PHP2Shell: ଦୁଇଟି ଗୁରୁତ୍ୱପୂର୍ଣ୍ଣ PHP ତ୍ରୁଟି, ଏକ ଲିକ୍ ହୋଇଥିବା ପ୍ରତିବନ୍ଧକ, ଏବଂ ଶୋଷଣ ବିଷୟରେ ପ୍ରକୃତରେ କ'ଣ ଜଣାଅଛି

ଏହି ଭିଡିଓରେ କ'ଣ ଅଛି

• ଉଭୟ ତ୍ରୁଟି PHP ଟିମ୍ ଦ୍ୱାରା CVSS v4.0 ରେ 9.2 ରେଟ୍ କରାଯାଇଛି। ସଂଶୋଧିତ ରିଲିଜ୍ ଗୁଡିକ ହେଉଛି PHP 8.2.35, 8.3.36, 8.4.27 ଏବଂ 8.5.12; PHP 7.4, 8.0 ଏବଂ 8.1 କେବଳ ସୋର୍ସ ପ୍ୟାଚ୍ ଗ୍ରହଣ କରିଛନ୍ତି। PHP କୁହନ୍ତି ଅପଡେଟ୍ କରିବା ହିଁ ଏକମାତ୍ର ସମ୍ପୂର୍ଣ୍ଣ ପ୍ରତିକାର।
• ପ୍ରଥମ ତ୍ରୁଟି PHP ରୁ ଆସେ ଯେତେବେଳେ ଏହା ଭୁଲ ସମୟରେ ମେମୋରୀରୁ ବାହାରିଯାଏ ସେତେବେଳେ ଏକ ଅନୁରୋଧ ଅଧା ନିର୍ମିତ ଛାଡିଦିଏ। ଦ୍ୱିତୀୟଟି ଏକ ଅନୁରୋଧର ମେମୋରୀକୁ ଏକ ଅବଶିଷ୍ଟ ପଏଣ୍ଟରରୁ ଆସେ ଯାହା ସମାନ କର୍ମଚାରୀରେ ପରବର୍ତ୍ତୀ ଅନୁରୋଧ ବ୍ୟବହାର କରିପାରିବ। mod_php ସହିତ Apache ରେ ପ୍ରଥମ ପଥ ଆପ୍ଲିକେସନ୍ କୋଡ୍ ପୂର୍ବରୁ ଚାଲେ।
• ଏକ PHP କୋର୍ ଡେଭଲପର୍ 2024 ଅଡିଟ୍ ସମୟରେ ମେମୋରୀ ସମସ୍ୟାର ପ୍ରଥମ ସଙ୍କେତ ପାଇଥିଲେ। PHP ଫାଉଣ୍ଡେସନ୍ କୁହନ୍ତି ପ୍ରତିଯୋଗୀ ସଂଶୋଧନଗୁଡ଼ିକରେ ବ୍ୟାପାରିକ ସମସ୍ୟା ଥିଲା ଏବଂ ଏକ ସହମତି-ଆଧାରିତ ସୁରକ୍ଷା ଦଳ ଚୟନ କରିବାରେ ଅସୁବିଧା ଭୋଗିଥିଲା, ଯାହାକୁ ଏହା ଏକ ଗଠନଗତ ବିଫଳତା ବୋଲି କୁହନ୍ତି।
• ଫାଉଣ୍ଡେସନ୍ କୁହନ୍ତି CVE ID ଗୁଡିକ ଅକ୍ଟୋବର 20 ରେ ଲିକ୍ ହୋଇଥିଲା, Calif ଭୁଲବଶତଃ ଏକ ପ୍ରୁଫ୍-ଅଫ୍-କନସେପ୍ଟ ଭିଡିଓ ପ୍ରକାଶ କରିଥିଲା, ଏବଂ Chainguard ରିଲିଜ୍ ପୂର୍ବରୁ ଛଅ ଘଣ୍ଟାରୁ ଅଧିକ ସମୟ ପୂର୍ବରୁ ସଂଶୋଧନ ସହିତ ନିର୍ମିତ ପ୍ରତିଛବି ପ୍ରକାଶ କରିଥିଲା। Chainguard ର CEO କୁହନ୍ତି ଲୋକମାନେ ପୂର୍ବରୁ ଆକ୍ରାନ୍ତ ହେଉଥିଲେ ଏବଂ ସେ ସ୍ୱାଧୀନ ଭାବରେ ତ୍ରୁଟିଗୁଡିକ ପାଇଥିଲେ।
• ଶୋଷଣ ବିଷୟରେ ସୂତ୍ରଗୁଡିକ ଅସହମତ। Amazon ଅକ୍ଟୋବର 17 ରେ ଏକ ପ୍ରୟାସ ଲଗ୍ କରିଥିଲା ଏବଂ ପରେ କହିଥିଲା PHP2Shell ବ୍ୟାପକ ଭାବରେ ଶୋଷିତ ହୋଇଛି। watchTowr ବାହ୍ୟରେ ଶୋଷଣ ରିପୋର୍ଟ କରିଛି। CISA ପ୍ରକାଶନ ସମୟରେ ଶୋଷଣ ଦେଖିନଥିଲା, ଏବଂ PHP ଟିମ୍ ରିଲିଜ୍ ସମୟରେ କୌଣସି କାର୍ଯ୍ୟକ୍ଷମ ଶୋଷଣ ପାଇନଥିଲା। ଅନେକ ସାର୍ବଜନୀନ ପ୍ରୁଫ୍-ଅଫ୍-କନସେପ୍ଟ ସ୍କ୍ରିପ୍ଟ କାମ କରେ ନାହିଁ ବୋଲି ରିପୋର୍ଟ କରାଯାଇଛି।
• PHP ଚାଲୁଥିବା ପ୍ରତ୍ୟେକ ସ୍ଥାନ ଯାଞ୍ଚ କରନ୍ତୁ, ଅନ୍ୟ ସଫ୍ଟୱେର ଭିତରେ ଥିବା କପି ସହିତ, ଅପଡେଟ୍ କରନ୍ତୁ, କର୍ମଚାରୀଙ୍କୁ ପୁନଃ ଆରମ୍ଭ କରନ୍ତୁ ଏବଂ ଅକ୍ଟୋବର 17 ରୁ ଲଗ୍ ଯାଞ୍ଚ କରନ୍ତୁ।

