PHP2Shell: PHP ਦੀਆਂ ਦੋ ਗੰਭੀਰ ਕਮੀਆਂ, ਇੱਕ ਪਾਬੰਦੀ ਜੋ ਲੀਕ ਹੋ ਗਈ, ਅਤੇ ਸ਼ੋਸ਼ਣ ਬਾਰੇ ਅਸਲ ਵਿੱਚ ਕੀ ਪਤਾ ਹੈ

ਇਹ ਵੀਡੀਓ ਕੀ ਕਵਰ ਕਰਦਾ ਹੈ

• ਦੋਵੇਂ ਕਮੀਆਂ ਨੂੰ PHP ਟੀਮ ਦੁਆਰਾ CVSS v4.0 'ਤੇ 9.2 ਦਰਜਾ ਦਿੱਤਾ ਗਿਆ ਹੈ। ਫਿਕਸ ਕੀਤੇ ਗਏ ਰੀਲੀਜ਼ ਹਨ PHP 8.2.35, 8.3.36, 8.4.27 ਅਤੇ 8.5.12; PHP 7.4, 8.0 ਅਤੇ 8.1 ਨੂੰ ਸਿਰਫ ਸਰੋਤ ਪੈਚ ਪ੍ਰਾਪਤ ਹੋਏ। PHP ਦਾ ਕਹਿਣਾ ਹੈ ਕਿ ਅਪਡੇਟ ਕਰਨਾ ਹੀ ਇੱਕੋ ਇੱਕ ਪੂਰਾ ਹੱਲ ਹੈ।
• ਪਹਿਲੀ ਕਮੀ PHP ਦੇ ਇੱਕ ਅਜਿਹੇ ਸਮੇਂ 'ਤੇ ਮੈਮੋਰੀ ਖਤਮ ਹੋਣ 'ਤੇ ਅੱਧਾ ਬਣਿਆ ਹੋਇਆ ਬੇਨਤੀ ਛੱਡਣ ਕਾਰਨ ਆਉਂਦੀ ਹੈ। ਦੂਜੀ ਉਸੇ ਵਰਕਰ ਵਿੱਚ ਬਾਅਦ ਵਿੱਚ ਇੱਕ ਬੇਨਤੀ ਦੁਆਰਾ ਵਰਤੀ ਜਾ ਸਕਣ ਵਾਲੀ ਇੱਕ ਬੇਨਤੀ ਦੀ ਮੈਮੋਰੀ ਵੱਲ ਇੱਕ ਬਚੇ ਹੋਏ ਪੁਆਇੰਟਰ ਤੋਂ ਆਉਂਦੀ ਹੈ। Apache 'ਤੇ mod_php ਨਾਲ ਪਹਿਲਾ ਰਸਤਾ ਐਪਲੀਕੇਸ਼ਨ ਕੋਡ ਤੋਂ ਪਹਿਲਾਂ ਚੱਲਦਾ ਹੈ।
• ਇੱਕ PHP ਕੋਰ ਡਿਵੈਲਪਰ ਨੇ 2024 ਦੇ ਆਡਿਟ ਦੌਰਾਨ ਮੈਮੋਰੀ ਸਮੱਸਿਆ ਦੇ ਪਹਿਲੇ ਸੰਕੇਤ ਲੱਭੇ। PHP ਫਾਊਂਡੇਸ਼ਨ ਦਾ ਕਹਿਣਾ ਹੈ ਕਿ ਮੁਕਾਬਲੇ ਵਾਲੇ ਫਿਕਸਾਂ ਵਿੱਚ ਸਮਝੌਤੇ ਸਨ ਅਤੇ ਇੱਕ ਸਹਿਮਤੀ-ਅਧਾਰਤ ਸੁਰੱਖਿਆ ਟੀਮ ਨੂੰ ਚੁਣਨ ਵਿੱਚ ਮੁਸ਼ਕਲ ਆਈ, ਜਿਸਨੂੰ ਇਹ ਇੱਕ ਢਾਂਚਾਗਤ ਅਸਫਲਤਾ ਕਹਿੰਦਾ ਹੈ।
• ਫਾਊਂਡੇਸ਼ਨ ਦਾ ਕਹਿਣਾ ਹੈ ਕਿ CVE IDs 20 ਅਕਤੂਬਰ ਨੂੰ ਲੀਕ ਹੋ ਗਏ, Calif ਨੇ ਗਲਤੀ ਨਾਲ ਇੱਕ ਪ੍ਰੂਫ਼-ਆਫ਼-ਕਨਸੈਪਟ ਵੀਡੀਓ ਪ੍ਰਕਾਸ਼ਤ ਕੀਤਾ, ਅਤੇ Chainguard ਨੇ ਰੀਲੀਜ਼ ਤੋਂ ਛੇ ਘੰਟੇ ਤੋਂ ਵੱਧ ਸਮਾਂ ਪਹਿਲਾਂ ਫਿਕਸ ਨਾਲ ਬਣਾਈਆਂ ਗਈਆਂ ਤਸਵੀਰਾਂ ਪ੍ਰਕਾਸ਼ਤ ਕੀਤੀਆਂ। Chainguard ਦੇ ਸੀਈਓ ਦਾ ਕਹਿਣਾ ਹੈ ਕਿ ਲੋਕ ਪਹਿਲਾਂ ਹੀ ਪ੍ਰਭਾਵਿਤ ਹੋ ਰਹੇ ਸਨ ਅਤੇ ਉਸਨੇ ਬੱਗ ਸੁਤੰਤਰ ਤੌਰ 'ਤੇ ਲੱਭੇ।
• ਸ਼ੋਸ਼ਣ ਬਾਰੇ ਸਰੋਤ ਅਸਹਿਮਤ ਹਨ। ਐਮਾਜ਼ਾਨ ਨੇ 17 ਅਕਤੂਬਰ ਨੂੰ ਇੱਕ ਕੋਸ਼ਿਸ਼ ਨੂੰ ਲੌਗ ਕੀਤਾ ਅਤੇ ਬਾਅਦ ਵਿੱਚ ਕਿਹਾ ਕਿ PHP2Shell ਦਾ ਵਿਆਪਕ ਤੌਰ 'ਤੇ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਗਿਆ ਸੀ। watchTowr ਨੇ ਜੰਗਲੀ ਵਿੱਚ ਸ਼ੋਸ਼ਣ ਦੀ ਰਿਪੋਰਟ ਕੀਤੀ। CISA ਨੇ ਪ੍ਰਕਾਸ਼ਨ ਸਮੇਂ ਸ਼ੋਸ਼ਣ ਨਹੀਂ ਦੇਖਿਆ ਸੀ, ਅਤੇ PHP ਟੀਮ ਨੂੰ ਰੀਲੀਜ਼ ਸਮੇਂ ਕੋਈ ਕਾਰਜਸ਼ੀਲ ਸ਼ੋਸ਼ਣ ਨਹੀਂ ਮਿਲਿਆ। ਬਹੁਤ ਸਾਰੇ ਜਨਤਕ ਪ੍ਰੂਫ਼-ਆਫ਼-ਕਨਸੈਪਟ ਸਕ੍ਰਿਪਟਾਂ ਦੇ ਕੰਮ ਨਾ ਕਰਨ ਦੀ ਰਿਪੋਰਟ ਕੀਤੀ ਗਈ ਹੈ।
• ਹਰ ਉਸ ਜਗ੍ਹਾ ਦੀ ਜਾਂਚ ਕਰੋ ਜਿੱਥੇ PHP ਚੱਲਦਾ ਹੈ, ਜਿਸ ਵਿੱਚ ਦੂਜੇ ਸੌਫਟਵੇਅਰ ਦੇ ਅੰਦਰ ਦੀਆਂ ਕਾਪੀਆਂ ਵੀ ਸ਼ਾਮਲ ਹਨ, ਅਪਡੇਟ ਕਰੋ, ਵਰਕਰਾਂ ਨੂੰ ਮੁੜ ਚਾਲੂ ਕਰੋ ਅਤੇ 17 ਅਕਤੂਬਰ ਤੱਕ ਦੇ ਲੌਗਾਂ ਦੀ ਸਮੀਖਿਆ ਕਰੋ।

