PHP2Shell: PHP හි බරපතල අඩුපාඩු දෙකක්, කාන්දු වූ තහනමක් සහ සූරාකෑම ගැන ඇත්ත වශයෙන්ම දන්නා දේ

මෙම වීඩියෝවෙන් ආවරණය වන දේ

• දෝෂ දෙකම PHP කණ්ඩායම විසින් CVSS v4.0 මත 9.2 ලෙස ශ්‍රේණිගත කර ඇත. ස්ථාවර නිකුතු වන්නේ PHP 8.2.35, 8.3.36, 8.4.27 සහ 8.5.12; PHP 7.4, 8.0 සහ 8.1 සඳහා මූලාශ්‍ර පැච් පමණක් ලැබුණි. PHP පවසන්නේ යාවත්කාලීන කිරීම එකම සම්පූර්ණ අවම කිරීම බවයි.
• පළමු දෝෂය වන්නේ වැරදි මොහොතක මතකය අවසන් වූ විට PHP ඉල්ලීමක් අඩක් ගොඩනඟා තිබීමෙනි. දෙවැන්න පැමිණෙන්නේ එක් ඉල්ලීමක මතකයට ඉතිරි වූ දර්ශකයකින් වන අතර එය එකම සේවකයාගේ පසුකාලීන ඉල්ලීමකට භාවිතා කළ හැකිය. mod_php සමඟ Apache මත පළමු මාර්ගය යෙදුම් කේතයට පෙර ක්‍රියාත්මක වේ.
• 2024 විගණනයක් අතරතුර PHP මූලික සංවර්ධකයෙකු මතක ගැටලුවේ පළමු සලකුණු සොයා ගත්තේය. PHP පදනම පවසන්නේ තරඟකාරී නිවැරදි කිරීම්වලට අවාසි ඇති බවත්, එකඟතාවය මත පදනම් වූ ආරක්ෂක කණ්ඩායමකට තෝරා ගැනීමට අපහසු වූ බවත්, එය ව්‍යුහාත්මක අසාර්ථකත්වයක් ලෙස හඳුන්වන බවත්ය.
• පදනම පවසන්නේ CVE හැඳුනුම්පත් ඔක්තෝබර් 20 දින කාන්දු වූ බවත්, Calif විසින් අහම්බෙන් proof-of-concept වීඩියෝවක් ප්‍රකාශයට පත් කළ බවත්, Chainguard විසින් නිකුත් කිරීමට පැය හයකට වඩා පෙර නිවැරදි කිරීම් සහිත ගොඩනඟන ලද රූප ප්‍රකාශයට පත් කළ බවත්ය. Chainguard හි ප්‍රධාන විධායක නිලධාරියා පවසන්නේ මිනිසුන්ට දැනටමත් බලපෑම් එල්ල වෙමින් තිබූ බවත්, තමා ස්වාධීනව දෝෂ සොයා ගත් බවත්ය.
• සූරාකෑම සම්බන්ධයෙන් මූලාශ්‍ර එකඟ නොවේ. Amazon විසින් ඔක්තෝබර් 17 දින උත්සාහයක් ලොග් කරන ලද අතර පසුව PHP2Shell පුළුල් ලෙස සූරාකෑමට ලක් වූ බව පැවසීය. watchTowr විසින් වල් ප්‍රදේශයේ සූරාකෑම වාර්තා කරන ලදී. ප්‍රකාශයට පත් කිරීමේදී CISA විසින් සූරාකෑම නිරීක්ෂණය කර නොතිබූ අතර, PHP කණ්ඩායම නිකුත් කිරීමේදී ක්‍රියාකාරී සූරාකෑමක් සොයා ගත්තේ නැත. බොහෝ පොදු proof-of-concept ස්ක්‍රිප්ට් ක්‍රියා නොකරන බව වාර්තා වේ.
• PHP ක්‍රියාත්මක වන සෑම තැනක්ම පරීක්ෂා කරන්න, වෙනත් මෘදුකාංග තුළ ඇති පිටපත් ඇතුළුව, යාවත්කාලීන කරන්න, සේවකයින් නැවත ආරම්භ කරන්න සහ ඔක්තෝබර් 17 දක්වා ලොග් පරීක්ෂා කරන්න.