ଅନୁବାଦିତ ଟ୍ରାନ୍ସକ୍ରିପ୍ଟ

ମୂଳ ଇଂରାଜୀ ବର୍ଣ୍ଣନାରୁ ଅନୁବାଦିତ। ଉପଲବ୍ଧ ଅଡିଓ ଏବଂ କ୍ୟାପ୍ସନ୍ଗୁଡ଼ିକ YouTube ଦ୍ୱାରା ନିୟନ୍ତ୍ରିତ।

PHP2Shell କିଏ ଚାରି ଦିନ ଆଗରୁ ଚେଷ୍ଟା କରିଥିଲା?

0:00 ଏକ ସୁରକ୍ଷା ପ୍ରତିବନ୍ଧକ ଏକ ତ୍ରୁଟିକୁ ଶାନ୍ତ ରଖିବା ପାଇଁ ଉଦ୍ଦିଷ୍ଟ ଯେପର୍ଯ୍ୟନ୍ତ ପ୍ୟାଚ୍ ଜାରି ନହୁଏ। ଆମାଜନ PHP ର ଗୁରୁତ୍ୱପୂର୍ଣ୍ଣ ତ୍ରୁଟି ବିରୁଦ୍ଧରେ ଚାରି ଦିନ ପୂର୍ବରୁ ଏକ ପ୍ରୟାସ ଲଗ୍ କରିଛି। ଏହି ଭିଡିଓରେ, ଏହାକୁ କିଏ ପାଇଲା? ପ୍ରତିବନ୍ଧକ କିପରି ଲିକ୍ ହେଲା? ଏବଂ ପ୍ରକୃତରେ ଏହା କେତେ ଖରାପ? ଏବଂ ଲିକ୍ ପାଇଁ ଦୋଷୀ କମ୍ପାନୀର ଏକ ପ୍ରତିରକ୍ଷା ଅଛି ଯାହା ମୁଁ ଆଶା କରିନଥିଲି। ମୁଁ ଏହାକୁ ଯିବି। ଆଜି ଗୁରୁବାର, ଅକ୍ଟୋବର ବାଇଶ ତାରିଖ, ଏବଂ ଏହା The Daily Diff।

