PHP2Shell: രണ്ട് നിർണായക PHP പിഴവുകൾ, ചോർന്നുപോയ ഒരു നിരോധനം, ചൂഷണത്തെക്കുറിച്ച് യഥാർത്ഥത്തിൽ അറിയുന്നത് എന്താണ്

ഈ വീഡിയോയിൽ ഉൾപ്പെടുന്ന കാര്യങ്ങൾ

• രണ്ട് പിഴവുകൾക്കും PHP ടീം CVSS v4.0-ൽ 9.2 റേറ്റിംഗ് നൽകി. പരിഹരിച്ച റിലീസുകൾ PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 എന്നിവയാണ്; PHP 7.4, 8.0, 8.1 എന്നിവയ്ക്ക് സോഴ്സ് പാച്ചുകൾ മാത്രമാണ് ലഭിച്ചത്. പൂർണ്ണമായ ഏക പരിഹാരം അപ്ഡേറ്റ് ചെയ്യുക എന്നതാണ് PHP പറയുന്നത്.
• തെറ്റായ സമയത്ത് മെമ്മറി തീർന്നുപോകുമ്പോൾ PHP ഒരു അഭ്യർത്ഥന പകുതിയിൽ ഉപേക്ഷിക്കുന്നതാണ് ആദ്യത്തെ പിഴവ്. ഒരേ വർക്കറിലെ ഒരു പിന്നീടുള്ള അഭ്യർത്ഥനയ്ക്ക് ഉപയോഗിക്കാവുന്ന ഒരു അഭ്യർത്ഥനയുടെ മെമ്മറിയിലേക്കുള്ള ഒരു ശേഷിപ്പുള്ള പോയിന്ററാണ് രണ്ടാമത്തെ പിഴവ്. mod_php ഉള്ള Apache-ൽ ആദ്യത്തെ പാത ആപ്ലിക്കേഷൻ കോഡിന് മുൻപ് പ്രവർത്തിക്കുന്നു.
• ഒരു PHP കോർ ഡെവലപ്പർ 2024-ലെ ഒരു ഓഡിറ്റിനിടെ മെമ്മറി പ്രശ്നത്തിന്റെ ആദ്യ സൂചനകൾ കണ്ടെത്തി. PHP ഫൗണ്ടേഷൻ പറയുന്നത്, മത്സരിക്കുന്ന പരിഹാരങ്ങൾക്ക് ട്രേഡ്-ഓഫുകൾ ഉണ്ടായിരുന്നുവെന്നും, ഒരു സമവായ അടിസ്ഥാനത്തിലുള്ള സുരക്ഷാ ടീമിന് തിരഞ്ഞെടുക്കാൻ പ്രയാസപ്പെട്ടുവെന്നും, ഇതിനെ ഒരു ഘടനാപരമായ പരാജയം എന്ന് വിശേഷിപ്പിക്കുന്നു.
• ഫൗണ്ടേഷൻ പറയുന്നത്, ഒക്ടോബർ 20-ന് CVE ഐഡികൾ ചോർന്നുപോയെന്നും, Calif തെറ്റായി ഒരു പ്രൂഫ്-ഓഫ്-കൺസെപ്റ്റ് വീഡിയോ പ്രസിദ്ധീകരിച്ചെന്നും, Chainguard റിലീസിന് ആറ് മണിക്കൂറിലധികം മുൻപ് പരിഹാരത്തോടുകൂടിയ നിർമ്മിച്ച ചിത്രങ്ങൾ പ്രസിദ്ധീകരിച്ചെന്നും. Chainguard-ന്റെ CEO പറയുന്നത്, ആളുകൾക്ക് ഇതിനകം ആക്രമണം നേരിടുന്നുണ്ടായിരുന്നു എന്നും, താൻ ബഗുകൾ സ്വതന്ത്രമായി കണ്ടെത്തി എന്നും.
• ചൂഷണത്തെക്കുറിച്ച് ഉറവിടങ്ങൾ വിയോജിക്കുന്നു. ആമസോൺ ഒക്ടോബർ 17-ന് ഒരു ശ്രമം രേഖപ്പെടുത്തുകയും പിന്നീട് PHP2Shell വ്യാപകമായി ചൂഷണം ചെയ്യപ്പെട്ടുവെന്ന് പറയുകയും ചെയ്തു. watchTowr കാട്ടിൽ ചൂഷണം നടന്നതായി റിപ്പോർട്ട് ചെയ്തു. പ്രസിദ്ധീകരണ സമയത്ത് CISA ചൂഷണം നിരീക്ഷിച്ചിട്ടില്ല, കൂടാതെ റിലീസ് സമയത്ത് PHP ടീം പ്രവർത്തനക്ഷമമായ ഒരു ചൂഷണവും കണ്ടെത്തിയില്ല. പല പൊതു പ്രൂഫ്-ഓഫ്-കൺസെപ്റ്റ് സ്ക്രിപ്റ്റുകളും പ്രവർത്തിക്കുന്നില്ലെന്ന് റിപ്പോർട്ട് ചെയ്യപ്പെടുന്നു.
• മറ്റ് സോഫ്റ്റ്‌വെയറുകൾക്കുള്ളിലെ പകർപ്പുകൾ ഉൾപ്പെടെ PHP പ്രവർത്തിക്കുന്ന എല്ലാ സ്ഥലങ്ങളും പരിശോധിക്കുക, അപ്ഡേറ്റ് ചെയ്യുക, വർക്കറുകൾ പുനരാരംഭിക്കുക, ഒക്ടോബർ 17 മുതലുള്ള ലോഗുകൾ അവലോകനം ചെയ്യുക.

