PHP2Shell: PHP တွင် ပြင်းထန်သော ချို့ယွင်းချက်နှစ်ခု၊ ပေါက်ကြားသွားသော ပိတ်ပင်မှုနှင့် အမှန်တကယ် ဖြစ်ပွားခဲ့သော တိုက်ခိုက်မှုဆိုင်ရာ အချက်အလက်များ

ဤဗီဒီယိုတွင် ဖော်ပြထားသောအရာများ

• PHP အဖွဲ့မှ ချို့ယွင်းချက်နှစ်ခုစလုံးကို CVSS v4.0 တွင် 9.2 အဆင့် သတ်မှတ်ထားသည်။ ပြင်ဆင်ထားသော ထုတ်ပြန်မှုများမှာ PHP 8.2.35, 8.3.36, 8.4.27 နှင့် 8.5.12 တို့ဖြစ်ပြီး PHP 7.4, 8.0 နှင့် 8.1 တို့သည် source patches များကိုသာ လက်ခံရရှိခဲ့သည်။ PHP က အပ်ဒိတ်လုပ်ခြင်းသည် တစ်ခုတည်းသော ပြီးပြည့်စုံသော ကာကွယ်နည်းဖြစ်သည်ဟု ဆိုသည်။
• ပထမချို့ယွင်းချက်မှာ PHP သည် မှားယွင်းသောအချိန်တွင် memory ပြည့်သွားသောအခါ request ကို တစ်ဝက်တစ်ပျက် ချန်ထားခဲ့ခြင်းကြောင့် ဖြစ်သည်။ ဒုတိယချို့ယွင်းချက်မှာ တူညီသော worker ရှိ နောက်ပိုင်း request က အသုံးပြုနိုင်သည့် ယခင် request ၏ memory ကို ညွှန်ပြသော pointer အကြွင်းအကျန်မှ ဖြစ်သည်။ mod_php ပါသော Apache တွင် ပထမလမ်းကြောင်းသည် application code မတိုင်မီ လုပ်ဆောင်သည်။
• PHP core developer တစ်ဦးသည် ၂၀၂၄ ခုနှစ် စစ်ဆေးမှုအတွင်း memory ပြဿနာ၏ ပထမဆုံး လက္ခဏာများကို တွေ့ရှိခဲ့သည်။ PHP Foundation က ယှဉ်ပြိုင်နေသော ပြင်ဆင်မှုများတွင် ကန့်သတ်ချက်များရှိပြီး သဘောတူညီမှုအခြေပြု လုံခြုံရေးအဖွဲ့သည် ရွေးချယ်ရန် ရုန်းကန်ခဲ့ရကြောင်း၊ ၎င်းကို ဖွဲ့စည်းပုံဆိုင်ရာ ချို့ယွင်းချက်ဟု ခေါ်ဆိုခဲ့သည်။
• Foundation က CVE ID များသည် အောက်တိုဘာ ၂၀ တွင် ပေါက်ကြားခဲ့ပြီး Calif သည် proof-of-concept ဗီဒီယိုကို မှားယွင်းစွာ ထုတ်ပြန်ခဲ့ကာ Chainguard သည် ပြင်ဆင်မှုပါသော built images များကို ထုတ်ပြန်ပြီး ၆ နာရီကျော်ကြာမှ ထုတ်ပြန်ခဲ့ကြောင်း ပြောကြားခဲ့သည်။ Chainguard ၏ CEO က လူများ အစကတည်းက တိုက်ခိုက်ခံနေရပြီး ၎င်းကိုယ်တိုင် ချို့ယွင်းချက်များကို သီးခြားစီ တွေ့ရှိခဲ့သည်ဟု ပြောကြားခဲ့သည်။
• ရင်းမြစ်များသည် တိုက်ခိုက်မှုနှင့်ပတ်သက်၍ သဘောထားကွဲလွဲကြသည်။ Amazon သည် အောက်တိုဘာ ၁၇ တွင် ကြိုးပမ်းမှုကို မှတ်တမ်းတင်ခဲ့ပြီး နောက်ပိုင်းတွင် PHP2Shell ကို ကျယ်ကျယ်ပြန့်ပြန့် တိုက်ခိုက်ခဲ့ကြောင်း ပြောကြားခဲ့သည်။ watchTowr က တိုက်ခိုက်မှုများ ဖြစ်ပွားခဲ့သည်ဟု အစီရင်ခံခဲ့သည်။ CISA သည် ထုတ်ပြန်ချိန်တွင် တိုက်ခိုက်မှုများကို မတွေ့ရှိခဲ့ဘဲ PHP အဖွဲ့သည် ထုတ်ပြန်ချိန်တွင် လုပ်ဆောင်နိုင်သော exploit ကို မတွေ့ရှိခဲ့ပါ။ လူသိရှင်ကြား ထုတ်ပြန်ထားသော proof-of-concept scripts အများစုသည် အလုပ်မလုပ်ကြောင်း အစီရင်ခံထားသည်။
• PHP run နေသည့် နေရာတိုင်းကို စစ်ဆေးပါ၊ အခြားဆော့ဖ်ဝဲလ်များအတွင်းရှိ ကော်ပီများအပါအဝင်၊ update လုပ်ပါ၊ workers များကို restart လုပ်ပါ၊ နှင့် အောက်တိုဘာ ၁၇ အထိ logs များကို ပြန်စစ်ဆေးပါ။

