PHP2Shell: PHP'деги эки олуттуу кемчиликтер, ачыкка чыккан эмбарго жана эксплуатация жөнүндө эмне белгилүү

Бул видео эмнелерди камтыйт

• Эки кемчилик тең PHP командасы тарабынан CVSS v4.0 боюнча 9.2 деп бааланган. Оңдолгон версиялар PHP 8.2.35, 8.3.36, 8.4.27 жана 8.5.12; PHP 7.4, 8.0 жана 8.1 гана баштапкы коддун жамаачыларын алышты. PHP жаңыртуу гана толук чечим деп эсептейт.
• Биринчи кемчилик PHP суроо-талапты туура эмес учурда эс тутуму түгөнгөндө жарым-жартылай калтырышынан келип чыгат. Экинчиси, бир суроо-талаптын эс тутумуна калган көрсөткүчтөн келип чыгат, аны ошол эле жумушчудагы кийинки суроо-талап колдоно алат. Apacheде mod_php менен биринчи жол колдонмо коду иштегенге чейин иштейт.
• PHPнын негизги иштеп чыгуучусу 2024-жылдагы аудит учурунда эс тутум көйгөйүнүн алгачкы белгилерин тапкан. PHP фонду атаандашкан оңдоолордун кемчиликтери болгон жана консенсуска негизделген коопсуздук тобу тандоодо кыйналган, муну алар структуралык ийгиликсиздик деп аташат.
• Фонддун айтымында, CVE IDлери 20-октябрда ачыкка чыгып, Calif кокусунан концепциянын видеосун жарыялаган, ал эми Chainguard оңдоо менен курулган сүрөттөрдү чыгаруудан алты сааттан ашык убакыт мурун жарыялаган. Chainguardдын башкы директору адамдар буга чейин эле жабыркап жатканын жана ал мүчүлүштүктөрдү өз алдынча тапканын айтты.
• Булактар ​​эксплуатация боюнча макул эмес. Amazon 17-октябрда аракетти каттап, кийинчерээк PHP2Shell кеңири эксплуатацияланганын айтты. watchTowr жапайы эксплуатацияны билдирди. CISA жарыяланган учурда эксплуатацияны байкаган эмес, ал эми PHP командасы чыгарууда эч кандай иштеген эксплуатацияны тапкан эмес. Көптөгөн коомдук концепциянын далил скрипттери иштебей турганы айтылат.
• PHP иштеген ар бир жерди, анын ичинде башка программалык камсыздоонун ичиндеги көчүрмөлөрүн текшериңиз, жаңыртыңыз, жумушчуларды кайра баштаңыз жана 17-октябрга чейинки журналдарды карап чыгыңыз.

Котормо стенограмма

Англис тилиндеги баштапкы баяндамадан которулган. Жеткиликтүү аудио жана коштомо жазуулар YouTube тарабынан көзөмөлдөнөт.

PHP2Shellди төрт күн эрте ким сынады?

0:00 Коопсуздук эмбаргосу жамаачы жөнөтүлгөнгө чейин катаны жашыруун сакташы керек. Amazon PHPнын олуттуу катасына төрт күн эрте болгон аракетти каттады. Бул видеодо, аны ким тапты? Эмбарго кантип ачыкка чыкты? Жана бул чындыгында канчалык жаман? Жана ачыкка чыккандыгы үчүн айыпталган компаниянын мен күтпөгөн коргонуусу бар. Мен ага жетем. Бейшемби, жыйырма экинчи октябрь, жана бул The Daily Diff.

0:21 PHP бул веб-баракчаларды серверде алар сизге жеткенге чейин түзүүчү скрипт тили. Ал отуз жылдан ашты жана бир баалоо боюнча, WordPress жана Wikipediaнын артындагы программалык камсыздоону кошкондо, веб-сайттардын жетимиш пайызын иштетет. Иштеп чыгуучулар аны шылдыңдаганды жакшы көрүшөт, адатта PHP аларды тейлеп жаткан барактан. Аны тейлөө он үч инженерден турган коммерциялык эмес уюм.

PHP2Shellдеги эки ката эмне?

0:41 Шаршемби күнү, PHP чоочун адамга кирүүсүз эле серверде код иштетүүгө мүмкүндүк берген эки олуттуу кемчилик үчүн чукул оңдоолорду чыгарды. Алар чогуу PHP2Shell деп аталат, жана алар PHP беш чекит төрткө чейин жетет. Мына биринчи ката жөнөкөй сөздөр менен. PHP ар бир суроо-талапка эс тутум бюджетин берет. Эгер суроо-талап ошол чекке так туура эмес учурда жетсе, PHP шашылыш түрдө чыгып кетет жана суроо-талапты жарым-жартылай калтырат. Андан кийин тазалоо кадамы жарым-жартылай курулган нерсеге ишенет. Экинчи ката бул калган нерсе.

