ПХП2Схелл: две критичне ПХП грешке, ембарго које је процурило и шта је заправо познато о експлоатацији

Шта овај видео покрива

• ПХП тим је обе грешке оценио са 9.2 на ЦВСС в4.0. Исправљене верзије су ПХП 8.2.35, 8.3.36, 8.4.27 и 8.5.12; ПХП 7.4, 8.0 и 8.1 су добиле само закрпе изворног кода. ПХП каже да је ажурирање једина потпуна митигација.
• Прва грешка произилази из тога што ПХП оставља захтев полудовршен када му у погрешном тренутку понестане меморије. Друга произилази из заосталог показивача на меморију једног захтева који каснији захтев у истом раднику може да користи. На Апацхе-у са mod_php, прва путања се покреће пре кода апликације.
• Програмер ПХП језгра пронашао је прве знакове проблема са меморијом током ревизије 2024. године. ПХП фондација каже да су конкурентне исправке имале компромисе и да се безбедносни тим заснован на консензусу мучио да изабере, што назива структурним неуспехом.
• Фондација каже да су ЦВЕ ИД процурили 20. октобра, да је Цалиф грешком објавио видео са доказом концепта, а Цхаингуард је објавио изграђене слике са исправком више од шест сати пре објављивања. Извршни директор Цхаингуард-а каже да су људи већ били погођени и да је он независно пронашао грешке.
• Извори се не слажу око експлоатације. Амазон је 17. октобра забележио покушај и касније рекао да је ПХП2Схелл широко експлоатисан. watchTowr је пријавио експлоатацију у дивљини. ЦИСА није приметила експлоатацију у време објављивања, а ПХП тим није пронашао функционални експлоит у време објављивања. Многи јавни скрипти са доказом концепта наводно не раде.
• Проверите сва места где ПХП ради, укључујући копије унутар другог софтвера, ажурирајте, поново покрените раднике и прегледајте евиденцију до 17. октобра.

Преведени транскрипт

Преведено са оригиналне енглеске нарације. Доступни аудио и титлови контролисани су од стране YouTube-а.

Ко је покушао ПХП2Схелл четири дана раније?

0:00 Безбедносни ембарго треба да чува грешку у тајности док се закрпа не објави. Амазон је четири дана раније забележио покушај на критичну грешку ПХП-а. У овом видеу, ко је то пронашао? Како је ембарго процурио? И колико је то заиста лоше? И компанија оптужена за цурење има одбрану коју нисам очекивао. Доћи ћу до тога. Четвртак је, 22. октобар, и ово је The Daily Diff.

0:21 ПХП је скриптни језик који гради веб странице на серверу непосредно пре него што дођу до вас. Стар је преко тридесет година и, по једној процени, покреће око седамдесет процената веб страница, укључујући WordPress и софтвер иза Википедије. Програмери га воле да исмевају, обично са странице коју им ПХП служи. Његово одржавање је непрофитна организација са око тринаест инжењера.

Које су две ПХП2Схелл грешке?

0:41 У среду је ПХП објавио хитне исправке за две критичне грешке које омогућавају странцу да покрене код на серверу без пријаве. Заједно се зову ПХП2Схелл, и сежу до ПХП пет тачка четири. Ево прве грешке једноставним речима. ПХП сваком захтеву додељује буџет меморије. Ако захтев достигне то ограничење у погрешном тренутку, ПХП хитно прекида и оставља захтев полудовршен. Затим корак чишћења верује полудовршеној ствари.

1:07 Друга грешка је заостатак. Фатална грешка може оставити белешку која показује на меморију која је припадала последњем захтеву. Исти радник обрађује следећи захтев и прати белешку. До тада неко други живи на тој адреси. На Апацхе-у са mod_php, штета се дешава пре него што се покрене ваш код, тако да ваша страница за пријаву никада не добије глас. Wiz каже да је чак и скрипта hello world изложена. Исправка уклања ПХП-ов хитни излаз због недостатка меморије.

1:32 Уместо да прекида усред захтева, ПХП се сада љубазно зауставља на следећој сигурној тачки. Чудан део је колико је стар први траг.

Зашто је позната грешка чекала две године?

1:39 2024. године, спољна безбедносна ревизија довела је ПХП програмера језгра до првих знакова проблема са меморијом. Није био познат ниједан експлоит, а свака исправка је нешто покварила. Тим који одлучује консензусом није могао да изабере, па је грешка чекала. Затим су у августу, проналазачи стигли у року од неколико дана.

Ко је пронашао ПХП2Схелл, и како?

1:56 Истраживач Цалиф-а, Рајан Остин, пронашао је то 1. августа, радећи кроз програм OpenAI-ја „Patch the Planet“. OpenAI је независно пријавио исти основни узрок. Wiz је пронашао варијанте неколико недеља касније са Gemini и GPT моделима. Остин каже да је користио моделе које свако може добити, плус теорију о томе где се крију старе ПХП грешке. OpenAI каже да је гранична АИ била кључ. Грешка се скривала више од деценије. Објављивање је било планирано за четвртак.