ဘာသာပြန်ထားသော စာသားမှတ်တမ်း

မူရင်း အင်္ဂလိပ်စကားပြောမှ ဘာသာပြန်ထားသည်။ ရရှိနိုင်သော အသံနှင့် စာတန်းထိုးများကို YouTube မှ ထိန်းချုပ်ထားသည်။

PHP2Shell ကို လေးရက်ကြိုတင်ပြီး ဘယ်သူက ကြိုးစားခဲ့သလဲ။

0:00 လုံခြုံရေး ပိတ်ပင်မှုဆိုတာ patch မထွက်မချင်း bug ကို တိတ်ဆိတ်စွာ ထားဖို့ ဖြစ်တယ်။ Amazon က PHP ရဲ့ ပြင်းထန်တဲ့ bug ကို လေးရက်ကြိုတင် ကြိုးစားခဲ့တာကို မှတ်တမ်းတင်ခဲ့တယ်။ ဒီဗီဒီယိုမှာ ဘယ်သူက ရှာတွေ့ခဲ့တာလဲ။ ပိတ်ပင်မှု ဘယ်လိုပေါက်ကြားခဲ့တာလဲ။ ပြီးတော့ ဘယ်လောက်တောင် ဆိုးလဲ၊ တကယ်တမ်းကျတော့။ ပြီးတော့ ပေါက်ကြားမှုအတွက် အပြစ်တင်ခံရတဲ့ ကုမ္ပဏီမှာ ကျွန်တော် မမျှော်လင့်ထားတဲ့ ကာကွယ်ရေးတစ်ခု ရှိတယ်။ ကျွန်တော် အဲဒါကို ရောက်လိမ့်မယ်။ ဒီနေ့ ကြာသပတေးနေ့၊ အောက်တိုဘာ ၂၂ ရက်ဖြစ်ပြီး၊ ဒါက The Daily Diff ပါ။

