PHP2Shell: Kasoro mbili muhimu za PHP, marufuku iliyovuja, na kile kinachojulikana kuhusu unyonyaji

Nini video hii inashughulikia

• Kasoro zote mbili zimekadiriwa 9.2 kwenye CVSS v4.0 na timu ya PHP. Matoleo yaliyorekebishwa ni PHP 8.2.35, 8.3.36, 8.4.27 na 8.5.12; PHP 7.4, 8.0 na 8.1 zilipokea viraka vya chanzo pekee. PHP inasema kusasisha ndiyo suluhisho kamili pekee.
• Kasoro ya kwanza inatokana na PHP kuacha ombi nusu kujengwa inapoishiwa na kumbukumbu kwa wakati usiofaa. Ya pili inatokana na kiashiria kilichobaki cha kumbukumbu ya ombi moja ambayo ombi la baadaye katika mfanyakazi huyo huyo linaweza kutumia. Kwenye Apache na mod_php njia ya kwanza huendeshwa kabla ya msimbo wa programu.
• Msanidi programu mkuu wa PHP aligundua ishara za kwanza za tatizo la kumbukumbu wakati wa ukaguzi wa 2024. PHP Foundation inasema marekebisho yanayoshindana yalikuwa na maelewano na timu ya usalama inayotegemea makubaliano ilihangaika kuchagua, ambayo inaita kushindwa kwa kimuundo.
• Foundation inasema vitambulisho vya CVE vilivuja mnamo Oktoba 20, Calif ilichapisha kimakosa video ya uthibitisho wa dhana, na Chainguard ilichapisha picha zilizojengwa na marekebisho zaidi ya saa sita kabla ya kutolewa. Mkurugenzi Mtendaji wa Chainguard anasema watu walikuwa tayari wanashambuliwa na kwamba aligundua hitilafu hizo kwa kujitegemea.
• Vyanzo vinatofautiana kuhusu unyonyaji. Amazon iliingia jaribio mnamo Oktoba 17 na baadaye ikasema PHP2Shell ilitumiwa vibaya sana. watchTowr iliripoti unyonyaji katika mazingira halisi. CISA haikuwa imegundua unyonyaji wakati wa kuchapishwa, na timu ya PHP haikupata unyonyaji wowote unaofanya kazi wakati wa kutolewa. Scripts nyingi za umma za uthibitisho wa dhana zinaripotiwa kutofanya kazi.
• Angalia kila mahali PHP inapendwa, pamoja na nakala zilizo ndani ya programu zingine, sasisha, anza upya wafanyikazi na uangalie kumbukumbu hadi Oktoba 17.

Nakala iliyotafsiriwa

Imetafsiriwa kutoka simulizi asili ya Kiingereza. Sauti na manukuu yanayopatikana yanadhibitiwa na YouTube.

Nani alijaribu PHP2Shell siku nne kabla?

0:00 Marufuku ya usalama inapaswa kuweka mdudu kimya hadi kiraka kitolewe. Amazon iliandika jaribio dhidi ya mdudu muhimu wa PHP siku nne mapema. Katika video hii, nani aligundua? Marufuku ilivujaje? Na ni mbaya kiasi gani, kweli? Na kampuni iliyolaumiwa kwa kuvuja ina utetezi ambao sikutarajia. Nitafika huko. Ni Alhamisi, Oktoba ishirini na mbili, na hii ndiyo The Daily Diff.

0:21 PHP ni lugha ya scripting ambayo huunda kurasa za wavuti kwenye seva kabla tu hazikufikii. Ina zaidi ya miaka thelathini na, kwa makadirio moja, inaendesha asilimia sabini ya tovuti, ikiwemo WordPress na programu nyuma ya Wikipedia. Waendelezaji wanapenda kuicheka, kawaida kutoka ukurasa ambao PHP inawahudumia. Utunzaji wake ni shirika lisilo la faida lenye wahandisi kumi na tatu hivi.

Ni nini kasoro mbili za PHP2Shell?

0:41 Jumatano, PHP ilitoa marekebisho ya dharura kwa kasoro mbili muhimu zinazomruhusu mgeni kuendesha msimbo kwenye seva bila kuingia. Pamoja zinaitwa PHP2Shell, na zinarudi nyuma hadi PHP tano nukta nne. Hii ndiyo mdudu wa kwanza kwa maneno rahisi. PHP inatoa kila ombi bajeti ya kumbukumbu. Ikiwa ombi linafikia kikomo hicho kwa wakati usiofaa kabisa, PHP inatoka haraka na kuacha ombi nusu kujengwa. Kisha hatua ya kusafisha inaamini kitu kilichojengwa nusu.

