PHP2Shell: две критични PHP пропусти, ембарго што протече и што е всушност познато за експлоатација

Што покрива ова видео

• Двата пропусти се оценети со 9,2 на CVSS v4.0 од тимот на PHP. Фиксните изданија се PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12; PHP 7.4, 8.0 и 8.1 добија само изворни закрпи. PHP вели дека ажурирањето е единствената комплетна мерка.
• Првиот пропуст доаѓа од PHP кој остава барање полуизградено кога ќе остане без меморија во погрешен момент. Вториот доаѓа од преостанат покажувач на меморијата на едно барање што подоцна барање во истиот работник може да го користи. На Apache со mod_php првата патека се извршува пред кодот на апликацијата.
• Клучниот развивач на PHP ги пронајде првите знаци на меморискиот проблем за време на ревизија во 2024 година. PHP Фондацијата вели дека конкурентните поправки имале компромиси и безбедносниот тим базиран на консензус се борел да избере, што го нарекува структурна грешка.
• Фондацијата вели дека CVE ID-ите протекоа на 20 октомври, Calif по грешка објави видео со доказ за концепт, а Chainguard објави изградени слики со поправката повеќе од шест часа пред објавувањето. Извршниот директор на Chainguard вели дека луѓето веќе биле погодени и дека тој независно ги пронашол грешките.
• Изворите не се согласуваат околу експлоатацијата. Amazon забележа обид на 17 октомври и подоцна рече дека PHP2Shell е широко експлоатиран. watchTowr објави експлоатација во дивината. CISA не забележа експлоатација при објавувањето, а тимот на PHP не најде функционален експлоат при објавувањето. Многу јавни скрипти за доказ за концепт се пријавени дека не работат.
• Проверете ги сите места каде што работи PHP, вклучително и копиите во друг софтвер, ажурирајте, рестартирајте ги работниците и прегледајте ги дневниците до 17 октомври.

Преведен транскрипт

Преведено од оригиналната англиска нарација. Достапното аудио и наслови се контролирани од YouTube.

Кој го проба PHP2Shell четири дена порано?

0:00 Безбедносното ембарго треба да ја држи грешката тивка додека не се испрати закрпата. Amazon забележа обид против критичната грешка на PHP четири дена порано. Во ова видео, кој го пронајде? Како протече ембаргото? И колку е лошо, навистина? И компанијата обвинета за протекување има одбрана што не ја очекував. Ќе дојдам до тоа. Четврток е, дваесет и втори октомври, и ова е The Daily Diff.

0:21 PHP е скриптен јазик што гради веб-страници на серверот непосредно пред тие да стигнат до вас. Стар е повеќе од триесет години и, според една проценка, работи околу седумдесет проценти од веб-страниците, вклучувајќи го WordPress и софтверот зад Википедија. Развивачите сакаат да го исмеваат, обично од страница што им ја служи PHP. Неговото одржување е непрофитна организација со околу тринаесет инженери.

Кои се двете PHP2Shell грешки?

0:41 Во среда, PHP испорача итни поправки за две критични пропусти што му овозможуваат на странец да извршува код на сервер без најава. Заедно се нарекуваат PHP2Shell, и тие се враќаат на PHP пет точка четири. Еве ја првата грешка со едноставни зборови. PHP дава секое барање буџет за меморија. Ако барањето ја достигне таа граница во токму погрешен момент, PHP набрзина се откажува и го остава барањето полуизградено. Потоа чекорот за чистење му верува на полуизградената работа.

1:07 Втората грешка е остаток. Фатална грешка може да остави белешка што покажува на меморијата што припаѓала на последното барање. Истиот работник го обработува следното барање и ја следи белешката. Дотогаш некој друг живее на таа адреса. На Apache со mod PHP, штетата се случува пред да се изврши вашиот сопствен код, така што вашата страница за најава никогаш не добива глас. Wiz вели дека дури и скрипта „здраво свету“ е изложена. Поправката го отстранува итното излегување на PHP за истекување на меморија.

1:32 Наместо да се откажува среде барање, PHP сега учтиво застанува на следната безбедна точка. Чудниот дел е колку стара е првата индиција.

Зошто позната грешка чекаше две години?

1:39 Во 2024 година, надворешна безбедносна ревизија доведе клучниот развивач на PHP до првите знаци на меморискиот проблем. Не беше познат никаков експлоат, а секоја поправка нешто расипа. Тим што одлучува со консензус не можеше да избере, па грешката чекаше. Потоа во август, пронаоѓачите пристигнаа за неколку дена.

Кој го пронајде PHP2Shell и како?

1:56 Истражувачот на Calif, Рајан Остин, го пронајде на први август, работејќи преку програмата Patch the Planet на OpenAI. OpenAI независно ја пријави истата основна причина. Wiz пронајде варијанти неколку недели подоцна со моделите Gemini и GPT. Остин вели дека користел модели што секој може да ги добие, плус теорија за тоа каде се кријат старите грешки на PHP. OpenAI вели дека фронтиерската АИ била клучот. Грешката се криела повеќе од една деценија. Објавувањето беше планирано за четврток.