ਅਨੁਵਾਦਿਤ ਟ੍ਰਾਂਸਕ੍ਰਿਪਟ

ਮੂਲ ਅੰਗਰੇਜ਼ੀ ਬਿਰਤਾਂਤ ਤੋਂ ਅਨੁਵਾਦ ਕੀਤਾ ਗਿਆ। ਉਪਲਬਧ ਆਡੀਓ ਅਤੇ ਕੈਪਸ਼ਨ YouTube ਦੁਆਰਾ ਨਿਯੰਤਰਿਤ ਕੀਤੇ ਜਾਂਦੇ ਹਨ।

PHP2Shell ਨੂੰ ਚਾਰ ਦਿਨ ਪਹਿਲਾਂ ਕਿਸ ਨੇ ਅਜ਼ਮਾਇਆ?

0:00 ਇੱਕ ਸੁਰੱਖਿਆ ਪਾਬੰਦੀ ਦਾ ਮਤਲਬ ਹੈ ਕਿ ਬੱਗ ਨੂੰ ਪੈਚ ਭੇਜਣ ਤੱਕ ਗੁਪਤ ਰੱਖਿਆ ਜਾਵੇ। ਐਮਾਜ਼ਾਨ ਨੇ PHP ਦੇ ਗੰਭੀਰ ਬੱਗ ਦੇ ਵਿਰੁੱਧ ਚਾਰ ਦਿਨ ਪਹਿਲਾਂ ਇੱਕ ਕੋਸ਼ਿਸ਼ ਨੂੰ ਲੌਗ ਕੀਤਾ। ਇਸ ਵੀਡੀਓ ਵਿੱਚ, ਇਸਨੂੰ ਕਿਸ ਨੇ ਲੱਭਿਆ? ਪਾਬੰਦੀ ਕਿਵੇਂ ਲੀਕ ਹੋਈ? ਅਤੇ ਇਹ ਕਿੰਨਾ ਬੁਰਾ ਹੈ, ਅਸਲ ਵਿੱਚ? ਅਤੇ ਲੀਕ ਲਈ ਦੋਸ਼ੀ ਕੰਪਨੀ ਕੋਲ ਇੱਕ ਰੱਖਿਆ ਹੈ ਜਿਸਦੀ ਮੈਨੂੰ ਉਮੀਦ ਨਹੀਂ ਸੀ। ਮੈਂ ਇਸ ਤੱਕ ਪਹੁੰਚਾਂਗਾ। ਇਹ ਵੀਰਵਾਰ, 22 ਅਕਤੂਬਰ ਹੈ, ਅਤੇ ਇਹ The Daily Diff ਹੈ।