വിവർത്തനം ചെയ്ത ട്രാൻസ്ക്രിപ്റ്റ്

യഥാർത്ഥ ഇംഗ്ലീഷ് ആഖ്യാനത്തിൽ നിന്ന് വിവർത്തനം ചെയ്തത്. ലഭ്യമായ ഓഡിയോയും അടിക്കുറിപ്പുകളും YouTube നിയന്ത്രിക്കുന്നു.

ആരാണ് PHP2Shell നാല് ദിവസം മുൻപ് പരീക്ഷിച്ചത്?

0:00 ഒരു സുരക്ഷാ നിരോധനം, പാച്ച് ഷിപ്പ് ചെയ്യുന്നതുവരെ ഒരു ബഗ് രഹസ്യമായി സൂക്ഷിക്കാനാണ്. PHP യുടെ നിർണായക ബഗിനെതിരെയുള്ള ഒരു ശ്രമം ആമസോൺ നാല് ദിവസം മുൻപ് രേഖപ്പെടുത്തി. ഈ വീഡിയോയിൽ, ആരാണ് ഇത് കണ്ടെത്തിയത്? നിരോധനം എങ്ങനെ ചോർന്നു? യഥാർത്ഥത്തിൽ ഇത് എത്രത്തോളം മോശമാണ്? ചോർച്ചയ്ക്ക് കുറ്റം ചുമത്തിയ കമ്പനിക്ക് ഞാൻ പ്രതീക്ഷിക്കാത്ത ഒരു പ്രതിരോധമുണ്ട്. ഞാൻ അതിലേക്ക് വരാം. ഇത് വ്യാഴാഴ്ച, ഒക്ടോബർ ഇരുപത്തിരണ്ട്, ഇത് The Daily Diff.

0:21 നിങ്ങളുടെ അടുത്തെത്തും മുൻപ് സെർവറിൽ വെബ് പേജുകൾ നിർമ്മിക്കുന്ന ഒരു സ്ക്രിപ്റ്റിംഗ് ഭാഷയാണ് PHP. ഇതിന് മുപ്പത് വർഷത്തിലധികം പഴക്കമുണ്ട്, ഒരു കണക്കനുസരിച്ച്, വേർഡ്പ്രസ്സും വിക്കിപീഡിയയുടെ പിന്നിലുള്ള സോഫ്റ്റ്‌വെയറും ഉൾപ്പെടെ എഴുപത് ശതമാനത്തോളം വെബ്സൈറ്റുകൾ ഇത് പ്രവർത്തിപ്പിക്കുന്നു. ഡെവലപ്പർമാർ ഇത് കളിയാക്കാൻ ഇഷ്ടപ്പെടുന്നു, സാധാരണയായി PHP അവർക്ക് നൽകുന്ന ഒരു പേജിൽ നിന്നാണ്. ഇതിന്റെ പരിപാലനം ഏകദേശം പതിമൂന്ന് എഞ്ചിനീയർമാരുള്ള ഒരു ലാഭേച്ഛയില്ലാത്ത സ്ഥാപനമാണ്.

