PHP2Shell: două vulnerabilități critice PHP, un embargo care a fost încălcat și ce se știe de fapt despre exploatare

Ce acoperă acest videoclip

• Ambele vulnerabilități sunt evaluate cu 9,2 pe CVSS v4.0 de către echipa PHP. Versiunile remediate sunt PHP 8.2.35, 8.3.36, 8.4.27 și 8.5.12; PHP 7.4, 8.0 și 8.1 au primit doar patch-uri sursă. PHP spune că actualizarea este singura soluție completă.
• Prima vulnerabilitate provine de la PHP care lasă o cerere pe jumătate construită atunci când rămâne fără memorie la momentul nepotrivit. A doua provine de la un indicator rămas către memoria unei cereri pe care o cerere ulterioară în același worker o poate folosi. Pe Apache cu mod_php, prima cale rulează înainte de codul aplicației.
• Un dezvoltator de bază PHP a găsit primele semne ale problemei de memorie în timpul unui audit din 2024. Fundația PHP spune că soluțiile concurente au avut compromisuri și o echipă de securitate bazată pe consens s-a chinuit să aleagă, ceea ce numește un eșec structural.
• Fundația spune că ID-urile CVE au fost scurse pe 20 octombrie, Calif a publicat din greșeală un videoclip de tip proof-of-concept, iar Chainguard a publicat imagini construite cu remedierea cu mai mult de șase ore înainte de lansare. CEO-ul Chainguard spune că oamenii erau deja afectați și că a găsit vulnerabilitățile independent.
• Sursele nu sunt de acord cu privire la exploatare. Amazon a înregistrat o tentativă pe 17 octombrie și a declarat ulterior că PHP2Shell a fost exploatat pe scară largă. watchTowr a raportat exploatare în sălbăticie. CISA nu observase exploatare la publicare, iar echipa PHP nu a găsit nicio exploatare funcțională la lansare. Multe scripturi publice de tip proof-of-concept sunt raportate că nu funcționează.
• Verificați fiecare loc unde rulează PHP, inclusiv copiile din interiorul altor software-uri, actualizați, reporniți workerii și revizuiți jurnalele până la 17 octombrie.

Transcrierea tradusă

Tradus din narațiunea originală în engleză. Audio-ul și subtitrările disponibile sunt controlate de YouTube.

Cine a încercat PHP2Shell cu patru zile mai devreme?

0:00 Un embargo de securitate ar trebui să țină o vulnerabilitate secretă până la lansarea patch-ului. Amazon a înregistrat o tentativă împotriva vulnerabilității critice a PHP cu patru zile mai devreme. În acest videoclip, cine a găsit-o? Cum a fost încălcat embargoul? Și cât de grav este, de fapt? Iar compania acuzată de scurgere are o apărare la care nu mă așteptam. Voi ajunge la asta. Este joi, 22 octombrie, și acesta este The Daily Diff.

0:21 PHP este un limbaj de scriptare care construiește pagini web pe server chiar înainte de a ajunge la tine. Are peste treizeci de ani și, conform unei estimări, rulează aproximativ șaptezeci la sută din site-uri web, inclusiv WordPress și software-ul din spatele Wikipedia. Dezvoltatorii adoră să-l batjocorească, de obicei de pe o pagină pe care PHP le-o servește. Întreținerea sa este o organizație non-profit cu aproximativ treisprezece ingineri.

Care sunt cele două vulnerabilități PHP2Shell?

0:41 Miercuri, PHP a lansat corecții de urgență pentru două vulnerabilități critice care permit unui străin să ruleze cod pe un server fără autentificare. Împreună sunt numite PHP2Shell, și se întind înapoi până la PHP 5.4. Iată prima vulnerabilitate în termeni simpli. PHP alocă fiecărei cereri un buget de memorie. Dacă o cerere atinge acea limită exact la momentul nepotrivit, PHP se retrage în grabă și lasă cererea pe jumătate construită. Apoi, pasul de curățare are încredere în lucrul pe jumătate construit. A doua vulnerabilitate este o rămășiță.

1:07 O eroare fatală poate lăsa o notă care indică memoria care a aparținut ultimei cereri. Același worker gestionează următoarea cerere și urmează nota. Până atunci, altcineva locuiește la acea adresă. Pe Apache cu mod_php, daunele se întâmplă înainte ca propriul dvs. cod să ruleze, deci pagina dvs. de autentificare nu primește niciodată un vot. Wiz spune că chiar și un script "hello world" este expus. Corecția elimină ieșirea de urgență a PHP pentru lipsa de memorie. În loc să se oprească la jumătatea cererii, PHP se oprește acum politicos la următorul punct sigur.