0:21 PHP ဆိုတာက သင့်ဆီမရောက်ခင် server ပေါ်မှာ web pages တွေတည်ဆောက်ပေးတဲ့ scripting language တစ်ခုဖြစ်ပါတယ်။ ၎င်းသည် နှစ်သုံးဆယ်ကျော်ပြီဖြစ်ပြီး ခန့်မှန်းချက်တစ်ခုအရ WordPress နှင့် Wikipedia နောက်ကွယ်ရှိ ဆော့ဖ်ဝဲလ်အပါအဝင် ဝက်ဘ်ဆိုဒ်များ၏ ၇၀ ရာခိုင်နှုန်းခန့်ကို လုပ်ဆောင်ပေးပါသည်။ ၎င်းသည် နှစ်သုံးဆယ်ကျော်ပြီဖြစ်ပြီး ခန့်မှန်းချက်တစ်ခုအရ WordPress နှင့် Wikipedia နောက်ကွယ်ရှိ ဆော့ဖ်ဝဲလ်အပါအဝင် ဝက်ဘ်ဆိုဒ်များ၏ ၇၀ ရာခိုင်နှုန်းခန့်ကို လုပ်ဆောင်ပေးပါသည်။ developer တွေက အဲဒါကို လှောင်ပြောင်ရတာ ကြိုက်တယ်။ များသောအားဖြင့် PHP က သူတို့ကို ဝန်ဆောင်မှုပေးနေတဲ့ စာမျက်နှာကနေပါ။ ၎င်း၏ ထိန်းသိမ်းစောင့်ရှောက်မှုသည် အင်ဂျင်နီယာ ၁၃ ဦးခန့်ရှိသော အကျိုးအမြတ်မယူသော အဖွဲ့အစည်းတစ်ခုဖြစ်သည်။

PHP2Shell ချို့ယွင်းချက်နှစ်ခုက ဘာတွေလဲ။

0:41 ဗုဒ္ဓဟူးနေ့တွင် PHP သည် login မလိုဘဲ server ပေါ်တွင် ကုဒ် run နိုင်သော ပြင်းထန်သော ချို့ယွင်းချက်နှစ်ခုအတွက် အရေးပေါ်ပြင်ဆင်မှုများကို ထုတ်ပြန်ခဲ့သည်။ stranger run code on a server with no login. အတူတကွ သူတို့ကို PHP2Shell လို့ ခေါ်ကြပြီး PHP 5.4 ကတည်းက ရှိခဲ့တာပါ။ ဒါက ပထမဆုံး bug ကို ရိုးရိုးရှင်းရှင်း ပြောပြတာပါ။ point four. Here is the first bug in plain words. PHP သည် request တိုင်းကို memory budget ပေးထားသည်။ အကယ်၍ request တစ်ခုသည် မှားယွင်းသောအချိန်တွင် ထိုကန့်သတ်ချက်ကို ရောက်သွားပါက၊ PHP သည် အလျင်အမြန် ထွက်သွားပြီး request ကို တစ်ဝက်တစ်ပျက်သာ တည်ဆောက်ထားခဲ့သည်။ ထို့နောက် cleanup အဆင့်သည် တစ်ဝက်တစ်ပျက်တည်ဆောက်ထားသော အရာကို ယုံကြည်သည်။

1:07 ဒုတိယ bug သည် အကြွင်းအကျန်တစ်ခုဖြစ်သည်။ fatal error တစ်ခုသည် ယခင် request ၏ memory ကို ညွှန်ပြသော မှတ်စုတစ်ခုကို ချန်ထားခဲ့နိုင်သည်။ တူညီသော worker သည် နောက်လာမည့် request ကို ကိုင်တွယ်ပြီး မှတ်စုကို လိုက်နာသည်။ ထိုအချိန်တွင် ထို address တွင် အခြားသူတစ်ဦး နေထိုင်နေပြီဖြစ်သည်။ Apache တွင် mod PHP ဖြင့်၊ သင်၏ ကိုယ်ပိုင်ကုဒ် မrunမီ ပျက်စီးမှုများ ဖြစ်ပွားသည်၊ ဒါကြောင့် မင်းရဲ့ login page က ဘယ်တော့မှ မဲမပေးရဘူး။ Wiz က hello world script တစ်ခုတောင် အန္တရာယ်ရှိတယ်လို့ ပြောတယ်။ ပြင်ဆင်မှုသည် memory ပြည့်သွားခြင်းအတွက် PHP ၏ အရေးပေါ်ထွက်ပေါက်ကို ဖယ်ရှားလိုက်သည်။

1:32 request အလယ်မှာ ထွက်သွားမယ့်အစား PHP က နောက်လာမယ့် လုံခြုံတဲ့နေရာမှာ ယဉ်ယဉ်ကျေးကျေး ရပ်သွားပြီ။ point. The odd part is how old the first clue is.

