналдарды 17 қазанға дейін тексеріңіз.

Аударылған транскрипция

Бастапқы ағылшын тіліндегі баяндамадан аударылған. Қолжетімді аудио және субтитрлерді YouTube басқарады.

PHP2Shell-ді төрт күн бұрын кім қолданып көрді?

0:00 Қауіпсіздік эмбаргосы патч шыққанға дейін қатені құпия ұстауы керек. Amazon PHP-тың маңызды қатесіне төрт күн бұрын жасалған әрекетті тіркеді. Бұл видеода оны кім тапты? Эмбарго қалай ашыққа шықты? Және ол шынымен қаншалықты нашар? Және ағып кетуге кінәлі компанияның мен күтпеген қорғанысы бар. Мен оған жетемін. Бүгін бейсенбі, жиырма екінші қазан, және бұл The Daily Diff.

0:21 PHP - серверде веб-беттерді құрастыратын сценарий тілі, сізге жеткенге дейін. Ол отыз жылдан астам және бір бағалау бойынша, веб-сайттардың жетпіс пайызын іске қосады, соның ішінде WordPress және Wikipedia-ның артындағы бағдарламалық жасақтама. Әзірлеушілер оны мазақ етуді ұнатады, әдетте PHP оларға қызмет көрсететін беттен. Оны ұстау он үш инженерден тұратын коммерциялық емес ұйым.

PHP2Shell-дің екі қатесі қандай?

0:41 Сәрсенбіде PHP екі маңызды кемшілікке төтенше түзетулер шығарды, бұл бөгде адамға серверде кірмей-ақ кодты іске қосуға мүмкіндік береді. Олар PHP2Shell деп аталады және PHP бес нүкте төртке дейін жетеді. Міне, бірінші қате қарапайым тілмен. PHP әр сұранысқа жад бюджетін береді. Егер сұраныс дәл қате сәтте бұл шектеуге жетсе, PHP асығыс шығып, сұранысты жартылай құрастырылған күйде қалдырады. Содан кейін тазалау қадамы жартылай құрастырылған нәрсеге сенеді.

1:07 Екінші қате - қалдық. Өлім қатесі соңғы сұранысқа тиесілі жадқа нұсқайтын жазбаны қалдыра алады. Сол жұмысшы келесі сұранысты өңдейді және жазбаны орындайды. Ол кезде бұл мекенжайда басқа біреу тұрады. mod PHP бар Apache-де, зақым сіздің өзіңіздің кодыңыз іске қосылмай тұрып орын алады, сондықтан сіздің кіру бетіңіз ешқашан дауысқа ие болмайды. Wiz тіпті "hello world" сценарийі де осал екенін айтады. Түзету PHP-тің жады таусылуына арналған төтенше шығуын жояды.

1:32 Сұраныс ортасында шығудың орнына, PHP енді келесі қауіпсіз нүктеде сыпайы түрде тоқтайды. Ерекше жері - бірінші нұсқаудың қаншалықты ескі екені.

Белгілі қате неліктен екі жыл күтті?

1:39 2024 жылы сыртқы қауіпсіздік аудиті PHP негізгі әзірлеушісін жад проблемасының алғашқы белгілеріне әкелді. Эксплойт белгілі емес еді, және әрбір түзету бір нәрсені бұзды. Консенсуспен шешім қабылдайтын команда таңдай алмады, сондықтан қате күтті. Содан кейін тамыз айында іздеушілер бірнеше күн ішінде келді.

PHP2Shell-ді кім және қалай тапты?

1:56 Calif зерттеушісі Райан Остин оны тамыздың бірінші жұлдызында тапты, OpenAI-дің Patch the Planet бағдарламасы арқылы жұмыс істеді. OpenAI сол түпкі себепті өз бетінше хабарлады. Wiz бірнеше аптадан кейін Gemini және GPT модельдерімен нұсқаларын тапты. Остин өзі кез келген адам ала алатын модельдерді, сондай-ақ PHP-тың ескі қателері қайда жасырылғаны туралы теорияны қолданғанын айтады. OpenAI шекаралық AI кілт болғанын айтады. Қате он жылдан астам уақыт бойы жасырынып келген. Шығарылым бейсенбіге жоспарланған болатын.

PHP2Shell эмбаргосы қалай ашыққа шықты?

2:21 Сейсенбіде екі CVE нөмірі желіде тарала бастады, қате шығарылым уақытымен және ондық қате баллмен. PHP шығарылымды бір күнге ертелетті. Сол кеште Calif қателікпен өзінің дәлелдеу концепциясының бейнесін жариялады, және көшірмелер жойылғаннан кейін де сақталды. Сәрсенбі күні таңертең, шығарылымнан алты сағаттан астам уақыт бұрын, Chainguard түзетуді қамтитын дайын кескіндерді жариялады. PHP кез келген шабуылдаушы бұл түзетуді басқалар күтіп отырғанда зерттей алатынын айтады.

2:46 Патч - бұл сонымен қатар айырмашылық, және шабуылдаушылар айырмашылықтарды оқиды.

PHP2Shell эксплуатацияланып жатыр ма және кім?

