PHP2Shell: ចំណុចខ្សោយ PHP សំខាន់ពីរ ការបែកធ្លាយការហាមឃាត់ និងអ្វីដែលគេដឹងអំពីការទាញយកផលប្រយោជន៍

អ្វីដែលវីដេអូនេះគ្របដណ្ដប់

• ចំណុចខ្សោយទាំងពីរត្រូវបានវាយតម្លៃ 9.2 លើ CVSS v4.0 ដោយក្រុម PHP។ កំណែដែលបានជួសជុលគឺ PHP 8.2.35, 8.3.36, 8.4.27 និង 8.5.12; PHP 7.4, 8.0 និង 8.1 ទទួលបានបំណះប្រភពតែប៉ុណ្ណោះ។ PHP និយាយថាការអាប់ដេតគឺជាការកាត់បន្ថយទាំងស្រុងតែមួយគត់។
• ចំណុចខ្សោយទីមួយកើតចេញពី PHP ដែលទុកសំណើមិនទាន់បានបញ្ចប់នៅពេលដែលវាអស់អង្គចងចាំនៅពេលខុស។ ទីពីរមកពី pointer ដែលនៅសេសសល់ទៅកាន់អង្គចងចាំនៃសំណើមួយ ដែលសំណើក្រោយៗទៀតនៅក្នុង worker តែមួយអាចប្រើប្រាស់បាន។ នៅលើ Apache ជាមួយ mod_php ផ្លូវទីមួយដំណើរការមុនលេខកូដកម្មវិធី។
• អ្នកអភិវឌ្ឍន៍ស្នូល PHP ម្នាក់បានរកឃើញសញ្ញាដំបូងនៃបញ្ហាអង្គចងចាំក្នុងអំឡុងពេលត្រួតពិនិត្យឆ្នាំ 2024។ មូលនិធិ PHP និយាយថាការជួសជុលដែលប្រកួតប្រជែងគ្នាមានការផ្លាស់ប្តូរ ហើយក្រុមសុវត្ថិភាពផ្អែកលើការយល់ស្របបានតស៊ូដើម្បីជ្រើសរើស ដែលវាហៅថាការបរាជ័យរចនាសម្ព័ន្ធ។
• មូលនិធិនិយាយថា CVE ID បានបែកធ្លាយនៅថ្ងៃទី 20 ខែតុលា Calif បានបោះពុម្ពវីដេអូបង្ហាញពីគំរូដើមដោយច្រឡំ ហើយ Chainguard បានបោះពុម្ពរូបភាពដែលបានបង្កើតឡើងជាមួយនឹងការជួសជុលជាងប្រាំមួយម៉ោងមុនការចេញផ្សាយ។ នាយកប្រតិបត្តិរបស់ Chainguard និយាយថាប្រជាជនត្រូវបានរងផលប៉ះពាល់រួចហើយ ហើយថាគាត់បានរកឃើញកំហុសដោយឯករាជ្យ។
• ប្រភពមិនយល់ស្របលើការទាញយកផលប្រយោជន៍ទេ។ Amazon បានកត់ត្រាការប៉ុនប៉ងមួយនៅថ្ងៃទី 17 ខែតុលា ហើយក្រោយមកបាននិយាយថា PHP2Shell ត្រូវបានទាញយកផលប្រយោជន៍យ៉ាងទូលំទូលាយ។ watchTowr បានរាយការណ៍ពីការទាញយកផលប្រយោជន៍នៅក្នុងធម្មជាតិ។ CISA មិនទាន់បានសង្កេតឃើញការទាញយកផលប្រយោជន៍នៅពេលបោះពុម្ពផ្សាយ ហើយក្រុម PHP មិនបានរកឃើញការទាញយកផលប្រយោជន៍ដែលដំណើរការនៅពេលចេញផ្សាយទេ។ ស្គ្រីបបង្ហាញពីគំរូដើមសាធារណៈជាច្រើនត្រូវបានគេរាយការណ៍ថាមិនដំណើរការ។
• ពិនិត្យមើលគ្រប់ទីកន្លែងដែល PHP ដំណើរការ រួមទាំងច្បាប់ចម្លងនៅខាងក្នុងកម្មវិធីផ្សេងទៀត អាប់ដេត ចាប់ផ្តើម worker ឡើងវិញ និងពិនិត្យមើលកំណត់ហេតុត្រឡប់ទៅថ្ងៃទី 17 ខែតុលា។

កំណត់ត្រាដែលបានបកប្រែ

បកប្រែចេញពីការនិទានដើមជាភាសាអង់គ្លេស។ សំឡេង និងចំណងជើងរងដែលមានគឺស្ថិតនៅក្រោមការគ្រប់គ្រងរបស់ YouTube។

តើនរណាបានព្យាយាម PHP2Shell បួនថ្ងៃមុន?

