PHP2Shell: PHP मधील दोन गंभीर त्रुटी, फुटलेले निर्बंध आणि शोषणाबद्दल नेमकी काय माहिती आहे

या व्हिडिओमध्ये काय समाविष्ट आहे

• PHP टीमने दोन्ही त्रुटींना CVSS v4.0 वर 9.2 रेटिंग दिले आहे. निराकरण केलेल्या रिलीझ PHP 8.2.35, 8.3.36, 8.4.27 आणि 8.5.12 आहेत; PHP 7.4, 8.0 आणि 8.1 ला फक्त स्रोत पॅच मिळाले. PHP म्हणते की अपडेट करणे हेच एकमेव पूर्ण निवारण आहे.
• पहिली त्रुटी PHP मुळे येते जेव्हा चुकीच्या वेळी मेमरी संपल्यावर विनंती अर्धवट राहते. दुसरी त्याच वर्करमधील नंतरच्या विनंतीसाठी वापरली जाणारी एका विनंतीच्या मेमरीमधील एक उरलेली पॉइंटरमुळे येते. Apache वर mod_php सह, पहिला मार्ग ऍप्लिकेशन कोडच्या आधी चालतो.
• PHP कोर डेव्हलपरने 2024 च्या ऑडिटदरम्यान मेमरी समस्येची पहिली चिन्हे शोधली. PHP फाउंडेशन म्हणते की स्पर्धात्मक निराकरणांमध्ये अदलाबदल होती आणि एकमतावर आधारित सुरक्षा संघाला निवड करणे कठीण वाटले, ज्याला ते संरचनात्मक अपयश म्हणतात.
• फाउंडेशन म्हणते की CVE IDs 20 ऑक्टोबर रोजी फुटले, Calif ने चुकून एक प्रूफ-ऑफ-कन्सेप्ट व्हिडिओ प्रकाशित केला आणि Chainguard ने रिलीझच्या सहा तासांपेक्षा जास्त आधी निराकरणासह तयार केलेल्या प्रतिमा प्रकाशित केल्या. Chainguard च्या CEO चे म्हणणे आहे की लोकांना आधीच त्रास होत होता आणि त्यांनी स्वतंत्रपणे बग्स शोधले.
• शोषण (exploitation) बद्दल स्त्रोतांमध्ये मतभेद आहेत. Amazon ने 17 ऑक्टोबर रोजी एका प्रयत्नाची नोंद केली आणि नंतर सांगितले की PHP2Shell चा मोठ्या प्रमाणावर शोषण केला गेला. watchTowr ने प्रत्यक्षात शोषण झाल्याची नोंद केली. CISA ने प्रकाशनावेळी शोषण झाल्याचे पाहिले नव्हते, आणि PHP टीमला रिलीझवेळी कोणतीही कार्यक्षम शोषण सापडली नाही. अनेक सार्वजनिक प्रूफ-ऑफ-कन्सेप्ट स्क्रिप्ट्स काम करत नाहीत असे नोंदवले आहे.
• PHP जिथे जिथे चालते ती प्रत्येक जागा तपासा, ज्यात इतर सॉफ्टवेअरमधील प्रतींचा समावेश आहे, अपडेट करा, वर्कर रीस्टार्ट करा आणि 17 ऑक्टोबरपर्यंतचे लॉग पुनरावलोकन करा.

अनुवादित प्रतिलेख

मूळ इंग्रजी निवेदनातून अनुवादित. उपलब्ध ऑडिओ आणि मथळे YouTube द्वारे नियंत्रित आहेत.

PHP2Shell चा चार दिवस आधी कोणी प्रयत्न केला?

0:00 सुरक्षा निर्बंधाने पॅच पाठवण्यापूर्वी बग शांत ठेवणे अपेक्षित असते. Amazon ने PHP च्या गंभीर बगवर चार दिवस आधी एका प्रयत्नाची नोंद केली. या व्हिडिओमध्ये, ते कोणी शोधले? निर्बंध कसे फुटले? आणि ते खरोखर किती वाईट आहे? आणि गळतीसाठी जबाबदार ठरलेल्या कंपनीकडे एक बचाव आहे ज्याची मला अपेक्षा नव्हती. मी त्यावर येईल. आज गुरुवार, 22 ऑक्टोबर आहे आणि हे The Daily Diff आहे.