2:50 Сонымен, кімге нақты шабуыл жасалып жатыр? Amazon-ның "тәтті қақпаны" 17 қазанда әрекетті тіркеп, кейіннен PHP2Shell кеңінен эксплуатацияланғанын айтты. watchTowr нақты эксплуатация туралы хабарлайды. Cisa жариялаған кезде ешқандай байқамағанын айтты, ал PHP командасы шығарылым кезінде ешқандай жұмыс істейтін эксплойт көрмеді. Cloudflare бас директоры хабарландыруға дейінгі он сағатта мыңдаған әрекеттерді көргенін айтты, және бейсенбі күні таңертең миллиондаған әрекеттерді көргенін айтты.

3:13 Amazon бір нүктеде мұқият. Ол ерте әрекеттері нақты жүйеде жұмыс істейтін-істемейтінін білмейді. Әрекет - бұл тек есікті қағу. Сонымен, ол шынымен қаншалықты нашар? watchTowr жалпыға қолжетімді эксплойттардың көбінесе бұзылатынын немесе ештеңе істемейтінін айтады. VulnCheck кодты орындау кейбір параметрлерде жұмыс істейтінін айтады, және жалпыға қолжетімділердің ешқайсысы стандартты x86 серверлерінде жадты рандомизациялауды жеңбейді. Зерттеуші Элиас Тейлор оның Log4Shell сияқты оңай емес екенін айтады.

3:40 Бәрі әлі де патч жасау керек дейді. Үкіметтер үкімді күтпеді.

Үкіметтер нені желіден ажыратты?

3:44 NSA патч жасай алмайтын ұйымдарға PHP жүйелерін желіден ажыратуды айтты, және Ұлыбританияның Ұлттық киберқауіпсіздік орталығы ұқсас кеңес берді. Голландиялық сайттар, соның ішінде ұлттық цифрлық сәйкестендіру қызметі, Париж полициясының сайтымен бірге жұмысын тоқтатты. Wikimedia сақтық шарасы ретінде бірнеше жүйені жапты. Palo Alto Networks жиырма екі миллионнан астам осал дананы санады. Және австралиялық профессор ең өткір нүктені жасады. Алаңдауға тұрарлық сайттар - бүгін жұмыс істемейтіндер.

Қай PHP нұсқалары түзету алады?

4:11 PHP сегіз нүкте екіден сегіз нүкте беске дейін түзетулер бар. Жеті нүкте төрт, сегіз нүкте нөл және сегіз нүкте бір үшін, PHP тек бастапқы патчтарды жариялады. Ескі нұсқалар PHP жобасынан ештеңе алмайды, сондықтан дистрибутивіңізден сұраңыз. Айналма жолдар мүмкіндіктерді азайтады, бірақ PHP жаңарту жалғыз толық түзету екенін айтады. Бұл кешегі eMudhra эпизодындағыдай сабақ,

Бүгін түнде PHP2Shell туралы не істейсіз?

4:32 өйткені түзетудің болуы іске қосылған процестің оған ие болуымен бірдей емес. Стектеріңіздегі әр PHP-ді табыңыз, тіпті басқа бағдарламалық жасақтама ішінде жасырылған көшірмелерді де. Жаңартыңыз, жұмысшыларды қайта іске қосыңыз және журналдарды 17 қазанға дейін тексеріңіз. Сол күні GitLab маңызды патч шығарылымын жіберді,

Тағы не бүгін маңызды RCE патчын шығарды?

4:47 он тоғыз нүкте бес нүкте бір. Оның тұрақты өрнек компиляторындағы бүтін санның толып кетуі аутентификацияланбаған пайдаланушыға серверде кодты іске қосуға мүмкіндік береді, және оның көрсеткіші оннан он. GitLab.com қазірдің өзінде патчталған. Өзін-өзі басқаратын орнатулар жаңартуды қажет етеді.

Meta-ға неліктен 25 миллиард доллар төлеуге бұйрық берілді?

5:01 Сонымен қатар Нью-Мексикода судья Meta-ға Кембридж Аналитика үшін жиырма бес миллиард доллар айыппұл төлеуге бұйрық берді. Алқабилер қырық үш миллионнан астам бұзушылықты әрқайсысы бес мың долларға дейін санады, бұл судья қысқартқанға дейін шамамен екі жүз жиырма миллиардқа жетті. Meta апелляция бойынша жеңетінін айтады. Енді мен уәде еткен қорғаныс.

Chainguard-тың ерте түзетуге қорғанысы қандай?

5:19 Chainguard бас директоры The Register басылымына PHP-те бір нәрсе келе жатқанын білгеннен кейін жұма түнінде өзі сол қателерді тапқанын айтты, нашар осалдықтарды табуға арналған қарапайым нұсқаумен. Ол ерте жіберді, себебі адамдарға қазірдің өзінде шабуыл жасалып жатқанын айтады. Егер сіз мұны менің айтқанымды естігеннен гөрі оқығыңыз келсе, айырмашылық әр таң сайын сіздің пошта жәшігіңізге келеді, the daily diff dot dev сайтында тегін, төмендегі сілтеме. Сонымен, бүгінгі үкім SHIP IT. PHP жаңартуын бүгін түнде жіберіңіз, себебі жаңа нұсқа нөмірі жалғыз толық

SHIP IT мөрін не алады?

5:39 түзету болып табылады. Және бұл бүгінгі айырмашылық. Мен Axrisi-ден Нико. Жауапкершілікпен біріктіріңіз. Жауапкершілікпен біріктіріңіз.

Дереккөздер

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News