පරිවර්තනය කරන ලද පිටපත

මුල් ඉංග්‍රීසි නිරූපණයෙන් පරිවර්තනය කරන ලදී. පවතින ශ්‍රව්‍ය සහ ශීර්ෂ පාඨ YouTube මගින් පාලනය වේ.

PHP2Shell දින හතරකට පෙර උත්සාහ කළේ කවුද?

0:00 ආරක්ෂක තහනමක් යනු පැච් එක නිකුත් කරන තුරු දෝෂයක් නිහඬව තබා ගැනීමටය. ඇමසන් විසින් PHP හි බරපතල දෝෂයට දින හතරකට පෙර උත්සාහයක් ලොග් කරන ලදී. මෙම වීඩියෝවේ, එය සොයාගත්තේ කවුද? තහනම කාන්දු වූයේ කෙසේද? තවද, එය ඇත්තෙන්ම කෙතරම් නරකද? තවද, කාන්දුවට දොස් පැවරූ සමාගමට මම බලාපොරොත්තු නොවූ ආරක්ෂාවක් ඇත. මම එයට එන්නම්. අද ඔක්තෝබර් විසිදෙවැනි බ්‍රහස්පතින්දා, මෙය The Daily Diff.

0:21 PHP යනු වෙබ් පිටු සේවාදායකයේ ගොඩනඟන ස්ක්‍රිප්ටින් භාෂාවකි, ඒවා ඔබට ලැබීමට පෙර. එය වසර තිහකට වඩා පැරණි වන අතර, එක් ඇස්තමේන්තුවකට අනුව, WordPress සහ Wikipedia පිටුපස ඇති මෘදුකාංගය ඇතුළුව වෙබ් අඩවි වලින් සියයට හැත්තෑවක් පමණ ක්‍රියාත්මක කරයි. සංවර්ධකයින් එයට සමච්චල් කිරීමට ප්‍රිය කරයි, සාමාන්‍යයෙන් PHP විසින් සපයන පිටුවකින් ඔවුන්ට. එහි නඩත්තුව ලාභ නොලබන ආයතනයක් වන අතර ඉංජිනේරුවන් දහතුනක් පමණ සිටී.

PHP2Shell දෝෂ දෙක කුමක්ද?

0:41 බදාදා, PHP විසින් බරපතල දෝෂ දෙකක් සඳහා හදිසි නිවැරදි කිරීම් නිකුත් කරන ලදී, එමඟින් ආගන්තුකයෙකුට පිවිසුමක් නොමැතිව සේවාදායකයක කේතය ක්‍රියාත්මක කිරීමට ඉඩ සලසයි. ඒවා එකට PHP2Shell ලෙස හැඳින්වේ, ඒවා PHP පහ දක්වා දිව යයි දශම හතර. සරල වචනවලින් පළමු දෝෂය මෙන්න. PHP සෑම ඉල්ලීමකටම මතක අයවැයක් ලබා දෙයි. ඉල්ලීමක් හරියටම වැරදි මොහොතක එම සීමාවට පැමිණියහොත්, PHP ඉක්මනින් ඉවත් වී ඉල්ලීම අඩක් ගොඩනඟා තබයි. එවිට පිරිසිදු කිරීමේ පියවර අඩක් ගොඩනඟන ලද දෙය විශ්වාස කරයි.

1:07 දෙවන දෝෂය ඉතිරි වූවකි. මාරාන්තික දෝෂයක් අවසන් ඉල්ලීමට අයත් මතකය වෙත යොමු කරන සටහනක් ඉතිරි කළ හැකිය. එම සේවකයා ඊළඟ ඉල්ලීම හසුරුවන අතර සටහන අනුගමනය කරයි. එතකොට වෙනත් කෙනෙක් ඒ ලිපිනයේ ඉන්නවා. mod PHP සමඟ Apache මත, හානිය ඔබේම කේතය ක්‍රියාත්මක වීමට පෙර සිදු වේ, එබැවින් ඔබේ පිවිසුම් පිටුවට කිසිදා ඡන්දයක් නොලැබේ. Wiz පවසන්නේ hello world ස්ක්‍රිප්ට් එකක් පවා නිරාවරණය වන බවයි. නිවැරදි කිරීම මගින් මතකය අවසන් වීම සඳහා PHP හි හදිසි පිටවීම ඉවත් කරයි.