0:21 PHP ही एक स्क्रिप्टिंग भाषा आहे जी वेब पेजेस बनवते जी तुमच्यापर्यंत पोहोचण्यापूर्वीच सर्वरवर तयार होतात. ती तीस वर्षांहून अधिक जुनी आहे आणि एका अंदाजानुसार, सत्तर टक्के वेबसाइट्सवर चालते, ज्यात WordPress आणि Wikipedia च्या मागे असलेले सॉफ्टवेअर समाविष्ट आहे. डेव्हलपर्सना तिची खिल्ली उडवायला आवडते, सहसा PHP त्यांना सर्व्ह करत असलेल्या पेजवरून. तिची देखभाल सुमारे तेरा अभियंते असलेल्या ना-नफा संस्थेकडून होते. बुधवारी, PHP ने दोन गंभीर त्रुटींसाठी तातडीचे निराकरण पाठवले ज्यामुळे अनोळखी व्यक्ती लॉगिनशिवाय सर्वरवर कोड चालवू शकतात.

PHP2Shell मधील दोन बग्स काय आहेत?

0:41 त्यांना एकत्रितपणे PHP2Shell म्हणतात, आणि त्या PHP 5.4 पर्यंत पोहोचतात. येथे पहिली त्रुटी सोप्या शब्दात आहे. PHP प्रत्येक विनंतीला एक मेमरी बजेट देते. जर एखाद्या विनंतीने नेमक्या चुकीच्या क्षणी ती मर्यादा ओलांडली, तर PHP घाईघाईने बाहेर पडते आणि विनंती अर्धवट सोडते. नंतर साफसफाईची पायरी अर्धवट गोष्टीवर विश्वास ठेवते. दुसरा बग उरलेला आहे. एक गंभीर त्रुटी मेमरीकडे निर्देश करणारी एक नोंद सोडू शकते जी मागील विनंतीची होती. तोच वर्कर पुढील विनंती हाताळतो आणि त्या नोंदीचे अनुसरण करतो.

1:07 तोपर्यंत त्या पत्त्यावर दुसरी कोणीतरी राहते. mod_php सह Apache वर, तुमचे स्वतःचे कोड चालण्यापूर्वीच नुकसान होते, त्यामुळे तुमच्या लॉगिन पेजला कधीही मत मिळत नाही. Wiz म्हणते की अगदी 'हॅलो वर्ल्ड' स्क्रिप्ट देखील असुरक्षित आहे. निराकरण मेमरी संपल्यावर PHP च्या आपत्कालीन बाहेर पडण्याची सुविधा काढून टाकते. विनंतीच्या मध्यभागी बाहेर पडण्याऐवजी, PHP आता पुढील सुरक्षित ठिकाणी सौजन्याने थांबते. विचित्र गोष्ट ही आहे की पहिला संकेत किती जुना आहे. 2024 मध्ये, एका बाहेरील सुरक्षा ऑडिटमुळे PHP कोर डेव्हलपरला मेमरी समस्येची पहिली चिन्हे मिळाली. कोणतेही शोषण ज्ञात नव्हते, आणि प्रत्येक निराकरण काहीतरी मोडत होते.

1:32 एकमताने निर्णय घेणारा संघ निवड करू शकला नाही, त्यामुळे बग थांबला. नंतर ऑगस्टमध्ये, शोधक काही दिवसांत पोहोचले.

एखादा ज्ञात बग दोन वर्षे का थांबला?

1:39 Calif संशोधक रायन ऑस्टिनने ते 1 ऑगस्ट रोजी शोधले, OpenAI च्या Patch the Planet प्रोग्रामद्वारे काम करताना. OpenAI ने स्वतंत्रपणे त्याच मूळ कारणाची नोंद केली. Wiz ने काही आठवड्यांनंतर Gemini आणि GPT मॉडेल्ससह प्रकार शोधले. ऑस्टिन म्हणतो की त्याने कोणालाही उपलब्ध असलेले मॉडेल्स वापरले, तसेच PHP च्या जुन्या बग्स कुठे लपतात याबद्दलचा एक सिद्धांत वापरला. OpenAI म्हणते की फ्रंटियर AI ही मुख्य गोष्ट होती.

PHP2Shell कोणी शोधला, आणि कसा?

1:56 बग एका दशकाहून अधिक काळ लपून बसला होता. रिलीझ गुरुवारी नियोजित होती. मंगळवारी, दोन CVE क्रमांक ऑनलाइन प्रसारित होऊ लागले, चुकीच्या रिलीझ वेळेसह आणि दहाच्या चुकीच्या स्कोअरसह. PHP ने रिलीझ एक दिवस आधी आणली. त्याच संध्याकाळी, Calif ने चुकून तिच्या प्रूफ-ऑफ-कन्सेप्टचा व्हिडिओ प्रकाशित केला. आणि कॉपीज हटवल्यानंतरही राहिल्या. बुधवारी सकाळी, रिलीझच्या सहा तासांपेक्षा जास्त आधी,

PHP2Shell चे निर्बंध कसे फुटले?