എന്താണ് രണ്ട് PHP2Shell ബഗുകൾ?

0:41 ബുധനാഴ്ച, PHP രണ്ട് നിർണായക പിഴവുകൾക്ക് അടിയന്തര പരിഹാരങ്ങൾ നൽകി, ഇത് ഒരു അപരിചിതന് ലോഗിൻ ഇല്ലാതെ ഒരു സെർവറിൽ കോഡ് പ്രവർത്തിപ്പിക്കാൻ അനുവദിക്കുന്നു. ഒരുമിച്ച് അവയെ PHP2Shell എന്ന് വിളിക്കുന്നു, അവ PHP അഞ്ച് പോയിന്റ് നാല് വരെ എത്തുന്നു. ആദ്യത്തെ ബഗ് ലളിതമായ വാക്കുകളിൽ ഇതാ. PHP ഓരോ അഭ്യർത്ഥനയ്ക്കും ഒരു മെമ്മറി ബജറ്റ് നൽകുന്നു. ഒരു അഭ്യർത്ഥന കൃത്യമായി തെറ്റായ സമയത്ത് ആ പരിധിയിൽ എത്തുകയാണെങ്കിൽ, PHP തിടുക്കത്തിൽ പിൻവാങ്ങുകയും അഭ്യർത്ഥന പകുതിയിൽ ഉപേക്ഷിക്കുകയും ചെയ്യുന്നു. തുടർന്ന് വൃത്തിയാക്കൽ ഘട്ടം പകുതിയിൽ നിർമ്മിച്ച കാര്യത്തെ വിശ്വസിക്കുന്നു.

1:07 രണ്ടാമത്തെ ബഗ് ഒരു ശേഷിപ്പാണ്. ഒരു ഗുരുതരമായ പിഴവ് അവസാന അഭ്യർത്ഥനയുടെ മെമ്മറിയിലേക്ക് ഒരു കുറിപ്പ് അവശേഷിപ്പിച്ചേക്കാം. അതേ വർക്കർ അടുത്ത അഭ്യർത്ഥന കൈകാര്യം ചെയ്യുകയും കുറിപ്പ് പിന്തുടരുകയും ചെയ്യുന്നു. അപ്പോഴേക്കും മറ്റൊരാൾ ആ വിലാസത്തിൽ താമസിക്കുന്നു. mod PHP ഉള്ള Apache-ൽ, നിങ്ങളുടെ സ്വന്തം കോഡ് പ്രവർത്തിക്കുന്നതിന് മുൻപാണ് കേടുപാടുകൾ സംഭവിക്കുന്നത്, അതിനാൽ നിങ്ങളുടെ ലോഗിൻ പേജിന് ഒരിക്കലും വോട്ട് ലഭിക്കില്ല. ഒരു ഹലോ വേൾഡ് സ്ക്രിപ്റ്റ് പോലും അപകടത്തിലാണെന്ന് Wiz പറയുന്നു. മെമ്മറി തീർന്നുപോകുമ്പോൾ PHP യുടെ അടിയന്തര എക്സിറ്റ് പരിഹാരം നീക്കം ചെയ്യുന്നു.

1:32 അഭ്യർത്ഥനയുടെ മധ്യത്തിൽ പിൻവാങ്ങുന്നതിന് പകരം, PHP ഇപ്പോൾ അടുത്ത സുരക്ഷിതമായ ഘട്ടത്തിൽ മാന്യമായി നിർത്തുന്നു. ആദ്യത്തെ സൂചന എത്ര പഴയതാണ് എന്നതാണ് വിചിത്രമായ ഭാഗം.

ഒരു അറിയപ്പെടുന്ന ബഗ് എന്തുകൊണ്ട് രണ്ട് വർഷം കാത്തിരുന്നു?

