PHP2Shell: இரண்டு முக்கியமான PHP பிழைகள், கசிந்த ஒரு தடை, மற்றும் சுரண்டல் பற்றி உண்மையில் என்ன தெரியும்

இந்த வீடியோ எதைப் பற்றி விவாதிக்கிறது

• இரண்டு பிழைகளும் PHP குழுவால் CVSS v4.0 இல் 9.2 என மதிப்பிடப்பட்டுள்ளன. சரிசெய்யப்பட்ட வெளியீடுகள் PHP 8.2.35, 8.3.36, 8.4.27 மற்றும் 8.5.12; PHP 7.4, 8.0 மற்றும் 8.1 க்கு மூல திருத்தங்கள் மட்டுமே கிடைத்தன. புதுப்பித்தலே ஒரே முழுமையான தணிப்பு என்று PHP கூறுகிறது.
• முதல் பிழை PHP ஆனது தவறான நேரத்தில் நினைவகம் தீர்ந்துவிடும் போது ஒரு கோரிக்கையை பாதியாக கட்டிவிடுகிறது. இரண்டாவது பிழை அதே பணியாளரில் பிற்கால கோரிக்கை பயன்படுத்தக்கூடிய ஒரு கோரிக்கையின் நினைவகத்திற்கு ஒரு எஞ்சிய சுட்டியை விட்டுச்செல்கிறது. mod_php உடன் Apache இல் முதல் பாதை அப்ளிகேஷன் கோடுக்கு முன் இயங்குகிறது.
• ஒரு PHP மைய டெவலப்பர் 2024 ஆம் ஆண்டு தணிக்கையின் போது நினைவகப் பிரச்சினையின் முதல் அறிகுறிகளைக் கண்டறிந்தார். PHP அறக்கட்டளை, போட்டித் திருத்தங்களில் வர்த்தக பரிமாற்றங்கள் இருந்ததாகவும், ஒருமித்த கருத்தை அடிப்படையாகக் கொண்ட பாதுகாப்புக் குழு தேர்வு செய்ய சிரமப்பட்டதாகவும் கூறுகிறது, இதை அது ஒரு கட்டமைப்பு தோல்வி என்று அழைக்கிறது.
• CVE ஐடிகள் அக்டோபர் 20 அன்று கசிந்ததாகவும், Calif தவறுதலாக ஒரு ப்ரூஃப்-ஆஃப்-கான்செப்ட் வீடியோவை வெளியிட்டதாகவும், Chainguard வெளியீட்டிற்கு ஆறு மணி நேரத்திற்கும் மேலாக திருத்தத்துடன் கட்டமைக்கப்பட்ட படங்களை வெளியிட்டதாகவும் அறக்கட்டளை கூறுகிறது. Chainguard இன் CEO, மக்கள் ஏற்கனவே பாதிக்கப்பட்டுள்ளதாகவும், பிழைகளை தானாகவே கண்டறிந்ததாகவும் கூறுகிறார்.
• சுரண்டல் குறித்து ஆதாரங்கள் மாறுபடுகின்றன. அமேசான் அக்டோபர் 17 அன்று ஒரு முயற்சியைப் பதிவுசெய்தது, பின்னர் PHP2Shell பரவலாக சுரண்டப்பட்டது என்று கூறியது. watchTowr காட்டுமிராண்டித்தனமான சுரண்டலைப் புகாரளித்தது. வெளியீட்டில் CISA சுரண்டலைக் கவனிக்கவில்லை, மேலும் PHP குழு வெளியீட்டில் எந்த செயல்பாட்டு சுரண்டலையும் கண்டறியவில்லை. பல பொதுவான ப்ரூஃப்-ஆஃப்-கான்செப்ட் ஸ்கிரிப்ட்கள் வேலை செய்யவில்லை என்று தெரிவிக்கப்பட்டுள்ளது.
• PHP இயங்கும் ஒவ்வொரு இடத்தையும் சரிபார்க்கவும், பிற மென்பொருட்களுக்குள் உள்ள நகல்கள் உட்பட, புதுப்பிக்கவும், பணியாளர்களை மறுதொடக்கம் செய்யவும், அக்டோபர் 17 முதல் பதிவுகளை மதிப்பாய்வு செய்யவும்.

மொழிபெயர்க்கப்பட்ட டிரான்ஸ்கிரிப்ட்

அசல் ஆங்கில விளக்கத்திலிருந்து மொழிபெயர்க்கப்பட்டது. கிடைக்கும் ஆடியோ மற்றும் தலைப்புகள் YouTube ஆல் கட்டுப்படுத்தப்படுகின்றன.