လူသိများပြီးသား bug တစ်ခု ဘာလို့ နှစ်နှစ်ကြာအောင် စောင့်ခဲ့ရတာလဲ။

1:39 ၂၀၂၄ ခုနှစ်တွင် ပြင်ပလုံခြုံရေး စစ်ဆေးမှုတစ်ခုက PHP core developer တစ်ဦးကို memory ပြဿနာ၏ ပထမဆုံး လက္ခဏာများဆီသို့ ဦးဆောင်ခဲ့သည်။ first signs of the memory problem. exploit တစ်ခုမှ မသိခဲ့ရဘဲ ပြင်ဆင်မှုတိုင်းက တစ်ခုခုကို ပျက်စီးစေခဲ့တယ်။ သဘောတူညီချက်ဖြင့် ဆုံးဖြတ်သော အဖွဲ့တစ်ဖွဲ့က ရွေးချယ်နိုင်ခြင်း မရှိခဲ့သောကြောင့် bug သည် စောင့်ဆိုင်းနေခဲ့ရသည်။ ထို့နောက် သြဂုတ်လတွင် ရှာဖွေသူများ ရက်အနည်းငယ်အတွင်း ရောက်ရှိလာခဲ့သည်။

PHP2Shell ကို ဘယ်သူက ဘယ်လိုရှာတွေ့ခဲ့တာလဲ။

1:56 Calif သုတေသီ Ryan Austin သည် သြဂုတ်လ ၁ ရက်နေ့တွင် OpenAI ၏ Patch the Planet program မှတစ်ဆင့် ၎င်းကို ရှာဖွေတွေ့ရှိခဲ့သည်။ working through OpenAI's Patch the Planet program. OpenAI က အတူတူပဲ root cause ကို သီးခြားစီ အစီရင်ခံခဲ့တယ်။ Wiz သည် ရက်သတ္တပတ်အနည်းငယ်ကြာပြီးနောက် Gemini နှင့် GPT model များဖြင့် မတူညီသောပုံစံများကို ရှာဖွေတွေ့ရှိခဲ့သည်။ Austin က သူက ဘယ်သူမဆို ရနိုင်တဲ့ models တွေကို သုံးပြီး PHP ရဲ့ bug အဟောင်းတွေ ဘယ်မှာ ပုန်းနေတတ်လဲဆိုတဲ့ သီအိုရီတစ်ခုကို သုံးခဲ့တယ်လို့ ပြောပါတယ်။ OpenAI ကတော့ frontier AI က အဓိကပဲလို့ ဆိုပါတယ်။ bugs hide. OpenAI says frontier AI was the key. ဒီ bug က ဆယ်စုနှစ်တစ်ခုကျော် ပုန်းအောင်းနေခဲ့တယ်။ ထုတ်ပြန်ဖို့ကို ကြာသပတေးနေ့အတွက် စီစဉ်ထားခဲ့တာပါ။