0:21 PHP ਇੱਕ ਸਕ੍ਰਿਪਟਿੰਗ ਭਾਸ਼ਾ ਹੈ ਜੋ ਵੈੱਬ ਪੰਨਿਆਂ ਨੂੰ ਸਰਵਰ 'ਤੇ ਬਣਾਉਂਦੀ ਹੈ ਬਿਲਕੁਲ ਇਸ ਤੋਂ ਪਹਿਲਾਂ ਕਿ ਉਹ ਤੁਹਾਡੇ ਤੱਕ ਪਹੁੰਚਣ। ਇਹ ਤੀਹ ਸਾਲਾਂ ਤੋਂ ਵੱਧ ਪੁਰਾਣੀ ਹੈ ਅਤੇ, ਇੱਕ ਅਨੁਮਾਨ ਅਨੁਸਾਰ, ਵਰਡਪਰੈਸ ਅਤੇ ਵਿਕੀਪੀਡੀਆ ਦੇ ਪਿੱਛੇ ਦੇ ਸੌਫਟਵੇਅਰ ਸਮੇਤ ਲਗਭਗ ਸੱਤਰ ਪ੍ਰਤੀਸ਼ਤ ਵੈਬਸਾਈਟਾਂ ਨੂੰ ਚਲਾਉਂਦੀ ਹੈ। ਡਿਵੈਲਪਰ ਇਸਦਾ ਮਜ਼ਾਕ ਉਡਾਉਣਾ ਪਸੰਦ ਕਰਦੇ ਹਨ, ਆਮ ਤੌਰ 'ਤੇ ਇੱਕ PHP ਦੁਆਰਾ ਸੇਵਾ ਕੀਤੇ ਜਾ ਰਹੇ ਪੰਨੇ ਤੋਂ। ਇਸਦੀ ਦੇਖਭਾਲ ਲਗਭਗ ਤੇਰਾਂ ਇੰਜੀਨੀਅਰਾਂ ਵਾਲੀ ਇੱਕ ਗੈਰ-ਲਾਭਕਾਰੀ ਸੰਸਥਾ ਹੈ।

ਦੋ PHP2Shell ਬੱਗ ਕੀ ਹਨ?

0:41 ਬੁੱਧਵਾਰ ਨੂੰ, PHP ਨੇ ਦੋ ਗੰਭੀਰ ਕਮੀਆਂ ਲਈ ਐਮਰਜੈਂਸੀ ਫਿਕਸ ਭੇਜੇ ਜੋ ਇੱਕ ਅਜਨਬੀ ਨੂੰ ਬਿਨਾਂ ਲੌਗਇਨ ਦੇ ਸਰਵਰ 'ਤੇ ਕੋਡ ਚਲਾਉਣ ਦਿੰਦੇ ਹਨ। ਇਕੱਠੇ ਉਹਨਾਂ ਨੂੰ PHP2Shell ਕਿਹਾ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਉਹ PHP ਪੰਜ ਪੁਆਇੰਟ ਚਾਰ ਤੱਕ ਵਾਪਸ ਜਾਂਦੇ ਹਨ। ਇਹ ਪਹਿਲਾ ਬੱਗ ਸਧਾਰਨ ਸ਼ਬਦਾਂ ਵਿੱਚ ਹੈ। PHP ਹਰ ਬੇਨਤੀ ਨੂੰ ਇੱਕ ਮੈਮੋਰੀ ਬਜਟ ਦਿੰਦਾ ਹੈ। ਜੇਕਰ ਇੱਕ ਬੇਨਤੀ ਬਿਲਕੁਲ ਗਲਤ ਸਮੇਂ 'ਤੇ ਉਸ ਸੀਮਾ ਨੂੰ ਮਾਰਦੀ ਹੈ, PHP ਕਾਹਲੀ ਵਿੱਚ ਬਾਹਰ ਨਿਕਲ ਜਾਂਦਾ ਹੈ ਅਤੇ ਬੇਨਤੀ ਨੂੰ ਅੱਧਾ ਬਣਿਆ ਹੋਇਆ ਛੱਡ ਦਿੰਦਾ ਹੈ। ਫਿਰ ਕਲੀਨਅੱਪ ਕਦਮ ਅੱਧਾ ਬਣੀ ਹੋਈ ਚੀਜ਼ 'ਤੇ ਭਰੋਸਾ ਕਰਦਾ ਹੈ।