1:32 ඉල්ලීම මැදින් ඉවත් නොවී, PHP දැන් ඊළඟ ආරක්ෂිත ස්ථානයේදී ආචාරශීලීව නවතී. අමුතු කොටස වන්නේ පළමු ඉඟිය කෙතරම් පැරණිද යන්නයි.

දන්නා දෝෂයක් වසර දෙකක් බලා සිටියේ ඇයි?

1:39 2024 දී, බාහිර ආරක්ෂක විගණනයක් PHP මූලික සංවර්ධකයෙකු මතක ගැටලුවේ පළමු සලකුණු වෙත යොමු කරන ලදී. සූරාකෑමක් දැන සිටියේ නැත, සෑම නිවැරදි කිරීමක්ම යමක් කැඩී ගියේය. එකඟතාවය මත තීරණය කරන කණ්ඩායමකට තෝරා ගැනීමට නොහැකි වූ නිසා, දෝෂය බලා සිටියේය. ඉන්පසු අගෝස්තු මාසයේදී, සොයාගන්නන් දින කිහිපයක් ඇතුළත පැමිණියහ.

PHP2Shell සොයාගත්තේ කවුද සහ කෙසේද?

1:56 Calif පර්යේෂක Ryan Austin එය අගෝස්තු පළමු දින සොයා ගත්තේය, OpenAI හි Patch the Planet වැඩසටහන හරහා වැඩ කරමින්. OpenAI ස්වාධීනව එකම මූලික හේතුව වාර්තා කළේය. Wiz සති කිහිපයකට පසුව Gemini සහ GPT ආකෘති සමඟ ප්‍රභේද සොයා ගත්තේය. Austin පවසන්නේ තමාට ඕනෑම කෙනෙකුට ලබා ගත හැකි ආකෘති භාවිතා කළ බවත්, PHP හි පැරණි දෝෂ සැඟවී ඇති ස්ථාන පිළිබඳ න්‍යායක් ද භාවිතා කළ බවත්ය. OpenAI පවසන්නේ frontier AI යතුර බවයි. දෝෂය දශකයකට වැඩි කාලයක් සැඟවී තිබුණි. නිකුතුව බ්‍රහස්පතින්දා සඳහා සැලසුම් කර තිබුණි.

PHP2Shell තහනම කාන්දු වූයේ කෙසේද?

2:21 අඟහරුවාදා, CVE අංක දෙක අන්තර්ජාලය පුරා සංසරණය වීමට පටන් ගත්තේය, වැරදි නිකුත් කිරීමේ වේලාවක් සහ දහයක වැරදි ලකුණු සමඟ. PHP නිකුතුව දිනකට පෙරට ගත්තේය. එදින සවස, Calif අහම්බෙන් එහි proof of concept ක්‍රියාත්මක වන වීඩියෝවක් ප්‍රකාශයට පත් කළේය, සහ පිටපත් මකාදැමීමෙන් පසුවත් පැවතුණි. බදාදා උදෑසන, නිකුත් කිරීමට පැය හයකට වඩා පෙර, Chainguard විසින් නිවැරදි කිරීම් අඩංගු ගොඩනඟන ලද රූප ප්‍රකාශයට පත් කළේය. PHP පවසන්නේ අනෙකුත් සියලු දෙනා බලා සිටියදී ඕනෑම ප්‍රහාරකයෙකුට එම නිවැරදි කිරීම අධ්‍යයනය කළ හැකි බවයි.

2:46 පැච් එකක් යනු diff එකක් වන අතර, ප්‍රහාරකයන් diff කියවයි.

PHP2Shell සූරාකෑමට ලක්ව තිබේද සහ කා විසින්ද?