0:21 PHP ହେଉଛି ଏକ ସ୍କ୍ରିପ୍ଟିଂ ଭାଷା ଯାହା ୱେବ୍ ପୃଷ୍ଠାଗୁଡ଼ିକୁ ସର୍ଭରରେ ନିର୍ମାଣ କରେ ଠିକ୍ ଆପଣଙ୍କ ପାଖରେ ପହଞ୍ଚିବା ପୂର୍ବରୁ। ଏହା ତିରିଶ ବର୍ଷରୁ ଅଧିକ ପୁରୁଣା ଏବଂ, ଏକ ଆକଳନ ଅନୁଯାୟୀ, ପ୍ରାୟ ସତୁରୀ ପ୍ରତିଶତ ୱେବସାଇଟ୍ ଚଲାଏ, ଯେଉଁଥିରେ ୱର୍ଡପ୍ରେସ୍ ଏବଂ ୱିକିପିଡିଆ ପଛରେ ଥିବା ସଫ୍ଟୱେର୍ ଅନ୍ତର୍ଭୁକ୍ତ। ଡେଭଲପରମାନେ ଏହାକୁ ଉପହାସ କରିବାକୁ ଭଲ ପାଆନ୍ତି, ସାଧାରଣତଃ ଏକ ପୃଷ୍ଠାରୁ ଯାହା PHP ସେମାନଙ୍କୁ ସେବା କରୁଛି। ଏହାର ରକ୍ଷଣାବେକ୍ଷଣ ପ୍ରାୟ ତେର ଇଞ୍ଜିନିୟର ଥିବା ଏକ ଅଣଲାଭକାରୀ ସଂସ୍ଥା ଅଟେ।

ଦୁଇଟି PHP2Shell ତ୍ରୁଟି କ'ଣ?

0:41 ବୁଧବାର ଦିନ, PHP ଦୁଇଟି ଗୁରୁତ୍ୱପୂର୍ଣ୍ଣ ତ୍ରୁଟି ପାଇଁ ଜରୁରୀକାଳୀନ ସଂଶୋଧନ ଜାରି କରିଛି ଯାହା ଏକ ଅଜଣା ବ୍ୟକ୍ତିକୁ ଲଗଇନ୍ ବିନା ସର୍ଭରରେ କୋଡ୍ ଚଳାଇବାକୁ ଦିଏ। ସେମାନଙ୍କୁ ଏକାଠି PHP2Shell କୁହାଯାଏ, ଏବଂ ସେମାନେ PHP 5.4 କୁ ଫେରିଯାଆନ୍ତି। ଏଠାରେ ପ୍ରଥମ ତ୍ରୁଟି ସରଳ ଶବ୍ଦରେ ଅଛି। PHP ପ୍ରତ୍ୟେକ ଅନୁରୋଧକୁ ଏକ ମେମୋରୀ ବଜେଟ୍ ଦିଏ। ଯଦି ଏକ ଅନୁରୋଧ ଠିକ୍ ଭୁଲ ସମୟରେ ସେହି ସୀମାକୁ ହିଟ୍ କରେ, PHP ତରତରରେ ବାହାରିଯାଏ ଏବଂ ଅନୁରୋଧକୁ ଅଧା ନିର୍ମିତ ଛାଡିଦିଏ। ତା'ପରେ ସଫେଇ ପଦକ୍ଷେପ ଅଧା ନିର୍ମିତ ଜିନିଷକୁ ବିଶ୍ୱାସ କରେ।

