PHP2Shell: To kritiske PHP-feil, en embargo som lekket, og hva som faktisk er kjent om utnyttelse

Hva denne videoen dekker

• Begge feilene er vurdert til 9,2 på CVSS v4.0 av PHP-teamet. Fikset utgivelser er PHP 8.2.35, 8.3.36, 8.4.27 og 8.5.12; PHP 7.4, 8.0 og 8.1 mottok kun kildekodelapper. PHP sier at oppdatering er den eneste komplette løsningen.
• Den første feilen kommer fra PHP som lar en forespørsel være halvferdig når den går tom for minne i feil øyeblikk. Den andre kommer fra en gjenværende peker til minnet til én forespørsel som en senere forespørsel i samme worker kan bruke. På Apache med mod_php kjører den første stien før applikasjonskoden.
• En PHP-kjernutvikler fant de første tegnene på minneproblemet under en 2024-revisjon. PHP Foundation sier at konkurrerende fikser hadde avveininger, og et konsensusbasert sikkerhetsteam slet med å velge, noe de kaller en strukturell svikt.
• Stiftelsen sier at CVE-ID-ene lekket 20. oktober, Calif publiserte feilaktig en "proof-of-concept"-video, og Chainguard publiserte ferdige bilder med reparasjonen mer enn seks timer før utgivelsen. Chainguards administrerende direktør sier at folk allerede ble rammet og at han fant feilene uavhengig.
• Kildene er uenige om utnyttelse. Amazon loggførte et forsøk 17. oktober og sa senere at PHP2Shell var bredt utnyttet. watchTowr rapporterte utnyttelse i naturen. CISA hadde ikke observert utnyttelse ved publisering, og PHP-teamet fant ingen funksjonell utnyttelse ved utgivelsen. Mange offentlige "proof-of-concept"-skript rapporteres å ikke fungere.
• Sjekk alle steder PHP kjører, inkludert kopier inne i annen programvare, oppdater, start arbeidere på nytt og gjennomgå logger tilbake til 17. oktober.

Oversatt transkripsjon

Oversatt fra den originale engelske fortellingen. Tilgjengelig lyd og undertekster kontrolleres av YouTube.

Hvem prøvde PHP2Shell fire dager for tidlig?

0:00 En sikkerhetsembargo skal holde en feil hemmelig til patchen sendes ut. Amazon loggførte et forsøk mot PHPs kritiske feil fire dager for tidlig. I denne videoen, hvem fant den? Hvordan lekket embargoen? Og hvor ille er det, egentlig? Og selskapet som ble beskyldt for lekkasjen har et forsvar jeg ikke forventet. Jeg skal komme til det. Det er torsdag 22. oktober, og dette er The Daily Diff.

0:21 PHP er et skriptspråk som bygger nettsider på serveren rett før de når deg. Det er over tretti år gammelt og, ifølge et anslag, kjører det omtrent sytti prosent av nettstedene, inkludert WordPress og programvaren bak Wikipedia. Utviklere elsker å spotte det, vanligvis fra en side PHP serverer dem. Vedlikeholdet er en ideell organisasjon med omtrent tretten ingeniører.

Hva er de to PHP2Shell-feilene?

0:41 Onsdag sendte PHP ut nødreparasjoner for to kritiske feil som lar en fremmed kjøre kode på en server uten pålogging. Sammen kalles de PHP2Shell, og de strekker seg tilbake til PHP fem punkt fire. Her er den første feilen i klare ord. PHP gir hver forespørsel et minnebudsjett. Hvis en forespørsel når den grensen akkurat i feil øyeblikk, PHP avbryter raskt og etterlater forespørselen halvferdig. Deretter stoler oppryddingssteget på den halvferdige tingen.

1:07 Den andre feilen er en rest. En fatal feil kan etterlate en merknad som peker på minne som tilhørte den forrige forespørselen. Den samme arbeideren håndterer neste forespørsel og følger merknaden. Da bor det noen andre på den adressen. På Apache med mod PHP skjer skaden før din egen kode kjører, så din påloggingsside får aldri en stemme. Wiz sier at selv et "hello world"-skript er eksponert. Løsningen fjerner PHPs nødavslutning for å gå tom for minne.

1:32 I stedet for å avbryte midt i forespørselen, stopper PHP nå høflig ved neste trygge punkt. Det merkelige er hvor gammelt det første sporet er.

Hvorfor ventet en kjent feil i to år?

1:39 I 2024 førte en ekstern sikkerhetsrevisjon en PHP-kjernutvikler til de første tegnene på minneproblemet. Ingen utnyttelse var kjent, og hver fiks brøt noe. Et team som bestemmer ved konsensus kunne ikke velge, så feilen ventet. Deretter, i august, ankom oppdagere i løpet av dager.

Hvem fant PHP2Shell, og hvordan?

1:56 Calif-forsker Ryan Austin fant det 1. august, gjennom OpenAI's Patch the Planet-program. OpenAI rapporterte den samme grunnårsaken uavhengig. Wiz fant varianter noen uker senere med Gemini- og GPT-modeller. Austin sier han brukte modeller alle kan få, pluss en teori om hvor PHPs gamle feil gjemmer seg. OpenAI sier at grense-AI var nøkkelen. Feilen hadde vært skjult i mer enn et tiår. Utgivelsen var planlagt til torsdag.