1:07 Өлүмгө алып келген ката акыркы суроо-талапка таандык болгон эс тутумга көрсөткүчтү калтырышы мүмкүн. Ошол эле жумушчу кийинки суроо-талапты иштетет жана көрсөткүчтү ээрчийт. Ошол убакта ал даректе башка бирөө жашайт. Apacheде mod PHP менен, зыян сиздин өзүңүздүн кодуңуз иштегенге чейин болот, ошондуктан сиздин кирүү барагыңыз эч качан добуш бербейт. Wiz атүгүл hello world скрипти да ачыкка чыкканын айтат. Оңдоо PHPнын эс тутуму түгөнгөндөгү чукул чыгуусун алып салат. Суроо-талаптын ортосунан чыгып кетүүнүн ордуна, PHP азыр кийинки коопсуз жерде сылыктык менен токтойт.

1:32 Кызык жери биринчи маалымат канчалык эски экенинде. 2024-жылы, тышкы коопсуздук аудити PHPнын негизги иштеп чыгуучусун эс тутум көйгөйүнүн алгачкы белгилерине алып келди.

Эмне үчүн белгилүү ката эки жыл күттү?

1:39 Эч кандай эксплуатация белгилүү болгон эмес, жана ар бир оңдоо бир нерсени бузган. Консенсус менен чечим кабыл алган команда тандап ала алган жок, ошондуктан ката күттү. Андан кийин августта, табуучулар бир нече күндүн ичинде келишти. Calif изилдөөчүсү Ryan Austin аны биринчи август күнү тапкан, OpenAIнын Patch the Planet программасы аркылуу иштеп.

PHP2Shellди ким жана кантип тапкан?

1:56 OpenAI ошол эле негизги себепти өз алдынча билдирген. Wiz бир нече жумадан кийин Gemini жана GPT моделдери менен варианттарды тапкан. Austin ал ар ким ала турган моделдерди, плюс PHPнын эски каталары кайсы жерде жашырылгандыгы жөнүндө теорияны колдонгонун айтат. OpenAI чек ара AI негизги болгонун айтат. Ката он жылдан ашык убакыттан бери жашырылган. Чыгаруу бейшембиге пландаштырылган. Шейшемби күнү, эки CVE номери онлайн режиминде айлана баштады, туура эмес чыгаруу убактысы жана ондук туура эмес баа менен.

PHP2Shell эмбаргосу кантип ачыкка чыкты?

2:21 PHP чыгарууну бир күнгө алдыга жылдырды. Ошол кечинде, Calif кокусунан өзүнүн концепциясынын видеосун иштеп жаткандыгын жарыялады, жана көчүрмөлөр өчүрүлгөндөн кийин да сакталып калды. Шаршемби күнү эртең менен, чыгаруудан алты сааттан ашык убакыт мурун, Chainguard оңдоону камтыган курулган сүрөттөрдү жарыялады. PHP ар бир чабуулчу башкалар күтүп жатканда ошол оңдоону изилдей алат деп айтат. Жамаачы да дифференция, жана чабуулчулар дифференциаларды окушат. Анда чындыгында ким жабыркап жатат? Amazonдун honeypot 17-октябрда аракетти каттады жана кийинчерээк PHP2Shell кеңири эксплуатацияланганын айтты.

2:46 watchTowr жапайы эксплуатацияны билдирет.

PHP2Shell эксплуатацияланып жатабы, жана ким тарабынан?

2:50 Cisa жарыяланганда эч кандай байкабаганын айтты, ал эми PHP командасы чыгарууда эч кандай иштеген эксплуатацияны көргөн эмес. Cloudflareдин башкы директору жарыяланганга чейин он сааттын ичинде миңдеген аракеттерди, ал эми бейшемби күнү эртең менен миллиондогон аракеттерди көргөнүн айтты. Amazon бир жагдайга этият. Анын эң алгачкы аракеттери реалдуу системада иштемекпи же жокпу билбейт. Аракет бул жөн гана эшикти кагуу. Анда бул чындыгында канчалык жаман? watchTowr айтымында, коомдук эксплуатациялар негизинен кулап түшөт же эч нерсе кылбайт. VulnCheck кодду аткаруу кээ бир орнотууларда иштейт дейт, жана коомдуктарынын эч бири стандарттык x86 серверлериндеги эс тутумду рандомизацияны жеңбейт.

3:13 Изилдөөчү Elias Taylor Log4Shell сыяктуу жеңил эмес дейт. Баары дагы эле жамаачылоо керек дейт. Өкмөттөр чечимди күткөн жок. NSA жамаачылай албаган уюмдарга PHP системаларын оффлайнга алууну айтты, жана Улуу Британиянын Улуттук Кибер Коопсуздук Борбору ушундай эле кеңеш берди. Голландиялык сайттар, анын ичинде улуттук санариптик инсандыкты аныктоо кызматы, Париж полициясынын сайты менен кошо өчүп калды. Wikimedia бир нече системаны сактык чарасы катары өчүрдү.