1:07 ଦ୍ୱିତୀୟ ତ୍ରୁଟି ହେଉଛି ଏକ ଅବଶିଷ୍ଟାଂଶ। ଏକ ଘାତକ ତ୍ରୁଟି ଶେଷ ଅନୁରୋଧର ମେମୋରୀକୁ ନିର୍ଦ୍ଦେଶ କରୁଥିବା ଏକ ନୋଟ୍ ଛାଡିପାରେ। ସମାନ କର୍ମଚାରୀ ପରବର୍ତ୍ତୀ ଅନୁରୋଧକୁ ପରିଚାଳନା କରେ ଏବଂ ନୋଟ୍ ଅନୁସରଣ କରେ। ସେତେବେଳକୁ ସେହି ଠିକଣାରେ ଅନ୍ୟ କେହି ରୁହନ୍ତି। Apache ରେ mod PHP ସହିତ, ଆପଣଙ୍କ ନିଜ କୋଡ୍ ଚାଲିବା ପୂର୍ବରୁ କ୍ଷତି ହୁଏ, ତେଣୁ ଆପଣଙ୍କ ଲଗଇନ୍ ପୃଷ୍ଠା କେବେହେଲେ ଭୋଟ୍ ପାଏ ନାହିଁ। Wiz କୁହନ୍ତି ଏକ hello world ସ୍କ୍ରିପ୍ଟ ମଧ୍ୟ ପ୍ରକାଶିତ ହୋଇଛି। ସଂଶୋଧନ ମେମୋରୀରୁ ବାହାରିଯିବା ପାଇଁ PHP ର ଜରୁରୀକାଳୀନ ପ୍ରସ୍ଥାନକୁ ହଟାଇଦିଏ।

1:32 ଅନୁରୋଧ ମଧ୍ୟରେ ବାହାରିଯିବା ପରିବର୍ତ୍ତେ, PHP ବର୍ତ୍ତମାନ ପରବର୍ତ୍ତୀ ନିରାପଦ ସ୍ଥାନରେ ଭଦ୍ର ଭାବରେ ବନ୍ଦ ହୁଏ। ଅଜବ କଥା ହେଉଛି ପ୍ରଥମ ସୂଚନା କେତେ ପୁରୁଣା।

ଜଣାଶୁଣା ତ୍ରୁଟି କାହିଁକି ଦୁଇ ବର୍ଷ ଅପେକ୍ଷା କଲା?

1:39 2024 ରେ, ଏକ ବାହ୍ୟ ସୁରକ୍ଷା ଅଡିଟ୍ ଏକ PHP କୋର୍ ଡେଭଲପରକୁ ମେମୋରୀ ସମସ୍ୟାର ପ୍ରଥମ ସଙ୍କେତକୁ ନେଇଗଲା। କୌଣସି ଶୋଷଣ ଜଣା ନଥିଲା, ଏବଂ ପ୍ରତ୍ୟେକ ସଂଶୋଧନ କିଛି ଭାଙ୍ଗୁଥିଲା। ସହମତି ଦ୍ୱାରା ନିଷ୍ପତ୍ତି ନେଉଥିବା ଏକ ଦଳ ଚୟନ କରିପାରିଲା ନାହିଁ, ତେଣୁ ତ୍ରୁଟି ଅପେକ୍ଷା କଲା। ତା'ପରେ ଅଗଷ୍ଟରେ, ଦିନକ ମଧ୍ୟରେ ଖୋଜୁଥିବା ବ୍ୟକ୍ତିମାନେ ପହଞ୍ଚିଲେ।

PHP2Shell କିଏ ଏବଂ କିପରି ପାଇଲା?

1:56 Calif ଗବେଷକ ରିଆନ୍ ଅଷ୍ଟିନ୍ ଅଗଷ୍ଟ ପହିଲାରେ ଏହାକୁ ପାଇଥିଲେ, OpenAI ର Patch the Planet କାର୍ଯ୍ୟକ୍ରମ ମାଧ୍ୟମରେ କାମ କରୁଥିଲେ। OpenAI ସ୍ୱାଧୀନ ଭାବରେ ସମାନ ମୂଳ କାରଣ ରିପୋର୍ଟ କରିଛି। Wiz କିଛି ସପ୍ତାହ ପରେ Gemini ଏବଂ GPT ମଡେଲ ସହିତ ଭିନ୍ନତା ପାଇଥିଲେ। ଅଷ୍ଟିନ୍ କୁହନ୍ତି ସେ ଯେକେହି ପାଇପାରିବା ଭଳି ମଡେଲ ବ୍ୟବହାର କରିଥିଲେ, ଏବଂ PHP ର ପୁରୁଣା ତ୍ରୁଟି କେଉଁଠି ଲୁଚି ରହିଛି ସେ ବିଷୟରେ ଏକ ତତ୍ତ୍ୱ। OpenAI କୁହନ୍ତି ଫ୍ରଣ୍ଟିଅର୍ AI ଥିଲା ମୁଖ୍ୟ କାରଣ। ତ୍ରୁଟି ଦଶନ୍ଧିରୁ ଅଧିକ ସମୟ ଧରି ଲୁଚି ରହିଥିଲା। ରିଲିଜ୍ ଗୁରୁବାର ପାଇଁ ଯୋଜନା କରାଯାଇଥିଲା।