PHP2Shell ရဲ့ ပိတ်ပင်မှု ဘယ်လိုပေါက်ကြားခဲ့တာလဲ။

2:21 အင်္ဂါနေ့တွင် CVE နံပါတ်နှစ်ခုသည် online တွင် စတင်ပျံ့နှံ့ခဲ့သည်၊ မှားယွင်းသော ထုတ်ပြန်ချိန်နှင့် ဆယ်အမှတ် မှားယွင်းသော အမှတ်ပေးစနစ်ဖြင့် ဖြစ်သည်။ PHP သည် ထုတ်ပြန်မှုကို တစ်ရက် စောစီးစွာ ဆွဲယူခဲ့သည်။ ထိုညနေခင်းတွင် Calif သည် ၎င်း၏ proof of concept ဗီဒီယိုကို မတော်တဆ ထုတ်ပြန်ခဲ့ပြီး ဖျက်လိုက်သော်လည်း ကော်ပီများ ကျန်ရှိနေခဲ့သည်။ working, and copies outlived the deletion. ဗုဒ္ဓဟူးနေ့နံနက်၊ ထုတ်ပြန်မည့်အချိန် မတိုင်မီ ၆ နာရီကျော် အလိုတွင်၊ Chainguard သည် ပြင်ဆင်မှုပါဝင်သော built images များကို ထုတ်ပြန်ခဲ့သည်။ PHP က တခြားသူတွေ စောင့်နေချိန်မှာ တိုက်ခိုက်သူတိုင်း အဲဒီ fix ကို လေ့လာနိုင်တယ်လို့ ပြောတယ်။

2:46 patch ဆိုတာ diff တစ်ခုပါပဲ၊ တိုက်ခိုက်သူတွေက diff တွေကို ဖတ်ကြပါတယ်။

PHP2Shell ကို တိုက်ခိုက်နေပြီလား၊ ဘယ်သူတွေကလဲ။

2:50 ဒါဆို ဘယ်သူတွေက တကယ်တမ်း တိုက်ခိုက်ခံနေရတာလဲ။ Amazon ရဲ့ honeypot က အောက်တိုဘာ ၁၇ ရက်နေ့မှာ ကြိုးစားခဲ့တာကို မှတ်တမ်းတင်ခဲ့ပြီး နောက်ပိုင်းမှာ PHP2Shell ကို ကျယ်ကျယ်ပြန့်ပြန့် တိုက်ခိုက်ခဲ့တယ်လို့ ဆိုပါတယ်။ PHP2Shell is broadly exploited. watchTowr သည် တောတွင်း၌ တိုက်ခိုက်မှုများကို အစီရင်ခံသည်။ Cisa က ထုတ်ပြန်ချိန်မှာ ဘာတစ်ခုမှ မတွေ့ခဲ့ဘူးလို့ ပြောပြီး PHP အဖွဲ့ကလည်း ထုတ်ပြန်ချိန်မှာ အလုပ်လုပ်တဲ့ exploit ကို မတွေ့ခဲ့ဘူး။ working exploit at release. Cloudflare ရဲ့ CEO က ကြေညာချက်မတိုင်ခင် ဆယ်နာရီအတွင်း ကြိုးစားမှု ထောင်ပေါင်းများစွာ တွေ့ခဲ့ရပြီး ကြာသပတေးနေ့မနက်ပိုင်းမှာ သန်းပေါင်းများစွာ တွေ့ခဲ့ရတယ်လို့ ပြောပါတယ်။ announcement, and millions by Thursday morning.

3:13 Amazon က အချက်တစ်ချက်မှာ သတိထားပါတယ်။ ၎င်း၏ အစောဆုံး ကြိုးစားမှုများသည် တကယ့်စနစ်တစ်ခုပေါ်တွင် အလုပ်လုပ်နိုင်ခဲ့ခြင်း ရှိမရှိကို မသိရှိပါ။ attempt is only a knock on the door. ဒါဆို ဘယ်လောက်တောင် ဆိုးလဲ၊ တကယ်တမ်းကျတော့။ watchTowr က ပြောတာကတော့ ပျံ့နှံ့နေတဲ့ public exploits တွေက အများစုက crash ဖြစ်တာ ဒါမှမဟုတ် ဘာမှမလုပ်တာပါပဲ။ VulnCheck က ကုဒ် run ခြင်းက တချို့ setups တွေမှာ အလုပ်လုပ်တယ်လို့ ပြောပြီး public ones တွေထဲက ဘယ်ဟာမှ standard x86 servers တွေမှာ memory randomization ကို မကျော်ဖြတ်နိုင်ဘူးလို့ ဆိုပါတယ်။ beat memory randomization on standard x86 servers. သုတေသီ Elias Taylor က Log4Shell လောက် မလွယ်ကူဘူးလို့ ဆိုပါတယ်။