1:07 Mdudu wa pili ni mabaki. Hitilafu mbaya inaweza kuacha noti inayoashiria kumbukumbu iliyokuwa ya mwisho ombi. Mfanyakazi huyo huyo anashughulikia ombi linalofuata na kufuata noti. Kufikia hapo mtu mwingine anaishi kwenye anwani hiyo. Kwenye Apache na mod PHP, uharibifu hutokea kabla ya msimbo wako mwenyewe kuendeshwa, hivyo ukurasa wako wa kuingia haupati kura kamwe. Wiz anasema hata script ya hello world inafichuliwa. Marekebisho huondoa njia ya dharura ya PHP ya kuishiwa na kumbukumbu.

1:32 Badala ya kuondoka katikati ya ombi, PHP sasa inasimama kwa upole kwenye salama inayofuata pointi. Sehemu isiyo ya kawaida ni jinsi kidokezo cha kwanza kilivyo cha zamani.

Kwa nini mdudu anayejulikana alisubiri miaka miwili?

1:39 Mnamo 2024, ukaguzi wa usalama wa nje ulimwongoza msanidi programu mkuu wa PHP kwenye ishara za kwanza za tatizo la kumbukumbu. Hakuna unyonyaji ulijulikana, na kila marekebisho yalivunja kitu. Timu inayofanya maamuzi kwa makubaliano haikuweza kuchagua, kwa hivyo mdudu alisubiri. Kisha mnamo Agosti, wapataji walifika ndani ya siku chache.

Nani aligundua PHP2Shell, na jinsi gani?

1:56 Mtafiti wa Calif Ryan Austin aligundua mnamo Agosti mosi, akifanya kazi kupitia mpango wa OpenAI wa Patch the Planet. OpenAI iliripoti sababu hiyo hiyo ya mizizi kwa kujitegemea. Wiz aligundua variants wiki chache baadaye na mifumo ya Gemini na GPT. Austin anasema alitumia mifano ambayo mtu yeyote anaweza kupata, pamoja na nadharia kuhusu wapi mdudu wa zamani wa PHP anaficha. OpenAI inasema AI ya mpaka ndiyo ilikuwa ufunguo. Mdudu alikuwa amejificha kwa zaidi ya miaka kumi. Kutolewa kulipangwa Alhamisi.

Marufuku ya PHP2Shell ilivujaje?

2:21 Jumanne, namba mbili za CVE zilianza kusambazwa mtandaoni, na muda usio sahihi wa kutolewa na alama isiyo sahihi ya kumi. PHP ilitoa toleo mapema siku moja. Jioni hiyo, Calif ilichapisha kimakosa video ya uthibitisho wake wa dhana inayofanya kazi, na nakala ziliishi zaidi ya kufutwa. Jumatano asubuhi, zaidi ya saa sita kabla ya kutolewa, Chainguard ilichapisha picha zilizojengwa zenye marekebisho. PHP inasema mshambuliaji yeyote anaweza kusoma marekebisho hayo wakati wengine wote walisubiri.

2:46 Kiraka pia ni diff, na washambuliaji husoma diffs.

Je, PHP2Shell inanyonywa, na na nani?

2:50 Kwa hivyo nani anapigwa kweli? Honeypot ya Amazon iliandika jaribio mnamo Oktoba kumi na saba na baadaye ikasema PHP2Shell inanyonywa sana. watchTowr inaripoti unyonyaji porini. Cisa ilisema haijagundua yoyote ilipochapisha, na timu ya PHP haikuona unyonyaji unaofanya kazi wakati wa kutolewa. Mkurugenzi Mtendaji wa Cloudflare alisema aliona maelfu ya majaribio katika saa kumi kabla ya tangazo, na mamilioni kufikia Alhamisi asubuhi.

3:13 Amazon ni makini kwa jambo moja. Haijui kama majaribio yake ya mapema yangefanya kazi kwenye mfumo halisi. Jaribio ni kugonga mlango tu. Kwa hivyo ni mbaya kiasi gani, kweli? watchTowr inasema unyonyaji wa umma unaoruka huko nje huanguka au kufanya chochote. VulnCheck inasema utekelezaji wa msimbo hufanya kazi katika baadhi ya mipangilio, na hakuna hata mmoja wa umma hashindi ugawaji nasibu wa kumbukumbu kwenye seva za kawaida za x86. Mtafiti Elias Taylor anasema si rahisi kama Log4Shell.