1:39 2024-ൽ, ഒരു പുറമെയുള്ള സുരക്ഷാ ഓഡിറ്റ് ഒരു PHP കോർ ഡെവലപ്പറെ മെമ്മറി പ്രശ്നത്തിന്റെ ആദ്യ സൂചനകളിലേക്ക് നയിച്ചു. ചൂഷണം ഒന്നും അറിയപ്പെട്ടിരുന്നില്ല, ഓരോ പരിഹാരവും എന്തെങ്കിലും തകർത്തു. സമവായത്തിലൂടെ തീരുമാനമെടുക്കുന്ന ഒരു ടീമിന് തിരഞ്ഞെടുക്കാൻ കഴിഞ്ഞില്ല, അതിനാൽ ബഗ് കാത്തിരുന്നു. പിന്നീട് ഓഗസ്റ്റിൽ, കണ്ടെത്തുന്നവർ ദിവസങ്ങൾക്കുള്ളിൽ എത്തി.

ആരാണ് PHP2Shell കണ്ടെത്തിയത്, എങ്ങനെ?

1:56 Calif ഗവേഷകൻ റയാൻ ഓസ്റ്റിൻ ഓഗസ്റ്റ് ഒന്നിന് അത് കണ്ടെത്തി, OpenAI യുടെ പാച്ച് ദി പ്ലാനറ്റ് പ്രോഗ്രാം വഴി പ്രവർത്തിക്കുമ്പോൾ. OpenAI അതേ മൂലകാരണം സ്വതന്ത്രമായി റിപ്പോർട്ട് ചെയ്തു. ജെമിനിയും GPT മോഡലുകളും ഉപയോഗിച്ച് Wiz ഏതാനും ആഴ്ചകൾക്ക് ശേഷം വകഭേദങ്ങൾ കണ്ടെത്തി. ആർക്കും ലഭിക്കാവുന്ന മോഡലുകളും PHP യുടെ പഴയ ബഗുകൾ എവിടെയാണ് ഒളിച്ചിരിക്കുന്നതെന്നതിനെക്കുറിച്ചുള്ള ഒരു സിദ്ധാന്തവും താൻ ഉപയോഗിച്ചുവെന്ന് ഓസ്റ്റിൻ പറയുന്നു. പ്രധാന AI ആയിരുന്നു പ്രധാനം എന്ന് OpenAI പറയുന്നു. ഒരു പതിറ്റാണ്ടിലധികം ബഗ് ഒളിച്ചിരിക്കുകയായിരുന്നു. വ്യാഴാഴ്ചയായിരുന്നു റിലീസ് നിശ്ചയിച്ചിരുന്നത്.

PHP2Shell നിരോധനം എങ്ങനെ ചോർന്നു?

2:21 ചൊവ്വാഴ്ച, രണ്ട് CVE നമ്പറുകൾ ഓൺലൈനിൽ പ്രചരിക്കാൻ തുടങ്ങി, തെറ്റായ റിലീസ് സമയവും പത്തിന്റെ തെറ്റായ സ്കോറുമായി. PHP റിലീസ് ഒരു ദിവസം മുന്നോട്ട് മാറ്റി. അന്ന് വൈകുന്നേരം, Calif ആകസ്മികമായി അതിന്റെ പ്രൂഫ് ഓഫ് കൺസെപ്റ്റിന്റെ ഒരു വീഡിയോ പ്രവർത്തിക്കുന്നത് പ്രസിദ്ധീകരിച്ചു, കൂടാതെ പകർപ്പുകൾ ഇല്ലാതാക്കിയതിന് ശേഷവും നിലനിന്നു. ബുധനാഴ്ച രാവിലെ, റിലീസിന് ആറ് മണിക്കൂറിലധികം മുൻപ്, Chainguard പരിഹാരമുള്ള നിർമ്മിച്ച ചിത്രങ്ങൾ പ്രസിദ്ധീകരിച്ചു. മറ്റെല്ലാവരും കാത്തിരിക്കുമ്പോൾ ഏതൊരു ആക്രമണകാരിക്കും ആ പരിഹാരം പഠിക്കാൻ കഴിയുമായിരുന്നുവെന്ന് PHP പറയുന്നു.

2:46 ഒരു പാച്ച് ഒരു diff കൂടിയാണ്, ആക്രമണകാരികൾ diffs വായിക്കുന്നു.

PHP2Shell ചൂഷണം ചെയ്യപ്പെടുന്നുണ്ടോ, ആരാണ് ചെയ്യുന്നത്?