2:50 ඉතින් ඇත්තටම බලපෑමට ලක්වන්නේ කවුද? Amazon හි honeypot විසින් ඔක්තෝබර් දහහත්වන දින උත්සාහයක් ලොග් කරන ලද අතර පසුව පැවසුවේ PHP2Shell පුළුල් ලෙස සූරාකෑමට ලක්වන බවයි. watchTowr විසින් වල් ප්‍රදේශයේ සූරාකෑම වාර්තා කරයි. Cisa පැවසුවේ එය ප්‍රකාශයට පත් කිරීමේදී කිසිවක් නිරීක්ෂණය කර නොතිබූ බවත්, PHP කණ්ඩායම නිකුත් කිරීමේදී කිසිදු ක්‍රියාකාරී සූරාකෑමක් දැක නොතිබූ බවත්ය. Cloudflare හි ප්‍රධාන විධායක නිලධාරියා පැවසුවේ නිවේදනයට පෙර පැය දහය තුළ උත්සාහයන් දහස් ගණනක් දුටු බවත්, බ්‍රහස්පතින්දා උදෑසන වන විට මිලියන ගණනක් දුටු බවත්ය.

3:13 ඇමසන් එක් කරුණක් ගැන සැලකිලිමත් වේ. එහි මුල්ම උත්සාහයන් සැබෑ පද්ධතියක ක්‍රියාත්මක වන්නේදැයි එය නොදනී. උත්සාහයක් යනු දොරට තට්ටු කිරීමක් පමණි. ඉතින්, එය ඇත්තෙන්ම කෙතරම් නරකද? watchTowr පවසන්නේ පොදු සූරාකෑම් බොහොමයක් කඩා වැටෙන හෝ කිසිවක් නොකරන බවයි. VulnCheck පවසන්නේ සමහර සැකසුම් වල කේත ක්‍රියාත්මක කිරීම ක්‍රියාත්මක වන බවත්, පොදු ඒවායින් කිසිවක් සම්මත x86 සේවාදායකවල මතක අහඹුකරණය පරාජය නොකරන බවත්ය. පර්යේෂක Elias Taylor පවසන්නේ එය Log4Shell තරම් පහසු නොවන බවයි.

3:40 හැමෝම තවමත් patch කරන්න කියනවා. රජයන් තීන්දුව සඳහා බලා සිටියේ නැත.

රජයන් අන්තර්ජාලයෙන් ඉවත් කළේ කුමක්ද?

3:44 NSA විසින් patch කිරීමට නොහැකි සංවිධානවලට PHP පද්ධති අන්තර්ජාලයෙන් ඉවත් කරන ලෙස පැවසීය, සහ එක්සත් රාජධානියේ ජාතික සයිබර් ආරක්ෂක මධ්‍යස්ථානය ද ඒ හා සමාන උපදෙස් ලබා දුන්නේය. ජාතික ඩිජිටල් අනන්‍යතා සේවාව ඇතුළු ලන්දේසි වෙබ් අඩවි, පැරිස් පොලිස් වෙබ් අඩවියක් සමඟ අඳුරු විය. Wikimedia පූර්වාරක්ෂාවක් ලෙස පද්ධති කිහිපයක් අක්‍රිය කළේය. Palo Alto Networks විසින් නිරාවරණය වූ අවස්ථා මිලියන විසි දෙකකට වඩා ගණන් කරන ලදී. තවද, ඕස්ට්‍රේලියානු මහාචාර්යවරයෙකු තියුණුම කරුණ ඉදිරිපත් කළේය. කලබල විය යුතු වෙබ් අඩවි අද අක්‍රිය නොවන ඒවාය.

කුමන PHP අනුවාදවලට නිවැරදි කිරීමක් ලැබේද?

4:11 PHP අට දශම දෙක සිට අට දශම පහ දක්වා නිවැරදි කිරීම් පවතී. හත දශම හතර, අට දශම බිංදුව සහ අට දශම එක සඳහා, PHP විසින් මූලාශ්‍ර පැච් පමණක් ප්‍රකාශයට පත් කරන ලදී. පැරණි අනුවාද සඳහා PHP ව්‍යාපෘතියෙන් කිසිවක් නොලැබේ, එබැවින් ඔබේ බෙදාහැරීමෙන් අසන්න. වටිනාකම් අඩු කිරීම් අවස්ථා අඩු කරයි, නමුත් PHP පවසන්නේ යාවත්කාලීන කිරීම එකම සම්පූර්ණ නිවැරදි කිරීම බවයි. එය ඊයේ eMudhra කථාංගයේ සමාන පාඩමකි,

අද රෑ PHP2Shell ගැන ඔබ කුමක් කරන්නේද?