1:32 Partea ciudată este cât de vechi este primul indiciu. În 2024, un audit de securitate extern a condus un dezvoltator de bază PHP la primele semne ale problemei de memorie.

De ce o vulnerabilitate cunoscută a așteptat doi ani?

1:39 Nicio exploatare nu era cunoscută, iar fiecare corecție a stricat ceva. O echipă care decide prin consens nu a putut alege, așa că vulnerabilitatea a așteptat. Apoi, în august, descoperitorii au sosit în câteva zile. Cercetătorul Calif Ryan Austin a găsit-o pe 1 august, lucrând prin programul OpenAI "Patch the Planet". OpenAI a raportat independent aceeași cauză principală.

Cine a găsit PHP2Shell și cum?

1:56 Wiz a găsit variante câteva săptămâni mai târziu cu modele Gemini și GPT. Austin spune că a folosit modele pe care oricine le poate obține, plus o teorie despre unde se ascund vulnerabilitățile vechi ale PHP. OpenAI spune că AI-ul de frontieră a fost cheia. Vulnerabilitatea fusese ascunsă de mai bine de un deceniu. Lansarea era planificată pentru joi. Marți, cele două numere CVE au început să circule online, cu un timp de lansare greșit și un scor greșit de zece. PHP a anticipat lansarea cu o zi. În acea seară, Calif a publicat accidental un videoclip cu proof-of-conceptul său funcțional, iar copiile au supraviețuit ștergerii.

Cum s-a scurs embargoul PHP2Shell?

2:21 Miercuri dimineață, cu mai mult de șase ore înainte de lansare, Chainguard a publicat imagini construite care conțineau remedierea. PHP spune că orice atacator ar fi putut studia acea remediere în timp ce toți ceilalți așteptau. Un patch este și un diff, iar atacatorii citesc diff-uri. Deci cine este de fapt lovit? Honeypot-ul Amazon a înregistrat o tentativă pe 17 octombrie și a declarat ulterior că PHP2Shell este exploatat pe scară largă. watchTowr raportează exploatare în sălbăticie. CISA a declarat că nu a observat nicio exploatare la publicare, iar echipa PHP nu a văzut nicio exploatare funcțională la lansare.

2:46 CEO-ul Cloudflare a declarat că a văzut mii de încercări în cele zece ore înainte de anunț și milioane până joi dimineață.

Este PHP2Shell exploatat și de cine?

2:50 Amazon este atentă la un aspect. Nu știe dacă cele mai vechi încercări ar fi funcționat pe un sistem real. O tentativă este doar o bătaie la ușă. Deci, cât de grav este, de fapt? watchTowr spune că majoritatea exploit-urilor publice care circulă se blochează sau nu fac nimic. VulnCheck spune că execuția de cod funcționează în unele configurații, și niciunul dintre cele publice nu învinge randomizarea memoriei pe serverele x86 standard. Cercetătorul Elias Taylor spune că nu este nicidecum la fel de ușor ca Log4Shell. Toată lumea încă spune să se aplice patch-ul.

3:13 Guvernele nu au așteptat verdictul. NSA a sfătuit organizațiile care nu puteau aplica patch-uri să scoată sistemele PHP offline, iar Centrul Național de Securitate Cibernetică al Regatului Unit a dat sfaturi similare. Site-uri olandeze, inclusiv serviciul național de identitate digitală, au fost scoase offline, împreună cu un site al poliției din Paris. Wikimedia a scos mai multe sisteme offline ca măsură de precauție. Palo Alto Networks a numărat peste douăzeci și două de milioane de instanțe expuse. Și un profesor australian a făcut cea mai clară observație.

3:40 Site-urile de care să-ți faci griji sunt cele care nu sunt offline astăzi. Există corecții pentru PHP 8.2 până la 8.5.

Ce au scos guvernele offline?

3:44 Pentru 7.4, 8.0 și 8.1, PHP a publicat doar patch-uri sursă. Versiunile mai vechi nu primesc nimic de la proiectul PHP, așa că întrebați distribuția dvs. Soluțiile de ocolire reduc riscurile, dar PHP spune că actualizarea este singura soluție completă. Este aceeași lecție ca și episodul de ieri despre eMudhra, deoarece un remediu existent nu este același lucru cu procesul de rulare care îl are. Găsiți fiecare PHP din stack-ul dvs., chiar și copiile ascunse în interiorul altor software-uri. Actualizați, reporniți workerii și verificați jurnalele până la 17 octombrie. În aceeași zi, GitLab a lansat o versiune critică de patch, 19.5.1.

Ce versiuni PHP primesc o corecție?