2:50 അപ്പോൾ യഥാർത്ഥത്തിൽ ആർക്കാണ് ആക്രമണം നേരിടുന്നത്? ആമസോണിന്റെ ഹണിപോട്ട് ഒക്ടോബർ പതിനേഴിന് ഒരു ശ്രമം രേഖപ്പെടുത്തുകയും പിന്നീട് PHP2Shell വ്യാപകമായി ചൂഷണം ചെയ്യപ്പെടുന്നു എന്ന് പറയുകയും ചെയ്തു. watchTowr കാട്ടിൽ ചൂഷണം നടന്നതായി റിപ്പോർട്ട് ചെയ്യുന്നു. പ്രസിദ്ധീകരിച്ചപ്പോൾ താൻ ഒന്നും നിരീക്ഷിച്ചിട്ടില്ലെന്ന് Cisa പറഞ്ഞു, കൂടാതെ റിലീസ് സമയത്ത് PHP ടീം പ്രവർത്തനക്ഷമമായ ഒരു ചൂഷണവും കണ്ടില്ല. പ്രഖ്യാപനത്തിന് മുൻപുള്ള പത്ത് മണിക്കൂറിനുള്ളിൽ ആയിരക്കണക്കിന് ശ്രമങ്ങളും വ്യാഴാഴ്ച രാവിലെ ദശലക്ഷക്കണക്കിന് ശ്രമങ്ങളും കണ്ടതായി Cloudflare-ന്റെ CEO പറഞ്ഞു. ഒരു കാര്യത്തിൽ ആമസോൺ ശ്രദ്ധാലുവാണ്. അതിന്റെ ആദ്യകാല ശ്രമങ്ങൾ ഒരു യഥാർത്ഥ സിസ്റ്റത്തിൽ പ്രവർത്തിക്കുമായിരുന്നോ എന്ന് അവർക്ക് അറിയില്ല.

3:13 ഒരു ശ്രമം വാതിലിൽ ഒരു മുട്ടൽ മാത്രമാണ്. അപ്പോൾ യഥാർത്ഥത്തിൽ ഇത് എത്രത്തോളം മോശമാണ്? ചുറ്റും പറക്കുന്ന പൊതു ചൂഷണങ്ങൾ മിക്കവാറും തകരുകയോ ഒന്നും ചെയ്യാതിരിക്കുകയോ ചെയ്യുമെന്ന് watchTowr പറയുന്നു. ചില സജ്ജീകരണങ്ങളിൽ കോഡ് എക്സിക്യൂഷൻ പ്രവർത്തിക്കുമെന്ന് VulnCheck പറയുന്നു, പൊതുവായവയിൽ ഒന്നും സാധാരണ x86 സെർവറുകളിൽ മെമ്മറി റാൻഡമൈസേഷനെ തോൽപ്പിക്കില്ല. Log4Shell പോലെ അത്ര എളുപ്പമല്ലെന്ന് ഗവേഷകൻ ഏലിയാസ് ടെയ്ലർ പറയുന്നു. എല്ലാവരും ഇപ്പോഴും പാച്ച് എന്ന് പറയുന്നു. സർക്കാരുകൾ വിധിക്ക് കാത്തിരുന്നില്ല.

3:40 പാച്ച് ചെയ്യാൻ കഴിയാത്ത സ്ഥാപനങ്ങളോട് PHP സിസ്റ്റങ്ങൾ ഓഫ്‌ലൈനാക്കാൻ NSA പറഞ്ഞു, കൂടാതെ യുകെയുടെ നാഷണൽ സൈബർ സെക്യൂരിറ്റി സെന്ററും സമാനമായ ഉപദേശം നൽകി.

സർക്കാരുകൾ എന്താണ് ഓഫ്‌ലൈനാക്കിയത്?