0:00 ការហាមឃាត់សុវត្ថិភាពត្រូវបានសន្មត់ថាធ្វើឱ្យកំហុសនៅស្ងៀមរហូតដល់បំណះចេញផ្សាយ។ Amazon បានកត់ត្រាការប៉ុនប៉ងប្រឆាំងនឹងកំហុសសំខាន់របស់ PHP បួនថ្ងៃមុន។ នៅក្នុងវីដេអូនេះ តើនរណាបានរកឃើញវា? តើការហាមឃាត់បានបែកធ្លាយដោយរបៀបណា? ហើយតើវាអាក្រក់ប៉ុណ្ណាដែរ? ហើយក្រុមហ៊ុនដែលត្រូវបានស្តីបន្ទោសចំពោះការបែកធ្លាយមានការការពារដែលខ្ញុំមិនបានរំពឹងទុក។ ខ្ញុំនឹងទៅដល់វា។ វាគឺថ្ងៃព្រហស្បតិ៍ ទីម្ភៃពីរ ខែតុលា ហើយនេះគឺជា The Daily Diff។

0:21 PHP គឺជាភាសាស្គ្រីបដែលបង្កើតទំព័រគេហទំព័រនៅលើ server មុនពេលដែលវា ទៅដល់អ្នក។ វាមានអាយុជាងសាមសិបឆ្នាំហើយ តាមការប៉ាន់ស្មានមួយ ដំណើរការប្រហែលចិតសិបភាគរយនៃគេហទំព័រ រួមទាំង WordPress និងកម្មវិធី នៅពីក្រោយ Wikipedia។ អ្នកអភិវឌ្ឍន៍ចូលចិត្តចំអកវា ជាធម្មតាពីទំព័រដែល PHP កំពុងបម្រើ ពួកគេ។ ការថែទាំរបស់វាគឺជាអង្គការមិនរកប្រាក់ចំណេញដែលមានវិស្វករប្រហែលដប់បីនាក់។

តើកំហុស PHP2Shell ទាំងពីរជាអ្វី?

0:41 នៅថ្ងៃពុធ PHP បានចេញផ្សាយការជួសជុលជាបន្ទាន់សម្រាប់ចំណុចខ្សោយសំខាន់ពីរដែលអនុញ្ញាតឱ្យ ជនបរទេសដំណើរការលេខកូដនៅលើ server ដោយគ្មានការចូល។ ពួកគេត្រូវបានគេហៅថា PHP2Shell ហើយពួកគេមានតាំងពី PHP ប្រាំ ចំណុចបួន។ នេះគឺជាកំហុសដំបូងជាភាសាធម្មតា។ PHP ផ្តល់ឱ្យគ្រប់សំណើនូវថវិកាអង្គចងចាំ។ ប្រសិនបើសំណើឈានដល់ដែនកំណត់នោះនៅពេលខុស PHP បរាជ័យក្នុងភាពប្រញាប់ប្រញាល់ហើយទុកសំណើមិនទាន់បានបញ្ចប់។ បន្ទាប់មកជំហានសម្អាតជឿទុកចិត្តលើអ្វីដែលមិនទាន់បានបញ្ចប់។

1:07 កំហុសទីពីរគឺជាអ្វីដែលនៅសេសសល់។ កំហុសធ្ងន់ធ្ងរអាចបន្សល់ទុកកំណត់ចំណាំដែលចង្អុលទៅអង្គចងចាំដែលជាកម្មសិទ្ធិរបស់ សំណើចុងក្រោយ។ worker តែមួយដោះស្រាយសំណើបន្ទាប់ហើយធ្វើតាមកំណត់ចំណាំ។ នៅពេលនោះមាននរណាម្នាក់ផ្សេងទៀតរស់នៅអាសយដ្ឋាននោះ។ នៅលើ Apache ជាមួយ mod PHP ការខូចខាតកើតឡើងមុនពេលលេខកូដរបស់អ្នកដំណើរការ ដូច្នេះទំព័រចូលរបស់អ្នកមិនដែលទទួលបានសម្លេងទេ។ Wiz និយាយថា សូម្បីតែស្គ្រីប hello world ក៏ត្រូវបានលាតត្រដាងដែរ។ ការជួសជុលលុបចោលការចេញបន្ទាន់របស់ PHP ចំពោះការអស់អង្គចងចាំ។

1:32 ជំនួសឱ្យការបរាជ័យពាក់កណ្តាលសំណើ PHP ឥឡូវនេះឈប់ដោយគួរសមនៅចំណុចសុវត្ថិភាពបន្ទាប់។ ផ្នែកចម្លែកគឺថាតើតម្រុយដំបូងមានអាយុប៉ុន្មាន។

ហេតុអ្វីបានជាកំហុសដែលគេស្គាល់រង់ចាំពីរឆ្នាំ?