3:40 Palo Alto Networks жыйырма эки миллиондон ашык ачыкка чыккан инстанцияны санады. Жана австралиялык профессор эң курч ойду айтты.

Өкмөттөр эмнени өчүрүп салышты?

3:44 Кабатырлануучу сайттар бүгүн өчүрүлбөгөндөр. PHP сегиз чекит экиден сегиз чекит бешке чейинки версиялары үчүн оңдоолор бар. Жети чекит төрт, сегиз чекит нөл жана сегиз чекит бир үчүн, PHP баштапкы коддун жамаачыларын гана жарыялады. Эски версиялар PHP долбоорунан эч нерсе албайт, ошондуктан дистрибуцияңызга кайрылыңыз. Жумушчу чечимдер мүмкүнчүлүктөрдү азайтат, бирок PHP жаңыртуу гана толук оңдоо дейт. Бул кечээки eMudhra эпизоду менен бирдей сабак, анткени оңдоонун болушу иштеп жаткан процесстин анык болушу менен бирдей эмес.

Кайсы PHP версиялары оңдоону алат?

4:11 Стекыңыздагы ар бир PHPди табыңыз, атүгүл башка программалык камсыздоонун ичинде жашырылган көчүрмөлөрдү да. Жаңыртыңыз, жумушчуларды кайра баштаңыз, жана 17-октябрга чейинки журналдарды текшериңиз. Ошол эле күнү, GitLab критикалык жамаачы чыгарууну жөнөттү, он тогуз чекит беш чекит бир. Анын регулярдуу туюнтуучу компиляторундагы бүтүн сандын ашып кетиши аутентификацияланбаган колдонуучуга серверде код иштетүүгө мүмкүндүк берет, жана ал ондон он упай алат.

Бүгүн PHP2Shell менен эмне кыласың?

4:32 GitLab.com буга чейин жамаачыланган. Өз алдынча башкарылган орнотуулар жаңыртууну талап кылат. Ошол эле учурда Нью-Мексикодо судья Metaга Cambridge Analytica боюнча айып катары жыйырма беш миллиард доллар төлөөгө буйрук берди. Жюри ар бири беш миң долларга чейинки кырк үч миллиондон ашык бузууларды санады, бул судья аны кыскартканга чейин эки жүз жыйырма миллиардга жакын болгон.

Дагы эмне бүгүн критикалык RCE жамаачысын чыгарды?

4:47 Meta апелляцияда утуп алам дейт. Эми мен убада кылган коргонуу. Chainguardдын башкы директору The Registerге PHPде бир нерсе келе жатканын билгенден кийин, жаман кемчиликтерди табуу үчүн жөнөкөй буйрук менен жума күнү кечинде ошол эле кемчиликтерди өзү тапканын айтты. Ал адамдар буга чейин эле жабыркап жаткандыктан, эрте жөнөткөнүн айтат. Эгер сиз муну менин айтканымдан көрө окуганды кааласаңыз, diff ар күнү эртең менен сиздин почтаңызга келет, daily diff dot dev дарегинде акысыз,

Эмне үчүн Meta 25 миллиард доллар төлөөгө буйрук алды?

5:01 шилтеме төмөндө. Ошентип, бүгүнкү өкүм SHIP IT. PHP жаңыртуусун бүгүн кечинде жөнөтүңүз, анткени жаңы версия номери гана толук оңдоо. Жана бүгүнкү дифференция ушул. Мен Axrisiден Нико. Жоопкерчилик менен бириктириңиз. The Registerге айтканына караганда, ал PHPде бир нерсе болуп жатканын уккандан кийин, "жаман аялуу жерлерди табуу" деген жөнөкөй суроо-талапты колдонуп, жума күнү кечинде ошол эле кемчиликтерди өзү тапкан.

Chainguard эрте оңдоо үчүн кандай коргонууну сунуштайт?

5:19 Ал жаңыртууну эрте чыгарганын, анткени адамдар буга чейин эле жабыркап жатканын айтат. Эгер сиз муну угуп отурбастан окугуңуз келсе, The Daily Diff сизге күн сайын эртең менен акысыз келип турат. Төмөндөгү шилтемени караңыз. Ошентип, бүгүнкү өкүм — SHIP IT. PHP жаңыртуусун бүгүн кечинде жөнөтүңүз, анткени жаңы версия гана толук оңдоо. Жана бүгүнкү айырмачылык ушул. Мен Axrisiден Нико.

SHIP IT штампын эмне алат?

5:39 Жоопкерчилик менен бириктириңиз. Бул The Daily Diff. Мен Axrisiден Нико. Жоопкерчилик менен бириктириңиз.

Булактар

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News