PHP2Shell ஐ நான்கு நாட்களுக்கு முன்பே யார் முயற்சி செய்தார்கள்?

0:00 ஒரு பாதுகாப்பு தடை ஒரு பிழையை பேட்ச் அனுப்பும் வரை அமைதியாக வைத்திருக்க வேண்டும். அமேசான் PHP இன் முக்கியமான பிழைக்கு நான்கு நாட்களுக்கு முன்னரே ஒரு முயற்சியைப் பதிவுசெய்தது. இந்த வீடியோவில், அதை யார் கண்டுபிடித்தார்கள்? தடை எவ்வாறு கசிந்தது? மேலும் அது உண்மையில் எவ்வளவு மோசமானது? மேலும் கசிவுக்கு குற்றம் சாட்டப்பட்ட நிறுவனம் நான் எதிர்பார்க்காத ஒரு பாதுகாப்பைக் கொண்டுள்ளது. நான் அதைப் பார்ப்பேன். இது வியாழன், அக்டோபர் இருபத்தி இரண்டாவது, இது The Daily Diff.

0:21 PHP என்பது வலைப்பக்கங்களை சர்வரில் உருவாக்கும் ஒரு ஸ்கிரிப்டிங் மொழி, அவை உங்களுக்கு வருவதற்கு முன். இது முப்பது ஆண்டுகளுக்கும் மேலானது மற்றும், ஒரு மதிப்பீட்டின்படி, வேர்ட்பிரஸ் மற்றும் விக்கிபீடியாவின் பின்னால் உள்ள மென்பொருள் உட்பட சுமார் எழுபது சதவிகித வலைத்தளங்களை இயக்குகிறது. டெவலப்பர்கள் அதை கேலி செய்ய விரும்புகிறார்கள், பொதுவாக PHP அவர்களுக்கு சேவை செய்யும் ஒரு பக்கத்திலிருந்து. அதன் பராமரிப்பு சுமார் பதிமூன்று பொறியாளர்களுடன் கூடிய ஒரு இலாப நோக்கமற்றது.

இரண்டு PHP2Shell பிழைகள் என்ன?

0:41 புதன்கிழமை அன்று, PHP ஒரு சர்வரில் உள்நுழைவு இல்லாமல் ஒரு அந்நியன் குறியீட்டை இயக்க அனுமதிக்கும் இரண்டு முக்கியமான பிழைகளுக்கான அவசர திருத்தங்களை அனுப்பியது. அவை ஒன்றாக PHP2Shell என்று அழைக்கப்படுகின்றன, மேலும் அவை PHP ஐந்து புள்ளி நான்கு வரை நீள்கின்றன. இங்கே முதல் பிழையை எளிய வார்த்தைகளில் காணலாம். PHP ஒவ்வொரு கோரிக்கைக்கும் ஒரு நினைவக வரவுசெலவுத் திட்டத்தை வழங்குகிறது. ஒரு கோரிக்கை சரியாக தவறான நேரத்தில் அந்த வரம்பை அடைந்தால், PHP அவசரமாக வெளியேறி, கோரிக்கையை பாதியாக கட்டிவிடுகிறது. பின்னர் சுத்தப்படுத்தும் படி பாதி கட்டப்பட்ட விஷயத்தை நம்புகிறது.

1:07 இரண்டாவது பிழை ஒரு எஞ்சியதாகும். ஒரு கொடிய பிழை கடைசி கோரிக்கைக்குச் சொந்தமான நினைவகத்தை சுட்டிக்காட்டும் ஒரு குறிப்பை விட்டுவிடலாம். அதே பணியாளர் அடுத்த கோரிக்கையை கையாண்டு குறிப்பைப் பின்பற்றுகிறார். அப்போதிருந்து வேறு யாரோ அந்த முகவரியில் வாழ்கிறார்கள். mod PHP உடன் Apache இல், உங்கள் சொந்த குறியீடு இயங்குவதற்கு முன் சேதம் நடக்கிறது, எனவே உங்கள் உள்நுழைவு பக்கம் ஒருபோதும் வாக்களிக்காது. Wiz ஒரு ஹலோ வேர்ல்ட் ஸ்கிரிப்ட் கூட வெளிப்பட்டுள்ளது என்று கூறுகிறது. நினைவகம் தீர்ந்துவிடுவதற்கான PHP இன் அவசர வெளியேற்றத்தை இந்த திருத்தம் நீக்குகிறது.