3:40 လူတိုင်းက patch လုပ်ဖို့ ဆက်ပြောနေကြတယ်။ အစိုးရတွေက စီရင်ချက်ကို မစောင့်ခဲ့ကြဘူး။

အစိုးရတွေ ဘာတွေကို offline လုပ်ခဲ့လဲ။

3:44 NSA က patch မလုပ်နိုင်တဲ့ အဖွဲ့အစည်းတွေကို PHP စနစ်တွေကို offline လုပ်ဖို့ ပြောကြားခဲ့ပြီး UK ရဲ့ National Cyber Security Centre ကလည်း အလားတူ အကြံဉာဏ်ပေးခဲ့ပါတယ်။ and the UK's National Cyber Security Centre gave similar advice. နယ်သာလန် ဝက်ဘ်ဆိုဒ်များ၊ နိုင်ငံတော် ဒစ်ဂျစ်တယ် ကိုယ်ရေးအချက်အလက် ဝန်ဆောင်မှုအပါအဝင်၊ ပဲရစ်ရဲတပ်ဖွဲ့ ဝက်ဘ်ဆိုက်နှင့်အတူ မှောင်သွားခဲ့သည်။ Wikimedia သည် ကြိုတင်ကာကွယ်မှုအဖြစ် စနစ်အချို့ကို ပိတ်ထားခဲ့သည်။ Palo Alto Networks က ထိတွေ့နေသော instance ၂၂ သန်းကျော်ကို ရေတွက်ခဲ့သည်။ ပြီးတော့ သြစတြေးလျ ပါမောက္ခတစ်ဦးက အပြင်းထန်ဆုံး အချက်ကို ထောက်ပြခဲ့တယ်။ စိုးရိမ်ရမည့် ဆိုက်များမှာ ယနေ့တိုင် မကျသွားသေးသော ဆိုက်များဖြစ်သည်။

ဘယ် PHP version တွေကို fix ပေးမလဲ။

4:11 PHP 8.2 မှ 8.5 အတွက် fix များရှိသည်။ ၇.၄, ၈.၀ နှင့် ၈.၁ အတွက် PHP က source patches တွေကိုပဲ ထုတ်ပြန်ခဲ့တယ်။ ပိုဟောင်းတဲ့ version တွေက PHP project က ဘာမှ မရဘူး၊ ဒါကြောင့် သင့်ရဲ့ distribution ကို မေးပါ။ Workarounds တွေက အခွင့်အလမ်းတွေကို လျှော့ချပေးပေမယ့် PHP က အပ်ဒိတ်လုပ်တာဟာ တစ်ခုတည်းသော ပြီးပြည့်စုံတဲ့ fix. It is the same lesson as yesterday's eMudhra episode,

ဒီည PHP2Shell အတွက် ဘာလုပ်ရမလဲ။

4:32 ဘာဖြစ်လို့လဲဆိုတော့ fix ရှိတာက run နေတဲ့ process မှာ ရှိတာနဲ့ မတူဘူး။ သင့်ရဲ့ stack ထဲက PHP တိုင်းကို ရှာပါ၊ အခြား software ထဲမှာ ပုန်းနေတဲ့ copy တွေအပါအဝင်။ Update လုပ်ပါ၊ workers တွေကို restart လုပ်ပါ၊ ပြီးတော့ အောက်တိုဘာ ၁၇ ရက်နေ့အထိ logs တွေကို စစ်ဆေးပါ။ ထိုနေ့တွင် GitLab သည် အရေးကြီးသော patch release တစ်ခုကို ထုတ်ပြန်ခဲ့သည်၊