1:39 ក្នុងឆ្នាំ 2024 ការត្រួតពិនិត្យសុវត្ថិភាពខាងក្រៅបាននាំអ្នកអភិវឌ្ឍន៍ស្នូល PHP ទៅកាន់ សញ្ញាដំបូងនៃបញ្ហាអង្គចងចាំ។ មិនមានការទាញយកផលប្រយោជន៍ត្រូវបានគេដឹងទេ ហើយរាល់ការជួសជុលបានធ្វើឱ្យខូចអ្វីមួយ។ ក្រុមដែលសម្រេចចិត្តដោយការយល់ស្របមិនអាចជ្រើសរើសបាន ដូច្នេះកំហុសបានរង់ចាំ។ បន្ទាប់មកនៅខែសីហា អ្នកស្វែងរកបានមកដល់ក្នុងរយៈពេលប៉ុន្មានថ្ងៃ។

តើនរណាបានរកឃើញ PHP2Shell និងដោយរបៀបណា?

1:56 អ្នកស្រាវជ្រាវ Calif លោក Ryan Austin បានរកឃើញវានៅថ្ងៃទី 1 ខែសីហា ធ្វើការតាមរយៈកម្មវិធី Patch the Planet របស់ OpenAI។ OpenAI បានរាយការណ៍ពីមូលហេតុឫសគល់ដូចគ្នាដោយឯករាជ្យ។ Wiz បានរកឃើញប្រភេទផ្សេងៗគ្នាប៉ុន្មានសប្តាហ៍ក្រោយមកជាមួយម៉ូដែល Gemini និង GPT។ Austin និយាយថាគាត់បានប្រើម៉ូដែលដែលអ្នកណាក៏អាចទទួលបាន រួមជាមួយនឹងទ្រឹស្តីអំពីកន្លែងដែលកំហុសចាស់របស់ PHP លាក់ខ្លួន។ OpenAI និយាយថា AI ជឿនលឿនគឺជាគន្លឹះ។ កំហុសបានលាក់ខ្លួនអស់រយៈពេលជាងមួយទសវត្សរ៍។ ការចេញផ្សាយត្រូវបានគ្រោងទុកសម្រាប់ថ្ងៃព្រហស្បតិ៍។

តើការហាមឃាត់ PHP2Shell បានបែកធ្លាយដោយរបៀបណា?

2:21 នៅថ្ងៃអង្គារ លេខ CVE ទាំងពីរបានចាប់ផ្តើមផ្សព្វផ្សាយតាមអ៊ីនធឺណិត ជាមួយនឹងពេលវេលាចេញផ្សាយខុស និងពិន្ទុខុសនៃដប់។ PHP បានទាញការចេញផ្សាយទៅមុខមួយថ្ងៃ។ ល្ងាចនោះ Calif បានបោះពុម្ពវីដេអូនៃគំរូដើមរបស់ខ្លួនដោយចៃដន្យ ដំណើរការ ហើយច្បាប់ចម្លងបានរស់រានមានជីវិតពីការលុបបំបាត់។ នៅព្រឹកថ្ងៃពុធ ជាងប្រាំមួយម៉ោងមុនការចេញផ្សាយ Chainguard បានបោះពុម្ពរូបភាពដែលបានបង្កើតឡើងដែលមានការជួសជុល។ PHP និយាយថា ជនវាយប្រហារណាម្នាក់អាចសិក្សាការជួសជុលនោះ ខណៈពេលដែលអ្នកផ្សេងទៀតរង់ចាំ។

2:46 បំណះក៏ជា diff មួយដែរ ហើយអ្នកវាយប្រហារអាន diffs។

តើ PHP2Shell កំពុងត្រូវបានទាញយកផលប្រយោជន៍ហើយឬនៅ និងដោយនរណា?