PHP2Shell ପ୍ରତିବନ୍ଧକ କିପରି ଲିକ୍ ହେଲା?

2:21 ମଙ୍ଗଳବାର ଦିନ, ଦୁଇଟି CVE ନମ୍ବର ଅନଲାଇନରେ ପ୍ରଚାରିତ ହେବାକୁ ଲାଗିଲା, ଏକ ଭୁଲ ରିଲିଜ୍ ସମୟ ଏବଂ ଦଶର ଏକ ଭୁଲ ସ୍କୋର ସହିତ। PHP ରିଲିଜକୁ ଗୋଟିଏ ଦିନ ଆଗକୁ ଟାଣି ଆଣିଲା। ସେହି ସନ୍ଧ୍ୟାରେ, Calif ଦୁର୍ଘଟଣାବଶତଃ ଏହାର ପ୍ରୁଫ୍ ଅଫ୍ କନସେପ୍ଟର ଏକ ଭିଡିଓ କାମ କରୁଥିବା ପ୍ରକାଶ କରିଥିଲା, ଏବଂ କପିଗୁଡ଼ିକ ବିଲୋପ ପରେ ବଞ୍ଚି ରହିଲା। ବୁଧବାର ସକାଳେ, ରିଲିଜ୍ ର ଛଅ ଘଣ୍ଟାରୁ ଅଧିକ ପୂର୍ବରୁ, Chainguard ସଂଶୋଧନ ଧାରଣ କରିଥିବା ନିର୍ମିତ ପ୍ରତିଛବି ପ୍ରକାଶ କରିଥିଲା। PHP କୁହନ୍ତି ଯେକୌଣସି ଆକ୍ରମଣକାରୀ ସେହି ସଂଶୋଧନକୁ ଅଧ୍ୟୟନ କରିପାରିବେ ଯେତେବେଳେ ଅନ୍ୟ ସମସ୍ତେ ଅପେକ୍ଷା କରିଥିଲେ।

2:46 ଏକ ପ୍ୟାଚ୍ ମଧ୍ୟ ଏକ ଡିଫ୍, ଏବଂ ଆକ୍ରମଣକାରୀମାନେ ଡିଫ୍ ପଢନ୍ତି।

PHP2Shell ଶୋଷିତ ହେଉଛି କି, ଏବଂ କିଏ ଦ୍ୱାରା?

2:50 ତେବେ ପ୍ରକୃତରେ କିଏ ଆକ୍ରାନ୍ତ ହେଉଛି? ଆମାଜନର ହନିପଟ୍ ଅକ୍ଟୋବର ସତର ତାରିଖରେ ଏକ ପ୍ରୟାସ ଲଗ୍ କରିଥିଲା ଏବଂ ପରେ କହିଥିଲା PHP2Shell ବ୍ୟାପକ ଭାବରେ ଶୋଷିତ ହେଉଛି। watchTowr ବାହାରେ ଶୋଷଣ ରିପୋର୍ଟ କରିଛି। Cisa କହିଲା ଯେ ଏହା ପ୍ରକାଶନ ସମୟରେ କୌଣସି ପ୍ରକାରର ଶୋଷଣ ଦେଖିନଥିଲା, ଏବଂ PHP ର ଦଳ ରିଲିଜ୍ ସମୟରେ କୌଣସି କାର୍ଯ୍ୟକ୍ଷମ ଶୋଷଣ ଦେଖିନଥିଲା। କ୍ଲାଉଡଫ୍ଲେୟାରର CEO କହିଛନ୍ତି ଯେ ଘୋଷଣା ପୂର୍ବରୁ ଦଶ ଘଣ୍ଟା ମଧ୍ୟରେ ହଜାର ହଜାର ପ୍ରୟାସ ଦେଖାଯାଇଥିଲା, ଏବଂ ଗୁରୁବାର ସକାଳ ସୁଦ୍ଧା ଲକ୍ଷ ଲକ୍ଷ।