4:11 Un overflow de întregi în compilatorul său de expresii regulate permite unui utilizator neautentificat să execute cod pe server, și este evaluat cu zece din zece. GitLab.com este deja patch-uit. Instalările auto-gestionate necesită actualizarea. Între timp, în New Mexico, un judecător a ordonat Meta să plătească douăzeci și cinci de miliarde de dolari sub formă de penalități pentru Cambridge Analytica. Juriul a numărat peste patruzeci și trei de milioane de încălcări, cu până la cinci mii de dolari fiecare, ceea ce a ajuns la aproximativ două sute douăzeci de miliarde înainte ca judecătorul să o reducă.

Ce faceți în legătură cu PHP2Shell în această seară?

4:32 Meta spune că va câștiga la apel. Acum, apărarea pe care am promis-o. CEO-ul Chainguard a declarat pentru The Register că a găsit singur aceleași vulnerabilități într-o vineri seară, după ce a aflat că ceva urmează să apară în PHP, cu o cerere simplă de a găsi vulnerabilități grave.

Ce altceva a lansat un patch RCE critic astăzi?

4:47 El spune că a lansat devreme deoarece oamenii erau deja afectați. Dacă preferați să citiți acest lucru decât să mă auziți spunând-o, diff-ul ajunge în inbox-ul dvs. în fiecare dimineață, gratuit la thedailydiff.dev, link mai jos. Deci, verdictul de astăzi este SHIP IT. Lansați actualizarea PHP în această seară, deoarece noul număr de versiune este singura soluție completă. Și asta este diferența pentru astăzi.

De ce a fost Meta obligată să plătească 25 de miliarde de dolari?

5:01 Sunt Niko de la Axrisi. Fuzionați responsabil. Un embargo de securitate este menit să țină o vulnerabilitate secretă până când patch-ul este lansat. Amazon a înregistrat o tentativă împotriva vulnerabilității critice a PHP cu patru zile mai devreme. În acest videoclip, cine a descoperit-o? Cum a fost încălcat embargoul?

Care este apărarea lui Chainguard pentru remedierea timpurie?

5:19 Și cât de grav este, de fapt? Și compania acuzată de scurgere are o apărare la care nu mă așteptam. Voi ajunge la asta. Este joi, 22 octombrie, și acesta este The Daily Diff. PHP este un limbaj de scriptare care construiește pagini web pe server chiar înainte de a ajunge la tine. Are peste treizeci de ani și, conform unei estimări, rulează aproximativ șaptezeci la sută din site-uri web, inclusiv WordPress și software-ul din spatele Wikipedia. Dezvoltatorii adoră să-l batjocorească, de obicei de pe o pagină pe care PHP le-o servește. Întreținerea sa este o organizație non-profit cu aproximativ treisprezece ingineri.

Ce primește ștampila SHIP IT?