Како је процурио ембарго на ПХП2Схелл?

2:21 У уторак, два ЦВЕ броја почела су да круже онлајн, са погрешним временом објављивања и погрешним резултатом од десет. ПХП је објављивање померио дан унапред. Те вечери, Цалиф је случајно објавио видео свог доказа концепта који ради, а копије су преживеле брисање. У среду ујутро, више од шест сати пре објављивања, Цхаингуард је објавио изграђене слике које садрже исправку. ПХП каже да је сваки нападач могао проучавати ту исправку док су сви остали чекали.

2:46 Закрпа је такође дифф, а нападачи читају дифф-ове.

Да ли се ПХП2Схелл експлоатише, и од стране кога?

2:50 Дакле, ко је заправо погођен? Амазон-ов honeypot је забележио покушај 17. октобра и касније изјавио да је ПХП2Схелл широко експлоатисан. watchTowr извештава о експлоатацији у дивљини. ЦИСА је изјавила да није приметила ниједан када је објавила, а ПХП тим није видео функционални експлоит у време објављивања. Извршни директор Cloudflare-а рекао је да је видео хиљаде покушаја у десет сати пре објављивања, и милионе до четвртка ујутро.

3:13 Амазон је опрезан по једној тачки. Не зна да ли би његови најранији покушаји функционисали на стварном систему. Покушај је само куцање на врата. Дакле, колико је то заиста лоше? watchTowr каже да се већина јавних експлоатација које круже углавном руши или не раде ништа. VulnCheck каже да извршавање кода ради у неким подешавањима, и ниједан од јавних не побеђује меморијску рандомизацију на стандардним x86 серверима. Истраживач Елиас Тејлор каже да то није ни приближно тако лако као Log4Shell.

3:40 Сви и даље кажу да се закрпи. Владе нису чекале пресуду.

Шта су владе искључиле?

3:44 НСА је поручила организацијама које нису могле да закрпе да искључе ПХП системе, а Национални центар за кибернетичку безбедност Уједињеног Краљевства дао је сличан савет. Холандски сајтови, укључујући националну службу за дигитални идентитет, су се замрачили, заједно са сајтом полиције Париза. Викимедија је превентивно искључила неколико система. Пало Алто Нетворкс је пребројао више од двадесет два милиона изложених инстанци. А један аустралијски професор је изнео најоштрију поенту. Сајтови о којима треба бринути су они који данас нису искључени.

Које ПХП верзије добијају исправку?

4:11 Поправке постоје за ПХП осам тачка два до осам тачка пет. За седам тачка четири, осам тачка нула и осам тачка један, ПХП је објавио само изворне закрпе. Старије верзије не добијају ништа од ПХП пројекта, па питајте своју дистрибуцију. Заобилазна решења смањују шансе, али ПХП каже да је ажурирање једина потпуна исправка. То је иста лекција као и јучерашња епизода еМудхра,

Шта да радите поводом ПХП2Схелл вечерас?

4:32 јер постојање исправке није исто што и то да је покренути процес има. Пронађите сваки ПХП у свом стеку, чак и копије скривене у другом софтверу. Ажурирајте, поново покрените раднике и проверите евиденцију до седамнаестог октобра. Истог дана, GitLab је објавио критичну закрпу,

Шта је још данас објавило критичну закрпу за РЦЕ?

4:47 деветнаест тачка пет тачка један. Преливање целог броја у његовом компајлеру регуларних израза омогућава неаутентификованом кориснику да покрене код на серверу, а оцењен је са десет од десет. GitLab.com је већ закрпљен. Самостално управљане инсталације захтевају ажурирање.

Зашто је Мета наложена да плати 25 милијарди долара?

5:01 У међувремену у Новом Мексику, судија је наредио Мета-и да плати двадесет пет милијарди долара казни због Цамбридге Аналитица. Порота је избројала више од четрдесет три милиона прекршаја по до пет хиљада долара сваки, што је износило око двеста двадесет милијарди пре него што је судија то смањио. Мета каже да ће победити у жалбеном поступку. Сада одбрана коју сам обећао.

Која је одбрана Цхаингуард-а за рану исправку?

5:19 Извршни директор Цхаингуард-а рекао је за The Register да је сам пронашао исте грешке у петак увече, након што је сазнао да нешто долази у ПХП-у, са основним упитом да пронађе лоше рањивости. Каже да је објавио рано јер су људи већ били погођени. Ако више волите да ово прочитате него да ме чујете како то говорим, дифф стиже у вашу пошту сваког јутра, бесплатно на thedailydiff.dev, линк испод. Дакле, данашња пресуда је СХИП ИТ.

Шта добија печат СХИП ИТ?

5:39 Објавите ПХП ажурирање вечерас, јер је нови број верзије једина потпуна исправка. И то је дифф за данас. Ја сам Нико из Axrisi-а. Одговорно спајајте.

Извори

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News