3:13 ଆମାଜନ ଗୋଟିଏ ବିଷୟରେ ସତର୍କ। ଏହା ଜାଣିନାହିଁ ଯେ ଏହାର ସର୍ବପ୍ରଥମ ପ୍ରୟାସଗୁଡ଼ିକ ଏକ ପ୍ରକୃତ ସିଷ୍ଟମରେ କାମ କରିଥାନ୍ତା କି ନାହିଁ। ଏକ ପ୍ରୟାସ କେବଳ ଦ୍ୱାରରେ ଏକ ଠକ୍ ଠକ୍। ତେବେ ପ୍ରକୃତରେ ଏହା କେତେ ଖରାପ? watchTowr କୁହନ୍ତି ସାର୍ବଜନୀନ ଶୋଷଣଗୁଡ଼ିକ ପ୍ରାୟତଃ କ୍ରାସ୍ କରେ କିମ୍ବା କିଛି କରେ ନାହିଁ। VulnCheck କୁହନ୍ତି କିଛି ସେଟଅପରେ କୋଡ୍ ଏକ୍ସକ୍ୟୁସନ୍ କାମ କରେ, ଏବଂ କୌଣସି ସାର୍ବଜନୀନ ତ୍ରୁଟି ଷ୍ଟାଣ୍ଡାର୍ଡ x86 ସର୍ଭରରେ ମେମୋରୀ ରାଣ୍ଡମାଇଜେସନକୁ ପରାସ୍ତ କରେ ନାହିଁ। ଗବେଷକ ଏଲିଆସ୍ ଟେଲର୍ କୁହନ୍ତି ଏହା Log4Shell ଭଳି ସହଜ ନୁହେଁ।

3:40 ସମସ୍ତେ ତଥାପି ପ୍ୟାଚ୍ କରିବାକୁ କୁହନ୍ତି। ସରକାରମାନେ ରାୟ ପାଇଁ ଅପେକ୍ଷା କରିନଥିଲେ।

ସରକାରମାନେ କେଉଁଗୁଡ଼ିକୁ ଅଫଲାଇନ୍ କରିଛନ୍ତି?

3:44 NSA ସଂଗଠନଗୁଡ଼ିକୁ କହିଲା ଯେଉଁମାନେ ପ୍ୟାଚ୍ କରିପାରିବେ ନାହିଁ ସେମାନେ PHP ସିଷ୍ଟମଗୁଡ଼ିକୁ ଅଫଲାଇନ୍ କରନ୍ତୁ, ଏବଂ UK ର ନ୍ୟାସନାଲ ସାଇବର ସୁରକ୍ଷା କେନ୍ଦ୍ର ସମାନ ପରାମର୍ଶ ଦେଇଥିଲା। ଡଚ୍ ସାଇଟ୍, ଜାତୀୟ ଡିଜିଟାଲ୍ ପରିଚୟ ସେବା ସହିତ, ପ୍ୟାରିସ୍ ପୋଲିସ୍ ସାଇଟ୍ ସହିତ ଅନ୍ଧକାରରେ ଚାଲିଗଲା। Wikimedia ସତର୍କତାମୂଳକ ଭାବରେ ଅନେକ ସିଷ୍ଟମ ବନ୍ଦ କରିଛି। Palo Alto Networks ବାଇଶି ନିୟୁତରୁ ଅଧିକ ପ୍ରକାଶିତ ଇନଷ୍ଟାନ୍ସ ଗଣନା କରିଛି। ଏବଂ ଜଣେ ଅଷ୍ଟ୍ରେଲିୟ ପ୍ରଫେସର ସବୁଠାରୁ ତୀକ୍ଷ୍ଣ କଥା କହିଛନ୍ତି। ଆଜି ଯେଉଁ ସାଇଟ୍ ଗୁଡିକ ବନ୍ଦ ନାହିଁ, ସେଗୁଡ଼ିକ ବିଷୟରେ ଚିନ୍ତା କରିବାକୁ ହେବ।

କେଉଁ PHP ସଂସ୍କରଣଗୁଡ଼ିକରେ ଏକ ସଂଶୋଧନ ମିଳେ?