1:07 ਦੂਜਾ ਬੱਗ ਇੱਕ ਬਚਿਆ ਹੋਇਆ ਹੈ। ਇੱਕ ਘਾਤਕ ਗਲਤੀ ਮੈਮੋਰੀ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਇੱਕ ਨੋਟ ਛੱਡ ਸਕਦੀ ਹੈ ਜੋ ਪਿਛਲੀ ਬੇਨਤੀ ਨਾਲ ਸਬੰਧਤ ਸੀ। ਉਹੀ ਵਰਕਰ ਅਗਲੀ ਬੇਨਤੀ ਨੂੰ ਸੰਭਾਲਦਾ ਹੈ ਅਤੇ ਨੋਟ ਦੀ ਪਾਲਣਾ ਕਰਦਾ ਹੈ। ਉਦੋਂ ਤੱਕ ਕੋਈ ਹੋਰ ਉਸ ਪਤੇ 'ਤੇ ਰਹਿੰਦਾ ਹੈ। Apache 'ਤੇ mod PHP ਨਾਲ, ਨੁਕਸਾਨ ਤੁਹਾਡੇ ਆਪਣੇ ਕੋਡ ਚੱਲਣ ਤੋਂ ਪਹਿਲਾਂ ਹੁੰਦਾ ਹੈ, ਇਸ ਲਈ ਤੁਹਾਡਾ ਲੌਗਇਨ ਪੰਨਾ ਕਦੇ ਵੀ ਵੋਟ ਨਹੀਂ ਪਾਉਂਦਾ। Wiz ਦਾ ਕਹਿਣਾ ਹੈ ਕਿ ਹੈਲੋ ਵਰਲਡ ਸਕ੍ਰਿਪਟ ਵੀ ਖਤਰੇ ਵਿੱਚ ਹੈ। ਫਿਕਸ ਮੈਮੋਰੀ ਖਤਮ ਹੋਣ ਲਈ PHP ਦੇ ਐਮਰਜੈਂਸੀ ਐਗਜ਼ਿਟ ਨੂੰ ਹਟਾਉਂਦਾ ਹੈ।

1:32 ਮੱਧ-ਬੇਨਤੀ ਤੋਂ ਬਾਹਰ ਨਿਕਲਣ ਦੀ ਬਜਾਏ, PHP ਹੁਣ ਅਗਲੇ ਸੁਰੱਖਿਅਤ ਬਿੰਦੂ 'ਤੇ ਨਿਮਰਤਾ ਨਾਲ ਰੁਕਦਾ ਹੈ। ਅਜੀਬ ਗੱਲ ਇਹ ਹੈ ਕਿ ਪਹਿਲਾ ਸੁਰਾਗ ਕਿੰਨਾ ਪੁਰਾਣਾ ਹੈ।

ਇੱਕ ਜਾਣਿਆ-ਪਛਾਣਿਆ ਬੱਗ ਦੋ ਸਾਲ ਕਿਉਂ ਉਡੀਕਦਾ ਰਿਹਾ?

1:39 2024 ਵਿੱਚ, ਇੱਕ ਬਾਹਰੀ ਸੁਰੱਖਿਆ ਆਡਿਟ ਨੇ ਇੱਕ PHP ਕੋਰ ਡਿਵੈਲਪਰ ਨੂੰ ਮੈਮੋਰੀ ਸਮੱਸਿਆ ਦੇ ਪਹਿਲੇ ਸੰਕੇਤਾਂ ਤੱਕ ਪਹੁੰਚਾਇਆ। ਕੋਈ ਸ਼ੋਸ਼ਣ ਨਹੀਂ ਜਾਣਿਆ ਜਾਂਦਾ ਸੀ, ਅਤੇ ਹਰ ਫਿਕਸ ਕੁਝ ਤੋੜਦਾ ਸੀ। ਸਹਿਮਤੀ ਨਾਲ ਫੈਸਲਾ ਕਰਨ ਵਾਲੀ ਇੱਕ ਟੀਮ ਚੁਣ ਨਹੀਂ ਸਕੀ, ਇਸ ਲਈ ਬੱਗ ਨੇ ਉਡੀਕ ਕੀਤੀ। ਫਿਰ ਅਗਸਤ ਵਿੱਚ, ਲੱਭਣ ਵਾਲੇ ਕੁਝ ਦਿਨਾਂ ਵਿੱਚ ਪਹੁੰਚ ਗਏ।

PHP2Shell ਨੂੰ ਕਿਸ ਨੇ ਅਤੇ ਕਿਵੇਂ ਲੱਭਿਆ?

1:56 Calif ਖੋਜਕਰਤਾ Ryan Austin ਨੇ ਇਸਨੂੰ 1 ਅਗਸਤ ਨੂੰ ਲੱਭਿਆ, OpenAI ਦੇ ਪੈਚ ਦ ਪਲੈਨੇਟ ਪ੍ਰੋਗਰਾਮ ਰਾਹੀਂ ਕੰਮ ਕਰਦੇ ਹੋਏ। OpenAI ਨੇ ਸੁਤੰਤਰ ਤੌਰ 'ਤੇ ਉਸੇ ਮੂਲ ਕਾਰਨ ਦੀ ਰਿਪੋਰਟ ਕੀਤੀ। Wiz ਨੇ ਕੁਝ ਹਫ਼ਤਿਆਂ ਬਾਅਦ ਜੇਮਿਨੀ ਅਤੇ GPT ਮਾਡਲਾਂ ਨਾਲ ਵੇਰੀਐਂਟ ਲੱਭੇ। Austin ਦਾ ਕਹਿਣਾ ਹੈ ਕਿ ਉਸਨੇ ਉਹ ਮਾਡਲ ਵਰਤੇ ਜੋ ਕੋਈ ਵੀ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦਾ ਹੈ, ਨਾਲ ਹੀ ਇੱਕ ਸਿਧਾਂਤ ਕਿ PHP ਦੇ ਪੁਰਾਣੇ ਬੱਗ ਕਿੱਥੇ ਲੁਕੇ ਹਨ। OpenAI ਦਾ ਕਹਿਣਾ ਹੈ ਕਿ ਫਰੰਟੀਅਰ AI ਮੁੱਖ ਕੁੰਜੀ ਸੀ। ਬੱਗ ਇੱਕ ਦਹਾਕੇ ਤੋਂ ਵੱਧ ਸਮੇਂ ਤੋਂ ਲੁਕਿਆ ਹੋਇਆ ਸੀ। ਰੀਲੀਜ਼ ਵੀਰਵਾਰ ਲਈ ਯੋਜਨਾਬੱਧ ਸੀ।