3:44 ദേശീയ ഡിജിറ്റൽ ഐഡന്റിറ്റി സേവനം ഉൾപ്പെടെയുള്ള ഡച്ച് സൈറ്റുകൾ, ഒരു പാരീസ് പോലീസ് സൈറ്റിനൊപ്പം ഇരുട്ടിലായി. വിക്കിമീഡിയ മുൻകരുതലെന്ന നിലയിൽ നിരവധി സിസ്റ്റങ്ങൾ ഓഫ്‌ലൈനാക്കി. പാലോ ആൾട്ടോ നെറ്റ്‌വർക്കുകൾ ഇരുപത്തിരണ്ട് ദശലക്ഷത്തിലധികം തുറന്നുകാട്ടപ്പെട്ട ഇൻസ്റ്റൻസുകൾ എണ്ണി. ഒരു ഓസ്‌ട്രേലിയൻ പ്രൊഫസർ ഏറ്റവും മൂർച്ചയുള്ള കാര്യം പറഞ്ഞു. ഇന്ന് ഡൗൺ ആകാത്ത സൈറ്റുകളാണ് വിഷമിക്കേണ്ടത്. PHP എട്ട് പോയിന്റ് രണ്ട് മുതൽ എട്ട് പോയിന്റ് അഞ്ച് വരെയുള്ള പതിപ്പുകൾക്ക് പരിഹാരങ്ങൾ നിലവിലുണ്ട്. ഏഴ് പോയിന്റ് നാല്, എട്ട് പോയിന്റ് ഓ, എട്ട് പോയിന്റ് ഒന്ന് എന്നിവയ്ക്ക്,

ഏത് PHP പതിപ്പുകൾക്കാണ് പരിഹാരം ലഭിക്കുന്നത്?

4:11 PHP സോഴ്സ് പാച്ചുകൾ മാത്രമാണ് പ്രസിദ്ധീകരിച്ചത്. പഴയ പതിപ്പുകൾക്ക് PHP പ്രോജക്റ്റിൽ നിന്ന് ഒന്നും ലഭിക്കില്ല, അതിനാൽ നിങ്ങളുടെ വിതരണത്തോട് ചോദിക്കുക. താൽക്കാലിക പരിഹാരങ്ങൾ സാധ്യത കുറയ്ക്കുന്നു, എന്നാൽ അപ്ഡേറ്റ് ചെയ്യുക എന്നതാണ് ഏക സമ്പൂർണ്ണ പരിഹാരം എന്ന് PHP പറയുന്നു. ഇന്നലത്തെ eMudhra എപ്പിസോഡിലെ അതേ പാഠമാണിത്, കാരണം ഒരു പരിഹാരം നിലവിലുണ്ടെന്നത് പ്രവർത്തിക്കുന്ന പ്രോസസ്സിന് അത് ഉണ്ടെന്നതിന് തുല്യമല്ല. നിങ്ങളുടെ സ്റ്റാക്കിലെ എല്ലാ PHP-യും കണ്ടെത്തുക, മറ്റ് സോഫ്റ്റ്‌വെയറുകളിൽ ഒളിച്ചിരിക്കുന്ന പകർപ്പുകൾ പോലും.

ഇന്ന് രാത്രി PHP2Shell നെക്കുറിച്ച് നിങ്ങൾ എന്തുചെയ്യണം?

4:32 അപ്ഡേറ്റ് ചെയ്യുക, വർക്കറുകൾ പുനരാരംഭിക്കുക, ഒക്ടോബർ പതിനേഴ് വരെയുള്ള ലോഗുകൾ പരിശോധിക്കുക. അതേ ദിവസം, GitLab ഒരു നിർണായക പാച്ച് റിലീസ് നൽകി, പത്തൊൻപത് പോയിന്റ് അഞ്ച് പോയിന്റ് ഒന്ന്. അതിന്റെ റെഗുലർ എക്സ്പ്രഷൻ കംപൈലറിലെ ഒരു ഇന്റിജർ ഓവർഫ്ലോ ഒരു പ്രാമാണീകരിക്കാത്ത

മറ്റെന്താണ് ഇന്ന് ഒരു നിർണ്ണായക RCE പാച്ച് നൽകിയത്?