4:11 PHP 8.2 ରୁ 8.5 ପାଇଁ ସଂଶୋଧନଗୁଡ଼ିକ ଉପଲବ୍ଧ। 7.4, 8.0 ଏବଂ 8.1 ପାଇଁ, PHP କେବଳ ସୋର୍ସ ପ୍ୟାଚ୍ ପ୍ରକାଶ କରିଛି। ପୁରୁଣା ସଂସ୍କରଣଗୁଡ଼ିକ PHP ପ୍ରୋଜେକ୍ଟରୁ କିଛି ପାଆନ୍ତି ନାହିଁ, ତେଣୁ ଆପଣଙ୍କ ବିତରକଙ୍କୁ ପଚାରନ୍ତୁ। କାର୍ଯ୍ୟପ୍ରଣାଳୀ ସମ୍ଭାବନାକୁ ହ୍ରାସ କରେ, କିନ୍ତୁ PHP କୁହନ୍ତି ଅପଡେଟ୍ କରିବା ହିଁ ଏକମାତ୍ର ସମ୍ପୂର୍ଣ୍ଣ ସଂଶୋଧନ। ଏହା କାଲିର eMudhra ଏପିସୋଡ୍ ଭଳି ସମାନ ଶିକ୍ଷା,

ଆପଣ ଆଜି ରାତିରେ PHP2Shell ବିଷୟରେ କ'ଣ କରିବେ?

4:32 କାରଣ ଏକ ସଂଶୋଧନ ଉପଲବ୍ଧ ହେବା ଏବଂ ଚାଲୁଥିବା ପ୍ରକ୍ରିୟା ପାଖରେ ଏହା ଥିବା ସମାନ ନୁହେଁ। ଆପଣଙ୍କ ଷ୍ଟାକରେ ଥିବା ପ୍ରତ୍ୟେକ PHP କୁ ଖୋଜନ୍ତୁ, ଅନ୍ୟ ସଫ୍ଟୱେର ଭିତରେ ଲୁଚି ରହିଥିବା କପି ସହିତ। ଅପଡେଟ୍ କରନ୍ତୁ, କର୍ମଚାରୀମାନଙ୍କୁ ପୁନଃ ଆରମ୍ଭ କରନ୍ତୁ, ଏବଂ ଅକ୍ଟୋବର ସତର ତାରିଖ ପର୍ଯ୍ୟନ୍ତ ଲଗ୍ ଯାଞ୍ଚ କରନ୍ତୁ। ସେହି ଦିନ, GitLab ଏକ ଗୁରୁତ୍ୱପୂର୍ଣ୍ଣ ପ୍ୟାଚ୍ ରିଲିଜ୍ ଜାରି କରିଛି,

ଆଜି ଆଉ କ'ଣ ଏକ ଗୁରୁତ୍ୱପୂର୍ଣ୍ଣ RCE ପ୍ୟାଚ୍ ଜାରି କରିଛି?

4:47 19.5.1। ଏହାର ନିୟମିତ ଅଭିବ୍ୟକ୍ତି କମ୍ପାଇଲରରେ ଏକ ପୂର୍ଣ୍ଣ ସଂଖ୍ୟା ଓଭରଫ୍ଲୋ ଏକ ଅପ୍ରମାଣିତ ଉପଭୋକ୍ତାକୁ ସର୍ଭରରେ କୋଡ୍ ଚଳାଇବାକୁ ଦିଏ, ଏବଂ ଏହା ଦଶରୁ ଦଶ ସ୍କୋର କରେ। GitLab.com ପୂର୍ବରୁ ପ୍ୟାଚ୍ ହୋଇସାରିଛି। ସ୍ୱୟଂ-ପରିଚାଳିତ ସ୍ଥାପନାଗୁଡ଼ିକୁ ଅପଡେଟ୍ ଆବଶ୍ୟକ। ଏହି ସମୟରେ ନ୍ୟୁ ମେକ୍ସିକୋରେ, ଜଣେ ବିଚାରପତି Meta କୁ Cambridge Analytica କୁ ନେଇ ପଚିଶି ବିଲିୟନ ଡଲାର