PHP2Shell ਪਾਬੰਦੀ ਕਿਵੇਂ ਲੀਕ ਹੋਈ?

2:21 ਮੰਗਲਵਾਰ ਨੂੰ, ਦੋ CVE ਨੰਬਰ ਔਨਲਾਈਨ ਘੁੰਮਣੇ ਸ਼ੁਰੂ ਹੋ ਗਏ, ਇੱਕ ਗਲਤ ਰੀਲੀਜ਼ ਸਮੇਂ ਅਤੇ ਦਸ ਦੇ ਗਲਤ ਸਕੋਰ ਨਾਲ। PHP ਨੇ ਰੀਲੀਜ਼ ਨੂੰ ਇੱਕ ਦਿਨ ਅੱਗੇ ਖਿੱਚ ਲਿਆ। ਉਸ ਸ਼ਾਮ, Calif ਨੇ ਗਲਤੀ ਨਾਲ ਆਪਣੇ ਪ੍ਰੂਫ਼ ਆਫ਼ ਕਨਸੈਪਟ ਦਾ ਇੱਕ ਵੀਡੀਓ ਪ੍ਰਕਾਸ਼ਤ ਕੀਤਾ ਜੋ ਕੰਮ ਕਰ ਰਿਹਾ ਸੀ, ਅਤੇ ਕਾਪੀਆਂ ਮਿਟਾਉਣ ਤੋਂ ਬਾਅਦ ਵੀ ਜੀਵਿਤ ਰਹੀਆਂ। ਬੁੱਧਵਾਰ ਸਵੇਰੇ, ਰੀਲੀਜ਼ ਤੋਂ ਛੇ ਘੰਟੇ ਤੋਂ ਵੱਧ ਸਮਾਂ ਪਹਿਲਾਂ, Chainguard ਨੇ ਫਿਕਸ ਵਾਲੀਆਂ ਬਣਾਈਆਂ ਗਈਆਂ ਤਸਵੀਰਾਂ ਪ੍ਰਕਾਸ਼ਤ ਕੀਤੀਆਂ। PHP ਦਾ ਕਹਿਣਾ ਹੈ ਕਿ ਕੋਈ ਵੀ ਹਮਲਾਵਰ ਉਸ ਫਿਕਸ ਦਾ ਅਧਿਐਨ ਕਰ ਸਕਦਾ ਸੀ ਜਦੋਂ ਕਿ ਬਾਕੀ ਸਾਰੇ ਉਡੀਕ ਕਰ ਰਹੇ ਸਨ।

2:46 ਇੱਕ ਪੈਚ ਇੱਕ ਡਿਫ ਵੀ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਹਮਲਾਵਰ ਡਿਫ ਪੜ੍ਹਦੇ ਹਨ।

ਕੀ PHP2Shell ਦਾ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਜਾ ਰਿਹਾ ਹੈ, ਅਤੇ ਕਿਸ ਦੁਆਰਾ?

2:50 ਤਾਂ ਅਸਲ ਵਿੱਚ ਕਿਸ ਨੂੰ ਮਾਰਿਆ ਜਾ ਰਿਹਾ ਹੈ? ਐਮਾਜ਼ਾਨ ਦੇ ਹਨੀਪੌਟ ਨੇ 17 ਅਕਤੂਬਰ ਨੂੰ ਇੱਕ ਕੋਸ਼ਿਸ਼ ਨੂੰ ਲੌਗ ਕੀਤਾ ਅਤੇ ਬਾਅਦ ਵਿੱਚ ਕਿਹਾ ਕਿ PHP2Shell ਦਾ ਵਿਆਪਕ ਤੌਰ 'ਤੇ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਜਾ ਰਿਹਾ ਹੈ। watchTowr ਜੰਗਲੀ ਵਿੱਚ ਸ਼ੋਸ਼ਣ ਦੀ ਰਿਪੋਰਟ ਕਰਦਾ ਹੈ। Cisa ਨੇ ਕਿਹਾ ਕਿ ਉਸਨੇ ਪ੍ਰਕਾਸ਼ਨ ਸਮੇਂ ਕੋਈ ਨਹੀਂ ਦੇਖਿਆ ਸੀ, ਅਤੇ PHP ਦੀ ਟੀਮ ਨੂੰ ਰੀਲੀਜ਼ ਸਮੇਂ ਕੋਈ ਕੰਮ ਕਰ ਰਿਹਾ ਸ਼ੋਸ਼ਣ ਨਹੀਂ ਮਿਲਿਆ। Cloudflare ਦੇ ਸੀਈਓ ਨੇ ਕਿਹਾ ਕਿ ਉਸਨੇ ਘੋਸ਼ਣਾ ਤੋਂ ਪਹਿਲਾਂ ਦਸ ਘੰਟਿਆਂ ਵਿੱਚ ਹਜ਼ਾਰਾਂ ਕੋਸ਼ਿਸ਼ਾਂ ਦੇਖੀਆਂ, ਅਤੇ ਵੀਰਵਾਰ ਸਵੇਰ ਤੱਕ ਲੱਖਾਂ।