3:40 Kila mtu bado anasema rekebisha. Serikali hazikusubiri hukumu.

Serikali zilifunga nini?

3:44 NSA iliagiza mashirika ambayo hayakuweza kurekebisha kuondoa mifumo ya PHP mtandaoni, na Kituo cha Kitaifa cha Usalama wa Mtandao cha Uingereza kilitoa ushauri kama huo. Tovuti za Uholanzi, ikiwemo huduma ya kitaifa ya kitambulisho cha dijiti, zilifungwa, pamoja na tovuti ya polisi ya Paris. Wikimedia ilifunga mifumo kadhaa kama tahadhari. Palo Alto Networks ilihesabu matukio zaidi ya milioni ishirini na mbili yaliyofichuliwa. Na profesa wa Australia alitoa hoja kali zaidi. Tovuti za kuhofia ni zile ambazo hazijafungwa leo.

Ni matoleo gani ya PHP yanapata marekebisho?

4:11 Marekebisho yapo kwa PHP nane nukta mbili hadi nane nukta tano. Kwa saba nukta nne, nane nukta oh na nane nukta moja, PHP ilichapisha viraka vya chanzo tu. Matoleo ya zamani hayapata chochote kutoka kwa mradi wa PHP, kwa hivyo uliza msambazaji wako. Mbinu mbadala hupunguza uwezekano, lakini PHP inasema kusasisha ndiyo pekee kamili marekebisho. Ni somo sawa na kipindi cha eMudhra cha jana,

Unafanya nini kuhusu PHP2Shell usiku wa leo?

4:32 kwa sababu marekebisho kuwepo sio sawa na mchakato unaoendesha kuwa nayo. Tafuta kila PHP kwenye safu yako, hata nakala zinazojificha ndani ya programu zingine. Sasisha, anza upya wafanyakazi, na uangalie kumbukumbu hadi Oktoba kumi na saba. Siku hiyo hiyo, GitLab ilitoa toleo muhimu la kiraka,

Ni nini kingine kilitolewa kiraka muhimu cha RCE leo?

4:47 kumi na tisa nukta tano nukta moja. Uharibifu wa nambari katika mkusanyaji wake wa usemi wa kawaida huruhusu mtumiaji asiyeidhinishwa kuendesha msimbo kwenye seva, na inakadiriwa kumi kati ya kumi. GitLab dot com tayari imerekebishwa. Ufungaji unaosimamiwa kibinafsi unahitaji sasisho.

Kwa nini Meta iliamriwa kulipa dola bilioni 25?

5:01 Wakati huohuo New Mexico, jaji aliamuru Meta kulipa dola bilioni ishirini na tano kwa faini juu ya Cambridge Analytica. Jopo la majaji lilihesabu ukiukaji zaidi ya milioni arobaini na tatu kwa hadi elfu tano dola kila mmoja, ambayo ilifikia takriban bilioni mia mbili ishirini kabla ya jaji kuikata. Meta inasema itashinda rufaa. Sasa utetezi niliouahidi.

Ni ipi utetezi wa Chainguard kwa marekebisho ya mapema?

5:19 Mkurugenzi Mtendaji wa Chainguard aliiambia The Register aligundua wadudu hao hao Ijumaa usiku, baada ya kujifunza kuwa kitu kinakuja kwenye PHP, na ombi la msingi la kupata udhaifu mbaya. Anasema alituma mapema kwa sababu watu walikuwa tayari wanashambuliwa. Ikiwa ungependa kusoma hii kuliko kunisikia nikisema, diff inafika kwenye kikasha chako kila asubuhi, bure kwa daily diff dot dev, kiungo hapo chini. Kwa hivyo hukumu ya leo ni SHIP IT.

Ni nini kinachopata stempu ya SHIP IT?

5:39 Tuma sasisho la PHP usiku wa leo, kwa sababu nambari mpya ya toleo ndiyo pekee kamili marekebisho. Na hiyo ndiyo tofauti kwa leo. Mimi ni Niko kutoka Axrisi. Unganisha kwa uwajibikaji.

Vyanzo

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News