2:21 Chainguard ने निराकरणासह तयार केलेल्या प्रतिमा प्रकाशित केल्या. PHP म्हणते की कोणताही हल्लेखोर इतर सर्वजण वाट पाहत असताना त्या निराकरणाचा अभ्यास करू शकला असता. पॅच म्हणजे एक diff देखील आहे, आणि हल्लेखोर diffs वाचतात. तर प्रत्यक्षात कोणाला त्रास होत आहे? Amazon च्या honeypot ने 17 ऑक्टोबर रोजी एका प्रयत्नाची नोंद केली आणि नंतर सांगितले की PHP2Shell चा मोठ्या प्रमाणावर शोषण केला गेला. watchTowr ने प्रत्यक्षात शोषण झाल्याची नोंद केली. CISA ने प्रकाशनावेळी कोणतेही शोषण पाहिले नव्हते असे सांगितले, आणि PHP च्या टीमला रिलीझवेळी कोणताही कार्यक्षम शोषण दिसले नाही.

2:46 Cloudflare च्या CEO ने सांगितले की घोषणेच्या दहा तासांपूर्वी त्यांना हजारो प्रयत्न दिसले,

PHP2Shell चे शोषण होत आहे का, आणि कोणाद्वारे?

2:50 आणि गुरुवार सकाळपर्यंत लाखो प्रयत्न झाले. Amazon एका मुद्द्यावर सावध आहे. त्यांना माहित नाही की त्यांचे सर्वात सुरुवातीचे प्रयत्न खऱ्या सिस्टीमवर काम करतील की नाही. प्रयत्न म्हणजे फक्त दारावर एक थाप. तर, ते खरोखर किती वाईट आहे? watchTowr म्हणते की सार्वजनिक शोषणे बहुतेक क्रॅश होतात किंवा काहीही करत नाहीत. VulnCheck म्हणते की काही सेटअपमध्ये कोड एक्झिक्युशन काम करते, आणि सार्वजनिक शोषणे मानक x86 सर्व्हरवर मेमरी रँडमायझेशनला हरवत नाहीत.

3:13 संशोधक एलियास टेलर म्हणतो की ते Log4Shell इतके सोपे नाही. तरीही सर्वजण पॅच करण्यास सांगतात. सरकारने निकालाची वाट पाहिली नाही. NSA ने ज्या संस्था पॅच करू शकत नाहीत त्यांना PHP सिस्टीम ऑफलाइन घेण्यास सांगितले, आणि यूकेच्या नॅशनल सायबर सिक्युरिटी सेंटरनेही असेच सल्ला दिला. डच साइट्स, ज्यात राष्ट्रीय डिजिटल ओळख सेवा समाविष्ट आहे, बंद पडल्या, पॅरिस पोलिस साइटसह. Wikimedia ने खबरदारी म्हणून अनेक सिस्टीम बंद केल्या.

3:40 Palo Alto Networks ने बावीस दशलक्षाहून अधिक असुरक्षित उदाहरणे मोजली. आणि एका ऑस्ट्रेलियन प्रोफेसरने सर्वात धारदार मुद्दा मांडला.

सरकारने काय ऑफलाइन केले?

3:44 आज जे साइट्स डाउन नाहीत त्याबद्दल काळजी करा. PHP 8.2 ते 8.5 साठी निराकरणे अस्तित्वात आहेत. 7.4, 8.0 आणि 8.1 साठी, PHP ने फक्त स्रोत पॅच प्रकाशित केले. जुने आवृत्त्यांना PHP प्रकल्पातून काहीही मिळत नाही, त्यामुळे आपल्या डिस्ट्रिब्युशनला विचारा. वर्कअराउंड्स शक्यता कमी करतात, पण PHP म्हणते की अपडेट करणे हेच एकमेव पूर्ण निराकरण आहे. कालच्या eMudhra एपिसोडसारखाच हा धडा आहे, कारण निराकरण अस्तित्वात असणे आणि चालू असलेल्या प्रक्रियेत ते असणे एकच गोष्ट नाही.

कोणत्या PHP आवृत्त्यांना निराकरण मिळते?