4:47 ഉപയോക്താവിനെ സെർവറിൽ കോഡ് പ്രവർത്തിപ്പിക്കാൻ അനുവദിക്കുന്നു, ഇതിന് പത്തിൽ പത്ത് സ്കോർ ഉണ്ട്. GitLab ഡോട്ട് കോം ഇതിനകം പാച്ച് ചെയ്തിട്ടുണ്ട്. സ്വയം നിയന്ത്രിക്കുന്ന ഇൻസ്റ്റാളേഷനുകൾക്ക് അപ്ഡേറ്റ് ആവശ്യമാണ്. അതേസമയം ന്യൂ മെക്സിക്കോയിൽ, കേംബ്രിഡ്ജ് അനലിറ്റിക്കയുമായി ബന്ധപ്പെട്ട് ഇരുപത്തിയഞ്ച് ബില്യൺ ഡോളർ പിഴയടയ്ക്കാൻ ഒരു ജഡ്ജി മെറ്റയോട് ഉത്തരവിട്ടു. ജൂറി നാല്പത്തിമൂന്ന് ദശലക്ഷത്തിലധികം ലംഘനങ്ങൾ, ഓരോന്നിനും അയ്യായിരം ഡോളർ വരെ, എണ്ണി, ഇത് ജഡ്ജി വെട്ടിക്കുറയ്ക്കുന്നതിന് മുൻപ് ഏകദേശം ഇരുനൂറ്റി ഇരുപത് ബില്യൺ ആയിരുന്നു.

മെറ്റ എന്തുകൊണ്ടാണ് 25 ബില്യൺ ഡോളർ പിഴയടയ്ക്കാൻ ഉത്തരവിട്ടത്?

5:01 മെറ്റ അപ്പീലിൽ വിജയിക്കുമെന്ന് പറയുന്നു. ഇപ്പോൾ ഞാൻ വാഗ്ദാനം ചെയ്ത പ്രതിരോധം. Chainguard-ന്റെ CEO ദി രജിസ്റ്ററിനോട് പറഞ്ഞു, PHP-യിൽ എന്തോ വരുന്നുണ്ടെന്ന് അറിഞ്ഞതിന് ശേഷം ഒരു വെള്ളിയാഴ്ച രാത്രി താൻ അതേ ബഗുകൾ സ്വയം കണ്ടെത്തിയെന്ന്, മോശം കേടുപാടുകൾ കണ്ടെത്താൻ ഒരു അടിസ്ഥാന പ്രോംപ്റ്റ് ഉപയോഗിച്ച്. ആളുകൾക്ക് ഇതിനകം ആക്രമണം നേരിടുന്നുണ്ടായിരുന്നതുകൊണ്ടാണ് താൻ നേരത്തെ ഷിപ്പ് ചെയ്തതെന്ന് അദ്ദേഹം പറയുന്നു. ഞാൻ ഇത് പറയുന്നത് കേൾക്കുന്നതിലും നല്ലത് വായിക്കുന്നതാണെങ്കിൽ, diff എല്ലാ ദിവസവും രാവിലെ നിങ്ങളുടെ ഇൻബോക്സിൽ സൗജന്യമായി the daily diff dot dev-ൽ എത്തുന്നു,

നേരത്തെയുള്ള പരിഹാരത്തിനുള്ള Chainguard-ന്റെ പ്രതിരോധം എന്താണ്?

5:19 ലിങ്ക് താഴെ. അതിനാൽ ഇന്നത്തെ വിധി SHIP IT. PHP അപ്ഡേറ്റ് ഇന്ന് രാത്രി ഷിപ്പ് ചെയ്യുക, കാരണം പുതിയ പതിപ്പ് നമ്പർ മാത്രമാണ് ഏക സമ്പൂർണ്ണ പരിഹാരം. അത് ഇന്നത്തെ diff ആണ്. ഞാൻ Axrisi-ൽ നിന്നുള്ള Niko ആണ്. ഉത്തരവാദിത്തത്തോടെ ലയിപ്പിക്കുക. അറിയിക്കുന്നതിനാണ് ഈ വീഡിയോ.

എന്താണ് SHIP IT സ്റ്റാമ്പ് ലഭിക്കുന്നത്?

5:39 ഇത് നിയമോപദേശമല്ല. അവരുടെ അവകാശവാദങ്ങൾ സ്ഥിരീകരിക്കാൻ നിങ്ങൾക്ക് നിങ്ങളുടെ സ്വന്തം ഗവേഷണം ആവശ്യമാണ്. അങ്ങനെ PHP2Shell-ൽ നിന്നുള്ള അപ്ഡേറ്റുകൾ ഇവിടെ അവസാനിക്കുന്നു. നിങ്ങൾക്ക് ഈ വീഡിയോ ഇഷ്ടപ്പെട്ടെങ്കിൽ, ലൈക്ക് ചെയ്യുക, സബ്സ്ക്രൈബ് ചെയ്യുക.

ഉറവിടങ്ങൾ

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News