3:13 ਐਮਾਜ਼ਾਨ ਇੱਕ ਬਿੰਦੂ 'ਤੇ ਸਾਵਧਾਨ ਹੈ। ਇਹ ਨਹੀਂ ਜਾਣਦਾ ਕਿ ਇਸਦੀਆਂ ਸਭ ਤੋਂ ਪਹਿਲੀਆਂ ਕੋਸ਼ਿਸ਼ਾਂ ਇੱਕ ਅਸਲ ਸਿਸਟਮ 'ਤੇ ਕੰਮ ਕਰਦੀਆਂ ਜਾਂ ਨਹੀਂ। ਇੱਕ ਕੋਸ਼ਿਸ਼ ਸਿਰਫ ਦਰਵਾਜ਼ੇ 'ਤੇ ਇੱਕ ਦਸਤਕ ਹੈ। ਤਾਂ ਇਹ ਕਿੰਨਾ ਬੁਰਾ ਹੈ, ਅਸਲ ਵਿੱਚ? watchTowr ਦਾ ਕਹਿਣਾ ਹੈ ਕਿ ਜਨਤਕ ਸ਼ੋਸ਼ਣ ਜ਼ਿਆਦਾਤਰ ਕ੍ਰੈਸ਼ ਹੋ ਜਾਂਦੇ ਹਨ ਜਾਂ ਕੁਝ ਨਹੀਂ ਕਰਦੇ। VulnCheck ਦਾ ਕਹਿਣਾ ਹੈ ਕਿ ਕੁਝ ਸੈੱਟਅੱਪਾਂ ਵਿੱਚ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਕੰਮ ਕਰਦਾ ਹੈ, ਅਤੇ ਕੋਈ ਵੀ ਜਨਤਕ x86 ਸਰਵਰਾਂ 'ਤੇ ਮੈਮੋਰੀ ਰੈਂਡਮਾਈਜ਼ੇਸ਼ਨ ਨੂੰ ਨਹੀਂ ਹਰਾਉਂਦਾ। ਖੋਜਕਰਤਾ Elias Taylor ਦਾ ਕਹਿਣਾ ਹੈ ਕਿ ਇਹ Log4Shell ਜਿੰਨਾ ਆਸਾਨ ਨਹੀਂ ਹੈ।

3:40 ਹਰ ਕੋਈ ਅਜੇ ਵੀ ਪੈਚ ਕਹਿੰਦਾ ਹੈ। ਸਰਕਾਰਾਂ ਨੇ ਫੈਸਲੇ ਦੀ ਉਡੀਕ ਨਹੀਂ ਕੀਤੀ।

ਸਰਕਾਰਾਂ ਨੇ ਕੀ ਔਫਲਾਈਨ ਕੀਤਾ?

3:44 NSA ਨੇ ਉਹਨਾਂ ਸੰਸਥਾਵਾਂ ਨੂੰ ਕਿਹਾ ਜੋ ਪੈਚ ਨਹੀਂ ਕਰ ਸਕਦੀਆਂ ਸਨ ਕਿ PHP ਸਿਸਟਮਾਂ ਨੂੰ ਔਫਲਾਈਨ ਲੈ ਜਾਣ, ਅਤੇ ਯੂਕੇ ਦੀ ਨੈਸ਼ਨਲ ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਕੇਂਦਰ ਨੇ ਵੀ ਇਸੇ ਤਰ੍ਹਾਂ ਦੀ ਸਲਾਹ ਦਿੱਤੀ। ਡੱਚ ਸਾਈਟਾਂ, ਜਿਸ ਵਿੱਚ ਰਾਸ਼ਟਰੀ ਡਿਜੀਟਲ ਪਛਾਣ ਸੇਵਾ ਸ਼ਾਮਲ ਹੈ, ਪੈਰਿਸ ਪੁਲਿਸ ਸਾਈਟ ਦੇ ਨਾਲ, ਹਨੇਰੇ ਵਿੱਚ ਚਲੀਆਂ ਗਈਆਂ। ਵਿਕੀਮੀਡੀਆ ਨੇ ਸਾਵਧਾਨੀ ਵਜੋਂ ਕਈ ਸਿਸਟਮ ਬੰਦ ਕਰ ਦਿੱਤੇ। Palo Alto Networks ਨੇ ਬਾਈ ਮਿਲੀਅਨ ਤੋਂ ਵੱਧ ਐਕਸਪੋਜ਼ਡ ਇੰਸਟੈਂਸ ਗਿਣੇ। ਅਤੇ ਇੱਕ ਆਸਟਰੇਲੀਆਈ ਪ੍ਰੋਫੈਸਰ ਨੇ ਸਭ ਤੋਂ ਤਿੱਖੀ ਗੱਲ ਕਹੀ। ਚਿੰਤਾ ਕਰਨ ਵਾਲੀਆਂ ਸਾਈਟਾਂ ਉਹ ਹਨ ਜੋ ਅੱਜ ਬੰਦ ਨਹੀਂ ਹਨ।

ਕਿਹੜੇ PHP ਸੰਸਕਰਣਾਂ ਨੂੰ ਫਿਕਸ ਮਿਲਦਾ ਹੈ?