4:11 आपल्या स्टॅक मधील प्रत्येक PHP शोधा, अगदी इतर सॉफ्टवेअरमध्ये लपलेल्या प्रतींचाही. अपडेट करा, वर्कर्स रीस्टार्ट करा आणि 17 ऑक्टोबरपर्यंतचे लॉग तपासा. त्याच दिवशी, GitLab ने एक गंभीर पॅच रिलीझ पाठवला, 19.5.1. त्याच्या नियमित अभिव्यक्ती कंपाइलरमधील एक पूर्णांक ओव्हरफ्लो एखाद्या अनधिकृत वापरकर्त्याला सर्वरवर कोड चालवण्याची परवानगी देतो, आणि त्याला दहा पैकी दहा गुण आहेत.

आज रात्री PHP2Shell बद्दल तुम्ही काय करता?

4:32 GitLab.com आधीच पॅच केले आहे. स्वयं-व्यवस्थापित इंस्टॉल्सना अपडेटची आवश्यकता आहे. दरम्यान न्यू मेक्सिकोमध्ये, एका न्यायाधीशाने Meta ला केंब्रिज ॲनालिटिका प्रकरणी पंचवीस अब्ज डॉलर्स दंड भरण्याचा आदेश दिला.

आज अजून कशाने गंभीर RCE पॅच पाठवला?

4:47 ज्युरिने त्रेचाळीस दशलक्षाहून अधिक उल्लंघने मोजली, प्रत्येकी पाच हजार डॉलर्सपर्यंत, जे न्यायाधीशांनी कमी करण्यापूर्वी सुमारे दोनशे वीस अब्ज झाले. Meta म्हणते की ते अपीलमध्ये जिंकतील. आता मी वचन दिलेला बचाव. Chainguard च्या CEO ने The Register ला सांगितले की, PHP मध्ये काहीतरी येणार आहे हे कळल्यावर शुक्रवारी रात्री त्याला तेच बग्स स्वतःच सापडले, वाईट असुरक्षितता शोधण्यासाठी एका साध्या प्रॉम्प्टसह. तो म्हणतो की त्याने लवकर पॅच पाठवला कारण लोकांना आधीच त्रास होत होता. जर तुम्हाला हे वाचायला आवडत असेल तर मला ते ऐकण्याऐवजी,

Meta ला $25 अब्ज का भरावे लागले?

5:01 diff तुमच्या इनबॉक्समध्ये दररोज सकाळी मोफत The Daily Diff dot dev वर येतो, खालील लिंक. तर आजचा निकाल आहे SHIP IT. आज रात्री PHP अपडेट पाठवा, कारण नवीन आवृत्ती क्रमांक हेच एकमेव पूर्ण निराकरण आहे. आणि आजसाठी एवढाच diff. मी ॲक्स्रिसीमधून निको. जबाबदारीने विलीन करा.

लवकर निराकरणासाठी Chainguard चा बचाव काय आहे?

5:19 सुरक्षा निर्बंधाने पॅच पाठवण्यापूर्वी बग शांत ठेवणे अपेक्षित असते. Amazon ने PHP च्या गंभीर बगवर चार दिवस आधी एका प्रयत्नाची नोंद केली. या व्हिडिओमध्ये, ते कोणी शोधले? निर्बंध कसे फुटले? आणि ते खरोखर किती वाईट आहे? आणि गळतीसाठी जबाबदार ठरलेल्या कंपनीकडे एक बचाव आहे ज्याची मला अपेक्षा नव्हती.

SHIP IT स्टॅम्प कशाला मिळतो?

5:39 मी त्यावर येईल. आज गुरुवार, 22 ऑक्टोबर आहे आणि हे The Daily Diff आहे. PHP ही एक स्क्रिप्टिंग भाषा आहे जी वेब पेजेस बनवते जी तुमच्यापर्यंत पोहोचण्यापूर्वीच सर्वरवर तयार होतात. ती तीस वर्षांहून अधिक जुनी आहे आणि एका अंदाजानुसार, सत्तर टक्के वेबसाइट्सवर चालते, ज्यात WordPress आणि Wikipedia च्या मागे असलेले सॉफ्टवेअर समाविष्ट आहे. डेव्हलपर्सना तिची खिल्ली उडवायला आवडते, सहसा PHP त्यांना सर्व्ह करत असलेल्या पेजवरून. तिची देखभाल सुमारे तेरा अभियंते असलेल्या ना-नफा संस्थेकडून होते.

स्रोत

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News