Meta କାହିଁକି $25 ବିଲିୟନ ପରିମାଣର ଜରିମାନା ଦେବାକୁ ନିର୍ଦ୍ଦେଶ ଦିଆଯାଇଥିଲା?

5:01 ଜରିମାନା ଦେବାକୁ ନିର୍ଦ୍ଦେଶ ଦେଇଛନ୍ତି। ଜୁରୀ ତେୟାଳିଶି ନିୟୁତରୁ ଅଧିକ ଉଲ୍ଲଂଘନ ଗଣନା କରିଥିଲେ ପ୍ରତ୍ୟେକ ପାଞ୍ଚ ହଜାର ଡଲାର ପର୍ଯ୍ୟନ୍ତ, ଯାହା ବିଚାରପତି ଏହାକୁ ହ୍ରାସ କରିବା ପୂର୍ବରୁ ପ୍ରାୟ ଦୁଇ ଶହ ବାଇଶି ବିଲିୟନରେ ପହଞ୍ଚିଥିଲା। Meta କୁହନ୍ତି ଏହା ଅପିଲରେ ଜିତିବ। ବର୍ତ୍ତମାନ ମୁଁ ପ୍ରତିଜ୍ଞା କରିଥିବା ପ୍ରତିରକ୍ଷା। Chainguard ର CEO The Register କୁ କହିଛନ୍ତି ଯେ ସେ PHP ରେ କିଛି ଆସୁଥିବା ଜାଣିବା ପରେ ଶୁକ୍ରବାର ରାତିରେ

ଶୀଘ୍ର ସଂଶୋଧନ ପାଇଁ Chainguard ର ପ୍ରତିରକ୍ଷା କ'ଣ?

5:19 ସମାନ ତ୍ରୁଟିଗୁଡ଼ିକୁ ନିଜେ ଖୋଜି ପାଇଥିଲେ, ଏକ ମୌଳିକ ପ୍ରମ୍ପ୍ଟ ସହିତ ଖରାପ ଦୁର୍ବଳତା ଖୋଜିବା ପାଇଁ। ସେ କୁହନ୍ତି ସେ ଶୀଘ୍ର ଜାରି କରିଥିଲେ କାରଣ ଲୋକମାନେ ପୂର୍ବରୁ ଆକ୍ରାନ୍ତ ହେଉଥିଲେ। ଯଦି ଆପଣ ମୋ କହିବା ଅପେକ୍ଷା ଏହାକୁ ପଢିବାକୁ ପସନ୍ଦ କରନ୍ତି, ଡିଫ୍ ପ୍ରତି ସକାଳେ ଆପଣଙ୍କ ଇନବକ୍ସରେ ଆସେ, the daily diff dot dev ରେ ମାଗଣା, ନିମ୍ନରେ ଲିଙ୍କ୍। ତେଣୁ ଆଜିର ରାୟ ହେଉଛି SHIP IT। ଆଜି ରାତିରେ PHP ଅପଡେଟ୍ ଜାରି କରନ୍ତୁ, କାରଣ ନୂତନ ସଂସ୍କରଣ ନମ୍ବର ହିଁ ଏକମାତ୍ର ସମ୍ପୂର୍ଣ୍ଣ

କେଉଁଟି SHIP IT ଷ୍ଟାମ୍ପ୍ ପାଏ?

5:39 ସଂଶୋଧନ। ଏବଂ ଆଜି ପାଇଁ ଏତିକି ଡିଫ୍। ମୁଁ Axrisi ରୁ Niko। ଦାୟିତ୍ୱର ସହିତ ମିଶାନ୍ତୁ। ଦାୟିତ୍ୱର ସହିତ ମିଶାନ୍ତୁ।

ଉତ୍ସଗୁଡ଼ିକ

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News