ဒီနေ့ ဘယ်သူတွေက critical RCE patch ထပ်ထုတ်ပြန်ခဲ့လဲ။

4:47 ၁၉.၅.၁။ ၎င်း၏ integer overflow regular expression compiler သည် authenticated မဟုတ်သော အသုံးပြုသူအား server ပေါ်တွင် ကုဒ် run ခွင့်ပေးပြီး ၎င်းသည် ဆယ်အမှတ်တွင် ဆယ်အမှတ် ရရှိသည်။ GitLab.com ကို ပြင်ဆင်ပြီးပါပြီ။ Self-managed installs တွေက update လုပ်ဖို့ လိုတယ်။

Meta ကို ဘာလို့ ဒေါ်လာ ၂၅ ဘီလီယံ ပေးဆောင်ဖို့ အမိန့်ချမှတ်ခဲ့တာလဲ။

5:01 တစ်ချိန်တည်းမှာ New Mexico မှာ တရားသူကြီးတစ်ဦးက Meta ကို Cambridge Analytica နဲ့ပတ်သက်ပြီး ဒေါ်လာ ၂၅ ဘီလီယံ ဒဏ်ကြေးပေးဆောင်ဖို့ အမိန့်ချခဲ့ပါတယ်။ in penalties over Cambridge Analytica. ဂျူရီအဖွဲ့က ချိုးဖောက်မှုပေါင်း ၄၃ သန်းကျော်ကို ရေတွက်ခဲ့ပြီး တစ်ခုလျှင် ဒေါ်လာ ၅၀၀၀ အထိရှိကာ တရားသူကြီး မဖြတ်မီ ဒေါ်လာ ၂၂၀ ဘီလီယံခန့် ရှိခဲ့သည်။ Meta က အယူခံတွင် အနိုင်ရမည်ဟု ဆိုသည်။ cut it. Meta says it will win on appeal. ကဲ ကတိပေးထားတဲ့ ကာကွယ်ရေးအပိုင်းကို သွားရအောင်။

Chainguard က စောစီးစွာ fix ထုတ်ပြန်ခြင်းအတွက် ဘာအကြောင်းပြချက် ပေးခဲ့လဲ။

5:19 Chainguard ၏ CEO က The Register သို့ ပြောကြားရာတွင် ၎င်းကိုယ်တိုင် သောကြာနေ့ညတွင် PHP တွင် တစ်ခုခု ပေါ်လာတော့မည်ကို သိရှိပြီးနောက် အခြေခံ prompt တစ်ခုဖြင့် မကောင်းသော vulnerabilities များကို ရှာဖွေရာမှ တူညီသော bugs များကို တွေ့ရှိခဲ့ကြောင်း ပြောကြားခဲ့သည်။ night, after learning something was coming in PHP, with a basic prompt to find bad vulnerabilities. He says he shipped early because people were already တိုက်ခိုက်ခံနေရပြီဖြစ်၍ ၎င်းက စောစီးစွာ ထုတ်ပြန်ခဲ့သည်ဟု ဆိုသည်။ ကျွန်ုပ်ပြောသည်ကို နားထောင်မည့်အစား ဖတ်ရှုလိုပါက၊ diff ကို မနက်တိုင်း သင့် inbox ထဲကို အခမဲ့ ပို့ပေးပါတယ် daily diff dot dev မှာ၊ အောက်ပါ link ။ ဒါကြောင့် ဒီနေ့ စီရင်ချက်က SHIP IT ပါ။

ဘာတွေက SHIP IT တံဆိပ်ရခဲ့လဲ။

5:39 PHP update ကို ဒီညပဲ ship ပါ၊ ဘာဖြစ်လို့လဲဆိုတော့ version နံပါတ်အသစ်ကသာ တစ်ခုတည်းသော ပြီးပြည့်စုံတဲ့ fix. And that's the diff for today. ကျွန်တော် Axrisi က Niko ပါ။ တာဝန်ယူမှုရှိစွာ ပေါင်းစည်းပါ။

ရင်းမြစ်များ

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News