2:50 ដូច្នេះ តើនរណាពិតជាត្រូវបានរងផលប៉ះពាល់? honeypot របស់ Amazon បានកត់ត្រាការប៉ុនប៉ងមួយនៅថ្ងៃទី 17 ខែតុលា ហើយក្រោយមកបាននិយាយថា PHP2Shell ត្រូវបានទាញយកផលប្រយោជន៍យ៉ាងទូលំទូលាយ។ watchTowr រាយការណ៍ពីការទាញយកផលប្រយោជន៍នៅក្នុងធម្មជាតិ។ Cisa បាននិយាយថាខ្លួនមិនបានសង្កេតឃើញអ្វីទេនៅពេលបោះពុម្ពផ្សាយ ហើយក្រុម PHP មិនបានឃើញ ការទាញយកផលប្រយោជន៍ដែលដំណើរការនៅពេលចេញផ្សាយ។ នាយកប្រតិបត្តិរបស់ Cloudflare បាននិយាយថាខ្លួនបានឃើញការប៉ុនប៉ងរាប់ពាន់ដងក្នុងរយៈពេលដប់ម៉ោងមុន សេចក្តីប្រកាស និងរាប់លានដងនៅព្រឹកថ្ងៃព្រហស្បតិ៍។

3:13 Amazon មានការប្រុងប្រយ័ត្នលើចំណុចមួយ។ វាមិនដឹងថាការប៉ុនប៉ងដំបូងបំផុតរបស់វានឹងដំណើរការលើប្រព័ន្ធពិតប្រាកដឬអត់នោះទេ។ ការប៉ុនប៉ងគ្រាន់តែជាការគោះទ្វារប៉ុណ្ណោះ។ ដូច្នេះ តើវាអាក្រក់ប៉ុណ្ណាដែរ? watchTowr និយាយថា ការទាញយកផលប្រយោជន៍សាធារណៈដែលកំពុងរីករាលដាលភាគច្រើនគាំង ឬមិនធ្វើអ្វីទាំងអស់។ VulnCheck និយាយថា ការប្រតិបត្តិលេខកូដដំណើរការនៅក្នុងការរៀបចំមួយចំនួន ហើយគ្មាននរណាម្នាក់ក្នុងចំណោមការ សាធារណៈទាំងនោះវាយលុកការ randomization អង្គចងចាំនៅលើ server x86 ស្តង់ដារនោះទេ។ អ្នកស្រាវជ្រាវ Elias Taylor និយាយថា វាមិនងាយស្រួលដូច Log4Shell នោះទេ។

3:40 អ្នករាល់គ្នានៅតែនិយាយថាបំណះ។ រដ្ឋាភិបាលមិនបានរង់ចាំសាលក្រមនោះទេ។

តើរដ្ឋាភិបាលបានបិទអ្វីខ្លះ?

3:44 NSA បានប្រាប់អង្គការនានាដែលមិនអាចបំណះបានឱ្យបិទប្រព័ន្ធ PHP ក្រៅបណ្តាញ ហើយមជ្ឈមណ្ឌលសន្តិសុខតាមអ៊ីនធឺណិតជាតិរបស់ចក្រភពអង់គ្លេសបានផ្តល់ដំបូន្មានស្រដៀងគ្នា។ គេហទំព័រហូឡង់ រួមទាំងសេវាអត្តសញ្ញាណឌីជីថលជាតិ បានងងឹត រួមជាមួយគេហទំព័រប៉ូលីសប៉ារីស។ Wikimedia បានបិទប្រព័ន្ធជាច្រើនជាការប្រុងប្រយ័ត្ន។ Palo Alto Networks បានរាប់ករណីដែលត្រូវបានលាតត្រដាងជាងម្ភៃពីរលាន។ ហើយសាស្រ្តាចារ្យអូស្ត្រាលីម្នាក់បានលើកឡើងនូវចំណុចសំខាន់បំផុត។ គេហទំព័រដែលត្រូវព្រួយបារម្ភគឺគេហទំព័រដែលមិនបានបិទថ្ងៃនេះ។

តើ PHP កំណែណាខ្លះដែលទទួលបានការជួសជុល?

4:11 ការជួសជុលមានសម្រាប់ PHP ប្រាំបីចំណុចពីរ ដល់ប្រាំបីចំណុចប្រាំ។ សម្រាប់ប្រាំពីរចំណុចបួន ប្រាំបីចំណុចសូន្យ និងប្រាំបីចំណុចមួយ PHP បានបោះពុម្ពបំណះប្រភពតែប៉ុណ្ណោះ។ កំណែចាស់ៗមិនទទួលបានអ្វីពីគម្រោង PHP ទេ ដូច្នេះសូមសួរការចែកចាយរបស់អ្នក។ ដំណោះស្រាយកាត់បន្ថយឱកាស ប៉ុន្តែ PHP និយាយថាការអាប់ដេតគឺជាការ ជួសជុលពេញលេញតែមួយគត់។ វាគឺជាមេរៀនដូចវគ្គ eMudhra កាលពីម្សិលមិញ

តើអ្នកធ្វើអ្វីខ្លះអំពី PHP2Shell យប់នេះ?