Како протече ембаргото за PHP2Shell?

2:21 Во вторник, двата CVE броја почнаа да циркулираат онлајн, со погрешно време на објавување и погрешен резултат од десет. PHP го повлече објавувањето еден ден порано. Таа вечер, Calif случајно објави видео од својот доказ за концепт што работи, и копиите го надживеаја бришењето. Во среда наутро, повеќе од шест часа пред објавувањето, Chainguard објави изградени слики кои ја содржат поправката. PHP вели дека секој напаѓач може да ја проучи таа поправка додека сите други чекале.

2:46 Закрпата е исто така дифф, а напаѓачите читаат диффови.

Дали PHP2Shell се експлоатира и од кого?

2:50 Значи, кој всушност е погоден? Honeypot-от на Amazon забележа обид на седумнаесетти октомври и подоцна рече дека PHP2Shell е широко експлоатиран. watchTowr пријавува експлоатација во дивината. Cisa рече дека не забележала ништо кога објавила, а тимот на PHP не видел работен експлоат при објавувањето. Извршниот директор на Cloudflare рече дека виделе илјадници обиди во десетте часа пред објавувањето, и милиони до четврток наутро.

3:13 Amazon е внимателен на една точка. Не знае дали неговите најрани обиди би работеле на вистински систем. Обидот е само тропање на вратата. Значи, колку е лошо, навистина? watchTowr вели дека јавните експлоати што летаат наоколу претежно се уриваат или не прават ништо. VulnCheck вели дека извршувањето на кодот работи во некои поставки, и ниту еден од јавните не ја надминува рандомизацијата на меморијата на стандардни x86 сервери. Истражувачот Елијас Тејлор вели дека воопшто не е толку лесно како Log4Shell.

3:40 Сите сè уште велат да се закрпи. Владите не чекаа на пресудата.

Што владите исклучија?

3:44 NSA им порача на организациите што не можеа да закрпат да ги исклучат PHP системите, а Националниот центар за кибер безбедност на Обединетото Кралство даде сличен совет. Холандските сајтови, вклучувајќи ја националната услуга за дигитален идентитет, се затемнија, заедно со сајт на париската полиција. Викимедија исклучи неколку системи како претпазливост. Palo Alto Networks изброи повеќе од дваесет и два милиони изложени инстанци. И еден австралиски професор ја истакна најострата поента. Сајтовите за кои треба да се грижите се оние што не се исклучени денес.

Кои PHP верзии добиваат поправка?

4:11 Поправки постојат за PHP осум точка два до осум точка пет. За седум точка четири, осум точка нула и осум точка еден, PHP објави само изворни закрпи. Постарите верзии не добиваат ништо од проектот PHP, па прашајте ја вашата дистрибуција. Привремените решенија ги намалуваат шансите, но PHP вели дека ажурирањето е единствената комплетна поправка. Тоа е истата лекција како и вчерашната епизода на eMudhra,

Што да правите за PHP2Shell вечерва?

4:32 бидејќи постоењето на поправка не е исто што и процесот што работи да ја има. Најдете го секој PHP во вашиот стек, дури и копиите што се кријат во друг софтвер. Ажурирајте, рестартирајте ги работниците и проверете ги дневниците до седумнаесетти октомври. Истиот ден, GitLab објави критична закрпа,

Што друго објави критична RCE закрпа денес?

4:47 деветнаесет точка пет точка еден. Претекување на цели броеви во неговиот компилатор за регуларни изрази му овозможува на неавтентициран корисник да извршува код на серверот, и тој добива десет од десет. GitLab.com е веќе закрпен. Самоуправуваните инсталации треба да се ажурираат.

Зошто Meta беше наложено да плати 25 милијарди долари?

5:01 Во меѓувреме во Ново Мексико, судија наложи Meta да плати дваесет и пет милијарди долари во казни поради Cambridge Analytica. Поротата изброи повеќе од четириесет и три милиони прекршувања по најмногу пет илјади долари секое, што изнесуваше околу двесте дваесет милијарди пред судијата да го намали. Meta вели дека ќе победи на жалба. Сега одбраната што ја ветив.

Која е одбраната на Chainguard за раната поправка?

5:19 Извршниот директор на Chainguard му рече на The Register дека сам ги пронашол истите грешки во петок навечер, откако дознал дека нешто доаѓа во PHP, со основен поттик да се најдат лоши ранливости. Тој вели дека испорачал рано бидејќе луѓето веќе биле погодени. Ако повеќе сакате да го прочитате ова отколку да ме слушнете како го кажувам, диффот пристигнува во вашето сандаче секое утро, бесплатно на the daily diff dot dev, линк подолу. Значи денешната пресуда е SHIP IT.

Што добива печат SHIP IT?

5:39 Испорачајте го PHP ажурирањето вечерва, бидејќ0и новиот број на верзија е единствената комплетна поправка. И тоа е диффот за денес. Јас сум Нико од Axrisi. Спојувајте одговорно.

Извори

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News