4:11 PHP ਅੱਠ ਪੁਆਇੰਟ ਦੋ ਤੋਂ ਅੱਠ ਪੁਆਇੰਟ ਪੰਜ ਲਈ ਫਿਕਸ ਮੌਜੂਦ ਹਨ। ਸੱਤ ਪੁਆਇੰਟ ਚਾਰ, ਅੱਠ ਪੁਆਇੰਟ ਓਹ ਅਤੇ ਅੱਠ ਪੁਆਇੰਟ ਇੱਕ ਲਈ, PHP ਨੇ ਸਿਰਫ ਸਰੋਤ ਪੈਚ ਪ੍ਰਕਾਸ਼ਤ ਕੀਤੇ। ਪੁਰਾਣੇ ਸੰਸਕਰਣਾਂ ਨੂੰ PHP ਪ੍ਰੋਜੈਕਟ ਤੋਂ ਕੁਝ ਨਹੀਂ ਮਿਲਦਾ, ਇਸ ਲਈ ਆਪਣੇ ਡਿਸਟ੍ਰੀਬਿਊਸ਼ਨ ਨੂੰ ਪੁੱਛੋ। ਹੱਲ ਸੰਭਾਵਨਾਵਾਂ ਨੂੰ ਘਟਾਉਂਦੇ ਹਨ, ਪਰ PHP ਦਾ ਕਹਿਣਾ ਹੈ ਕਿ ਅਪਡੇਟ ਕਰਨਾ ਹੀ ਇੱਕੋ ਇੱਕ ਪੂਰਾ ਫਿਕਸ ਹੈ। ਇਹ ਕੱਲ੍ਹ ਦੇ eMudhra ਐਪੀਸੋਡ ਵਰਗਾ ਹੀ ਸਬਕ ਹੈ,

ਤੁਸੀਂ ਅੱਜ ਰਾਤ PHP2Shell ਬਾਰੇ ਕੀ ਕਰਦੇ ਹੋ?

4:32 ਕਿਉਂਕਿ ਇੱਕ ਫਿਕਸ ਦਾ ਮੌਜੂਦ ਹੋਣਾ ਉਸੇ ਤਰ੍ਹਾਂ ਨਹੀਂ ਹੈ ਜਿਵੇਂ ਚੱਲ ਰਹੀ ਪ੍ਰਕਿਰਿਆ ਕੋਲ ਇਹ ਹੈ। ਆਪਣੇ ਸਟੈਕ ਵਿੱਚ ਹਰ PHP ਲੱਭੋ, ਇੱਥੋਂ ਤੱਕ ਕਿ ਦੂਜੇ ਸੌਫਟਵੇਅਰ ਦੇ ਅੰਦਰ ਲੁਕੀਆਂ ਕਾਪੀਆਂ ਵੀ। ਅਪਡੇਟ ਕਰੋ, ਵਰਕਰਾਂ ਨੂੰ ਮੁੜ ਚਾਲੂ ਕਰੋ, ਅਤੇ 17 ਅਕਤੂਬਰ ਤੱਕ ਦੇ ਲੌਗਾਂ ਦੀ ਜਾਂਚ ਕਰੋ। ਉਸੇ ਦਿਨ, GitLab ਨੇ ਇੱਕ ਗੰਭੀਰ ਪੈਚ ਰੀਲੀਜ਼ ਭੇਜਿਆ,

ਅੱਜ ਕਿਸ ਹੋਰ ਨੇ ਇੱਕ ਗੰਭੀਰ RCE ਪੈਚ ਭੇਜਿਆ?

4:47 ਉੱਨੀ ਪੁਆਇੰਟ ਪੰਜ ਪੁਆਇੰਟ ਇੱਕ। ਇਸਦੇ ਰੈਗੂਲਰ ਐਕਸਪ੍ਰੈਸ਼ਨ ਕੰਪਾਈਲਰ ਵਿੱਚ ਇੱਕ ਇੰਟੀਜਰ ਓਵਰਫਲੋ ਇੱਕ ਅਪ੍ਰਮਾਣਿਤ ਉਪਭੋਗਤਾ ਨੂੰ ਸਰਵਰ 'ਤੇ ਕੋਡ ਚਲਾਉਣ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਇਹ ਦਸ ਵਿੱਚੋਂ ਦਸ ਸਕੋਰ ਕਰਦਾ ਹੈ। GitLab.com ਪਹਿਲਾਂ ਹੀ ਪੈਚ ਕੀਤਾ ਗਿਆ ਹੈ। ਸਵੈ-ਪ੍ਰਬੰਧਿਤ ਸਥਾਪਨਾਵਾਂ ਨੂੰ ਅਪਡੇਟ ਦੀ ਲੋੜ ਹੈ। ਇਸ ਦੌਰਾਨ ਨਿਊ ਮੈਕਸੀਕੋ ਵਿੱਚ, ਇੱਕ ਜੱਜ ਨੇ ਮੈਟਾ ਨੂੰ ਕੈਂਬ੍ਰਿਜ ਐਨਾਲਿਟਿਕਾ ਨੂੰ ਲੈ ਕੇ ਪੱਚੀ ਬਿਲੀਅਨ ਡਾਲਰ