Hvordan lekket PHP2Shell-embargoen?

2:21 På tirsdag begynte de to CVE-numrene å sirkulere på nettet, med feil utgivelsestidspunkt og feil poengsum på ti. PHP flyttet utgivelsen frem en dag. Den kvelden publiserte Calif ved et uhell en video av sin "proof of concept" som fungerte, og kopier overlevde slettingen. Onsdag morgen, mer enn seks timer før utgivelsen, publiserte Chainguard bygde bilder som inneholdt reparasjonen. PHP sier at enhver angriper kunne studere den reparasjonen mens alle andre ventet.

2:46 En patch er også en diff, og angripere leser diffs.

Blir PHP2Shell utnyttet, og av hvem?

2:50 Så hvem blir faktisk rammet? Amazons honningkrukke loggførte et forsøk 17. oktober og sa senere at PHP2Shell er bredt utnyttet. watchTowr rapporterer utnyttelse i naturen. Cisa sa at den ikke hadde observert noen da den publiserte, og PHPs team så ingen fungerende utnyttelse ved utgivelsen. Cloudflares administrerende direktør sa at den så tusenvis av forsøk i de ti timene før kunngjøringen, og millioner innen torsdag morgen.

3:13 Amazon er forsiktig på ett punkt. Den vet ikke om dens tidligste forsøk ville ha fungert på et ekte system. Et forsøk er bare en bank på døren. Så hvor ille er det, egentlig? watchTowr sier at de offentlige utnyttelsene som flyr rundt for det meste krasjer eller ikke gjør noe. VulnCheck sier at kodeutførelse fungerer i noen oppsett, og ingen av de offentlige slår minnetilfeldiggjøring på standard x86-servere. Forsker Elias Taylor sier det er langt fra like enkelt som Log4Shell.

3:40 Alle sier fortsatt patch. Regjeringer ventet ikke på dommen.

Hva tok regjeringer offline?

3:44 NSA ba organisasjoner som ikke kunne patche om å ta PHP-systemer offline, og Storbritannias National Cyber Security Centre ga lignende råd. Nederlandske nettsteder, inkludert den nasjonale digitale identitetstjenesten, gikk mørkt, sammen med et Paris-politisted. Wikimedia tok ned flere systemer som en forholdsregel. Palo Alto Networks telte mer enn tjue to millioner eksponerte instanser. Og en australsk professor kom med det skarpeste poenget. Nettstedene å bekymre seg for er de som ikke er nede i dag.

Hvilke PHP-versjoner får en fiks?

4:11 Fikser finnes for PHP åtte punkt to til åtte punkt fem. For sju punkt fire, åtte punkt null og åtte punkt en, PHP publiserte kun kildekodelapper. Eldre versjoner får ingenting fra PHP-prosjektet, så spør din distribusjon. Omgåelser reduserer sjansene, men PHP sier at oppdatering er den eneste komplette fiksen. Det er den samme leksen som gårsdagens eMudhra-episode,

Hva gjør du med PHP2Shell i kveld?

4:32 fordi en fiks som eksisterer er ikke det samme som at den kjørende prosessen har den. Finn all PHP i stakken din, selv kopiene som gjemmer seg inne i annen programvare. Oppdater, start arbeiderne på nytt, og sjekk logger tilbake til 17. oktober. Samme dag sendte GitLab ut en kritisk patchutgivelse,

Hva annet sendte ut en kritisk RCE-patch i dag?

4:47 nitten punkt fem punkt en. En heltallsflyt i dens kompilator for regulære uttrykk lar en uautentisert bruker kjøre kode på serveren, og den scorer ti av ti. GitLab.com er allerede patchet. Selvstyrte installasjoner trenger oppdateringen.

Hvorfor ble Meta dømt til å betale 25 milliarder dollar?

5:01 I New Mexico beordret en dommer Meta til å betale tjuefem milliarder dollar i bøter over Cambridge Analytica. Juryen telte mer enn førtitre millioner brudd på opptil fem tusen dollar hver, noe som utgjorde omtrent to hundre og tjue milliarder før dommeren kuttet det. Meta sier de vil vinne i anke. Nå forsvaret jeg lovet.

Hva er Chainguards forsvar for den tidlige fiksingen?

5:19 Chainguards administrerende direktør fortalte The Register at han selv fant de samme feilene en fredagskveld, etter å ha fått vite at noe var på gang i PHP, med en grunnleggende oppfordring om å finne dårlige sårbarheter. Han sier han sendte ut tidlig fordi folk allerede ble rammet. Hvis du heller vil lese dette enn å høre meg si det, lander diffen i innboksen din hver morgen, gratis på thedailydiff.dev, lenke nedenfor. Så dagens dom er SHIP IT.

Hva får SHIP IT-stempelet?

5:39 Send ut PHP-oppdateringen i kveld, fordi det nye versjonsnummeret er den eneste komplette fiksen. Og det er diffen for i dag. Jeg er Niko fra Axrisi. Slå sammen ansvarlig.

Kilder

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News