5:39 Miercuri, PHP a lansat corecții de urgență pentru două vulnerabilități critice care permit unui străin să ruleze cod pe un server fără autentificare. Împreună sunt numite PHP2Shell, și se întind înapoi până la PHP 5.4. Iată prima vulnerabilitate în termeni simpli. PHP alocă fiecărei cereri un buget de memorie. Dacă o cerere atinge acea limită exact la momentul nepotrivit, PHP se retrage în grabă și lasă cererea pe jumătate construită. Apoi, pasul de curățare are încredere în lucrul pe jumătate construit. A doua vulnerabilitate este o rămășiță. O eroare fatală poate lăsa o notă care indică memoria care a aparținut ultimei cereri. Același worker gestionează următoarea cerere și urmează nota. Până atunci, altcineva locuiește la acea adresă. Pe Apache cu mod_php, daunele se întâmplă înainte ca propriul dvs. cod să ruleze, deci pagina dvs. de autentificare nu primește niciodată un vot. Wiz spune că chiar și un script "hello world" este expus. Corecția elimină ieșirea de urgență a PHP pentru lipsa de memorie. În loc să se oprească la jumătatea cererii, PHP se oprește acum politicos la următorul punct sigur. Partea ciudată este cât de vechi este primul indiciu. În 2024, un audit de securitate extern a condus un dezvoltator de bază PHP la primele semne ale problemei de memorie. Nicio exploatare nu era cunoscută, iar fiecare corecție a stricat ceva. O echipă care decide prin consens nu a putut alege, așa că vulnerabilitatea a așteptat. Apoi, în august, descoperitorii au sosit în câteva zile. Cercetătorul Calif Ryan Austin a găsit-o pe 1 august, lucrând prin programul OpenAI "Patch the Planet". OpenAI a raportat independent aceeași cauză principală. Wiz a găsit variante câteva săptămâni mai târziu cu modele Gemini și GPT. Austin spune că a folosit modele pe care oricine le poate obține, plus o teorie despre unde se ascund vulnerabilitățile vechi ale PHP. OpenAI spune că AI-ul de frontieră a fost cheia. Vulnerabilitatea fusese ascunsă de mai bine de un deceniu. Lansarea era planificată pentru joi. Marți, cele două numere CVE au început să circule online, cu un timp de lansare greșit și un scor greșit de zece. PHP a anticipat lansarea cu o zi. În acea seară, Calif a publicat accidental un videoclip cu proof-of-conceptul său funcțional, iar copiile au supraviețuit ștergerii. Miercuri dimineață, cu mai mult de șase ore înainte de lansare, Chainguard a publicat imagini construite care conțineau remedierea. PHP spune că orice atacator ar fi putut studia acea remediere în timp ce toți ceilalți așteptau. Un patch este și un diff, iar atacatorii citesc diff-uri. Deci cine este de fapt lovit? Honeypot-ul Amazon a înregistrat o tentativă pe 17 octombrie și a declarat ulterior că PHP2Shell este exploatat pe scară largă. watchTowr raportează exploatare în sălbăticie. CISA a declarat că nu a observat nicio exploatare la publicare, iar echipa PHP nu a văzut nicio exploatare funcțională la lansare. CEO-ul Cloudflare a declarat că a văzut mii de încercări în cele zece ore înainte de anunț și milioane până joi dimineață. Amazon este atentă la un aspect. Nu știe dacă cele mai vechi încercări ar fi funcționat pe un sistem real. O tentativă este doar o bătaie la ușă. Deci, cât de grav este, de fapt? watchTowr spune că majoritatea exploit-urilor publice care circulă se blochează sau nu fac nimic. VulnCheck spune că execuția de cod funcționează în unele configurații, și niciunul dintre cele publice nu învinge randomizarea memoriei pe serverele x86 standard. Cercetătorul Elias Taylor spune că nu este nicidecum la fel de ușor ca Log4Shell. Toată lumea încă spune să se aplice patch-ul. Guvernele nu au așteptat verdictul. NSA a sfătuit organizațiile care nu puteau aplica patch-uri să scoată sistemele PHP offline, iar Centrul Național de Securitate Cibernetică al Regatului Unit a dat sfaturi similare. Site-uri olandeze, inclusiv serviciul național de identitate digitală, au fost scoase offline, împreună cu un site al poliției din Paris. Wikimedia a scos mai multe sisteme offline ca măsură de precauție. Palo Alto Networks a numărat peste douăzeci și două de milioane de instanțe expuse. Și un profesor australian a făcut cea mai clară observație. Site-urile de care să-ți faci griji sunt cele care nu sunt offline astăzi. Corecții există pentru PHP 8.2 până la 8.5. Pentru 7.4, 8.0 și 8.1, PHP a publicat doar patch-uri sursă. Versiunile mai vechi nu primesc nimic de la proiectul PHP, așa că întrebați distribuția dvs. Soluțiile de ocolire reduc riscurile, dar PHP spune că actualizarea este singura soluție completă. Este aceeași lecție ca și episodul de ieri despre eMudhra, deoarece un remediu existent nu este același lucru cu procesul de rulare care îl are. Găsiți fiecare PHP din stack-ul dvs., chiar și copiile ascunse în interiorul altor software-uri. Actualizați, reporniți workerii și verificați jurnalele până la 17 octombrie. În aceeași zi, GitLab a lansat o versiune critică de patch, 19.5.1. Un overflow de întregi în compilatorul său de expresii regulate permite unui utilizator neautentificat să execute cod pe server, și este evaluat cu zece din zece. GitLab.com este deja patch-uit. Instalările auto-gestionate necesită actualizarea. Între timp, în New Mexico, un judecător a ordonat Meta să plătească douăzeci și cinci de miliarde de dolari sub formă de penalități pentru Cambridge Analytica. Juriul a numărat peste patruzeci și trei de milioane de încălcări, cu până la cinci mii de dolari fiecare, ceea ce a ajuns la aproximativ două sute douăzeci de miliarde înainte ca judecătorul să o reducă. Meta spune că va câștiga la apel. Acum, apărarea pe care am promis-o. CEO-ul Chainguard a declarat pentru The Register că a găsit singur aceleași vulnerabilități într-o vineri seară, după ce a aflat că ceva urmează să apară în PHP, cu o cerere simplă de a găsi vulnerabilități grave. El spune că a lansat devreme deoarece oamenii erau deja afectați. Dacă preferați să citiți acest lucru decât să mă auziți spunând-o, diff-ul ajunge în inbox-ul dvs. în fiecare dimineață, gratuit la thedailydiff.dev, link mai jos. Deci, verdictul de astăzi este SHIP IT. Lansați actualizarea PHP în această seară, deoarece noul număr de versiune este singura soluție completă. Și asta este diferența pentru astăzi. Sunt Niko de la Axrisi. Fuzionați responsabil.

Surse

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News