ਮੈਟਾ ਨੂੰ 25 ਬਿਲੀਅਨ ਡਾਲਰ ਦਾ ਭੁਗਤਾਨ ਕਰਨ ਦਾ ਆਦੇਸ਼ ਕਿਉਂ ਦਿੱਤਾ ਗਿਆ?

5:01 ਦਾ ਜੁਰਮਾਨਾ ਅਦਾ ਕਰਨ ਦਾ ਆਦੇਸ਼ ਦਿੱਤਾ। ਜਿਊਰੀ ਨੇ ਤਾਲੀ ਮਿਲੀਅਨ ਤੋਂ ਵੱਧ ਉਲੰਘਣਾਵਾਂ ਗਿਣੀਆਂ, ਹਰ ਇੱਕ ਪੰਜ ਹਜ਼ਾਰ ਡਾਲਰ ਤੱਕ, ਜੋ ਜੱਜ ਦੁਆਰਾ ਘਟਾਏ ਜਾਣ ਤੋਂ ਪਹਿਲਾਂ ਲਗਭਗ ਦੋ ਸੌ ਵੀਹ ਬਿਲੀਅਨ ਬਣਦਾ ਸੀ। ਮੈਟਾ ਦਾ ਕਹਿਣਾ ਹੈ ਕਿ ਉਹ ਅਪੀਲ 'ਤੇ ਜਿੱਤ ਜਾਵੇਗਾ। ਹੁਣ ਉਹ ਬਚਾਅ ਜਿਸਦਾ ਮੈਂ ਵਾਅਦਾ ਕੀਤਾ ਸੀ। Chainguard ਦੇ ਸੀਈਓ ਨੇ The Register ਨੂੰ ਦੱਸਿਆ ਕਿ ਉਸਨੇ ਸ਼ੁੱਕਰਵਾਰ

ਸ਼ੁਰੂਆਤੀ ਫਿਕਸ ਲਈ Chainguard ਦੀ ਕੀ ਰੱਖਿਆ ਹੈ?

5:19 ਰਾਤ ਨੂੰ ਖੁਦ ਉਹੀ ਬੱਗ ਲੱਭੇ, PHP ਵਿੱਚ ਕੁਝ ਆਉਣ ਵਾਲਾ ਹੈ ਇਹ ਸਿੱਖਣ ਤੋਂ ਬਾਅਦ, ਮਾੜੀਆਂ ਕਮੀਆਂ ਨੂੰ ਲੱਭਣ ਲਈ ਇੱਕ ਬੁਨਿਆਦੀ ਪ੍ਰੋਂਪਟ ਨਾਲ। ਉਸਦਾ ਕਹਿਣਾ ਹੈ ਕਿ ਉਸਨੇ ਜਲਦੀ ਭੇਜਿਆ ਕਿਉਂਕਿ ਲੋਕ ਪਹਿਲਾਂ ਹੀ ਮਾਰੇ ਜਾ ਰਹੇ ਸਨ। ਜੇ ਤੁਸੀਂ ਮੈਨੂੰ ਇਹ ਸੁਣਨ ਦੀ ਬਜਾਏ ਪੜ੍ਹਨਾ ਚਾਹੁੰਦੇ ਹੋ, ਡਿਫ ਹਰ ਸਵੇਰ ਤੁਹਾਡੇ ਇਨਬਾਕਸ ਵਿੱਚ ਆਉਂਦਾ ਹੈ, daily diff dot dev 'ਤੇ ਮੁਫਤ, ਹੇਠਾਂ ਲਿੰਕ। ਇਸ ਲਈ ਅੱਜ ਦਾ ਫੈਸਲਾ SHIP IT ਹੈ। PHP ਅਪਡੇਟ ਅੱਜ ਰਾਤ ਭੇਜੋ, ਕਿਉਂਕਿ ਨਵਾਂ ਸੰਸਕਰਣ ਨੰਬਰ ਹੀ ਇੱਕੋ ਇੱਕ ਪੂਰਾ

ਕਿਸ ਨੂੰ SHIP IT ਸਟੈਂਪ ਮਿਲਦਾ ਹੈ?

5:39 ਫਿਕਸ ਹੈ। ਅਤੇ ਅੱਜ ਲਈ ਇਹ ਡਿਫ ਹੈ। ਮੈਂ ਐਕਸਰਿਸੀ ਤੋਂ ਨਿਕੋ ਹਾਂ। ਜ਼ਿੰਮੇਵਾਰੀ ਨਾਲ ਮਰਜ ਕਰੋ। ਜ਼ਿੰਮੇਵਾਰੀ ਨਾਲ ਮਰਜ ਕਰੋ।

ਸਰੋਤ

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News