4:32 ព្រោះការជួសជុលដែលមានស្រាប់មិនដូចដំណើរការដែលកំពុងដំណើរការដែលមានវានោះទេ។ ស្វែងរក PHP ទាំងអស់នៅក្នុង stack របស់អ្នក សូម្បីតែច្បាប់ចម្លងដែលលាក់នៅខាងក្នុងកម្មវិធីផ្សេងទៀតក៏ដោយ។ អាប់ដេត ចាប់ផ្តើម worker ឡើងវិញ និងពិនិត្យមើលកំណត់ហេតុត្រឡប់ទៅថ្ងៃទី 17 ខែតុលា។ នៅថ្ងៃដដែល GitLab បានចេញផ្សាយបំណះសំខាន់

តើមានអ្វីទៀតដែលបានចេញផ្សាយបំណះ RCE សំខាន់នៅថ្ងៃនេះ?

4:47 ដប់ប្រាំបួនចំណុចប្រាំចំណុចមួយ។ ការហៀរចំនួនគត់នៅក្នុង regular expression compiler អនុញ្ញាតឱ្យអ្នកប្រើដែលមិនបានផ្ទៀងផ្ទាត់ ដំណើរការលេខកូដនៅលើ server ហើយវាទទួលបានពិន្ទុដប់ក្នុងចំណោមដប់។ GitLab dot com ត្រូវបានបំណះរួចហើយ។ ការដំឡើងដែលគ្រប់គ្រងដោយខ្លួនឯងត្រូវការការអាប់ដេត។

ហេតុអ្វីបានជា Meta ត្រូវបានបញ្ជាឱ្យបង់ប្រាក់ 25 ពាន់លានដុល្លារ?

5:01 ទន្ទឹមនឹងនេះនៅ New Mexico ចៅក្រមម្នាក់បានបញ្ជាឱ្យ Meta បង់ប្រាក់ម្ភៃប្រាំពាន់លានដុល្លារ ជាការផាកពិន័យលើ Cambridge Analytica។ គណៈវិនិច្ឆ័យបានរាប់ការបំពានជាងសែសិបបីលានករណី ដែលមានតម្លៃរហូតដល់ប្រាំពាន់ ដុល្លារក្នុងមួយករណី ដែលមានប្រហែលពីររយម្ភៃពាន់លានមុនពេលចៅក្រម កាត់បន្ថយវា។ Meta និយាយថាខ្លួននឹងឈ្នះលើបណ្តឹងឧទ្ធរណ៍។ ឥឡូវនេះ ការការពារដែលខ្ញុំបានសន្យា។

តើការការពាររបស់ Chainguard ចំពោះការជួសជុលដំបូងគឺជាអ្វី?

5:19 នាយកប្រតិបត្តិរបស់ Chainguard បានប្រាប់ The Register ថាគាត់បានរកឃើញកំហុសដូចគ្នាដោយខ្លួនឯងនៅថ្ងៃសុក្រ មួយយប់ បន្ទាប់ពីដឹងថាមានអ្វីមួយកំពុងមកនៅក្នុង PHP ជាមួយនឹងការជំរុញជាមូលដ្ឋានដើម្បីស្វែងរក ចំណុចខ្សោយអាក្រក់។ គាត់និយាយថាគាត់បានចេញផ្សាយមុនព្រោះមនុស្សត្រូវបានរងផលប៉ះពាល់រួចហើយ។ ប្រសិនបើអ្នកចង់អាននេះជាជាងស្តាប់ខ្ញុំនិយាយវា diff មកដល់ប្រអប់សំបុត្ររបស់អ្នករៀងរាល់ព្រឹក ដោយឥតគិតថ្លៃនៅ the daily diff dot dev តំណភ្ជាប់ខាងក្រោម។ ដូច្នេះសាលក្រមថ្ងៃនេះគឺ SHIP IT។

តើអ្វីដែលទទួលបានត្រា SHIP IT?

5:39 ចេញផ្សាយការអាប់ដេត PHP យប់នេះ ព្រោះលេខកំណែថ្មីគឺជាការ ជួសជុលពេញលេញតែមួយគត់។ ហើយនោះគឺជា diff សម្រាប់ថ្ងៃនេះ។ ខ្ញុំឈ្មោះ Niko មកពី Axrisi។ បញ្ចូលគ្នាយ៉ាងមានទំនួលខុសត្រូវ។

ប្រភព

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News