4:32 මක්නිසාද යත් නිවැරදි කිරීමක් පැවතීම සහ ක්‍රියාත්මක වන ක්‍රියාවලියට එය තිබීම සමාන නොවන බැවිනි. ඔබේ stack එකේ ඇති සෑම PHP එකක්ම සොයා ගන්න, වෙනත් මෘදුකාංග තුළ සැඟවී ඇති පිටපත් පවා. යාවත්කාලීන කරන්න, සේවකයින් නැවත ආරම්භ කරන්න, සහ ඔක්තෝබර් දහහත්වන දින දක්වා ලොග් පරීක්ෂා කරන්න. එදිනම, GitLab විසින් විවේචනාත්මක පැච් නිකුතුවක් නිකුත් කරන ලදී,

අද තවත් කුමක්ද විවේචනාත්මක RCE පැච් එකක් නිකුත් කළේ?

4:47 දස නවය දශම පහ දශම එක. එහි නිඛිල අතිරික්තයක් සාමාන්‍ය ප්‍රකාශන සම්පාදකයෙකුට සත්‍යාපනය නොකළ පරිශීලකයෙකුට සේවාදායකයේ කේතය ක්‍රියාත්මක කිරීමට ඉඩ සලසයි, එය දහයෙන් දහය ලබා ගනී. GitLab.com දැනටමත් පැච් කර ඇත. තමන් විසින්ම කළමනාකරණය කරන ලද ස්ථාපනයන් සඳහා යාවත්කාලීන කිරීම අවශ්‍ය වේ.

Meta ට ඩොලර් බිලියන 25 ක් ගෙවීමට නියෝග කළේ ඇයි?

5:01 මේ අතර නිව් මෙක්සිකෝවේ, විනිසුරුවරයෙකු Meta ට Cambridge Analytica සම්බන්ධයෙන් ඩොලර් බිලියන විසි පහක් දඩ වශයෙන් ගෙවන ලෙස නියෝග කළේය. ජූරි සභාව මිලියන හතළිස් තුනකට වැඩි උල්ලංඝනය කිරීම් ගණන් කළේය, එක් එක් ඩොලර් පන්දහසක් දක්වා, එය විනිසුරුවරයා එය කපා හැරීමට පෙර දෙසීය විසි බිලියන පමණ විය. Meta පවසන්නේ එය අභියාචනයෙන් ජයග්‍රහණය කරනු ඇති බවයි. දැන් මම පොරොන්දු වූ ආරක්ෂාව.

මුල් නිවැරදි කිරීම සඳහා Chainguard හි ආරක්ෂාව කුමක්ද?

5:19 Chainguard හි ප්‍රධාන විධායක නිලධාරියා The Register ට පැවසුවේ තමා සිකුරාදා රාත්‍රියේ PHP හි යමක් පැමිණෙන බව දැනගත් පසු, මූලික විමසුමක් සමඟ නරක අවදානම් සොයා ගැනීමට, එම දෝෂ තමාම සොයාගත් බවයි. ඔහු පවසන්නේ මිනිසුන්ට දැනටමත් බලපෑම් එල්ල වෙමින් තිබූ නිසා තමා කලින් නිකුත් කළ බවයි. ඔබ මම එය කියනවාට වඩා මෙය කියවීමට කැමති නම්, diff සෑම උදෑසනකම ඔබේ inbox වෙත පැමිණේ, daily diff dot dev හි නොමිලේ, පහත සබැඳිය. එබැවින් අද තීන්දුව වන්නේ SHIP IT.

SHIP IT මුද්දරය ලැබෙන්නේ කුමක්ද?

5:39 PHP යාවත්කාලීන කිරීම අද රෑ නැව්ගත කරන්න, මන්ද නව අනුවාද අංකය එකම සම්පූර්ණ නිවැරදි කිරීම වන බැවිනි. එය අද සඳහා diff එකයි. මම Axrisi වෙතින් Niko. වගකීමෙන් යුතුව ඒකාබද්ධ කරන්න.

මූලාශ්‍ර

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News