1:32 கோரிக்கையின் நடுவில் வெளியேறுவதற்குப் பதிலாக, PHP இப்போது அடுத்த பாதுகாப்பான இடத்தில் நயமாக நிற்கிறது. வினோதமான பகுதி முதல் துப்பு எவ்வளவு பழமையானது என்பதுதான்.

ஒரு அறியப்பட்ட பிழை ஏன் இரண்டு ஆண்டுகள் காத்திருந்தது?

1:39 2024 ஆம் ஆண்டில், ஒரு வெளிப்புற பாதுகாப்பு தணிக்கை ஒரு PHP மைய டெவலப்பரை நினைவகப் பிரச்சினையின் முதல் அறிகுறிகளுக்கு இட்டுச்சென்றது. எந்த சுரண்டலும் அறியப்படவில்லை, மேலும் ஒவ்வொரு திருத்தமும் எதையோ உடைத்தது. ஒருமித்த கருத்தால் முடிவெடுக்கும் ஒரு குழு தேர்வு செய்ய முடியவில்லை, எனவே பிழை காத்திருந்தது. பின்னர் ஆகஸ்டில், கண்டுபிடிப்பாளர்கள் சில நாட்களில் வந்தனர்.

PHP2Shell ஐ யார் கண்டுபிடித்தார்கள், எப்படி?

1:56 Calif ஆராய்ச்சியாளர் ரியான் ஆஸ்டின் ஆகஸ்ட் முதல் தேதி அதை கண்டுபிடித்தார், OpenAI இன் Patch the Planet திட்டத்தின் மூலம் பணிபுரிந்தார். OpenAI அதே மூல காரணத்தை சுயாதீனமாக அறிவித்தது. Wiz சில வாரங்களுக்குப் பிறகு ஜெமினி மற்றும் GPT மாடல்களுடன் மாறுபாடுகளைக் கண்டறிந்தது. ஆஸ்டின், அனைவரும் பெறக்கூடிய மாடல்களைப் பயன்படுத்தியதாகவும், PHP இன் பழைய பிழைகள் எங்கு மறைந்துள்ளன என்பது பற்றிய ஒரு கோட்பாட்டையும் பயன்படுத்தியதாகவும் கூறுகிறார். OpenAI, அட்டை செயற்கை நுண்ணறிவுதான் முக்கியமானது என்று கூறுகிறது. இந்த பிழை ஒரு தசாப்தத்திற்கும் மேலாக மறைந்திருந்தது. வெளியீடு வியாழக்கிழமை திட்டமிடப்பட்டது.

PHP2Shell தடை எவ்வாறு கசிந்தது?

2:21 செவ்வாய்க்கிழமை அன்று, இரண்டு CVE எண்கள் ஆன்லைனில் பரவத் தொடங்கின, தவறான வெளியீட்டு நேரம் மற்றும் பத்தின் தவறான மதிப்பெண்ணுடன். PHP வெளியீட்டை ஒரு நாள் முன்னுக்கு இழுத்தது. அந்த மாலை, Calif தவறுதலாக அதன் ப்ரூஃப் ஆஃப் கான்செப்ட் செயல்படும் ஒரு வீடியோவை வெளியிட்டது, மேலும் நகல்கள் நீக்குதலை மீறி நீண்ட காலம் நீடித்தன. புதன்கிழமை காலை, வெளியீட்டிற்கு ஆறு மணி நேரத்திற்கும் மேலாக முன்னரே, Chainguard திருத்தத்தைக் கொண்ட கட்டமைக்கப்பட்ட படங்களை வெளியிட்டது. PHP, மற்றவர்கள் அனைவரும் காத்திருந்தபோது எந்த ஒரு தாக்குதல்தாரியும் அந்த திருத்தத்தைப் படிக்க முடியும் என்று கூறுகிறது.

2:46 ஒரு பேட்ச் ஒரு டிஃப் ஆகும், மேலும் தாக்குதல்தாரிகள் டிஃப்களைப் படிக்கிறார்கள்.

PHP2Shell சுரண்டப்படுகிறதா, யாரால்?

2:50 எனவே உண்மையில் யார் பாதிக்கப்படுகிறார்கள்? அமேசானின் ஹனிபாட் அக்டோபர் பதினேழாம் தேதி ஒரு முயற்சியைப் பதிவுசெய்தது, பின்னர் PHP2Shell பரவலாக சுரண்டப்பட்டது என்று கூறியது. watchTowr காட்டுமிராண்டித்தனமான சுரண்டலைப் புகாரளிக்கிறது. Cisa வெளியிடும் போது எதையும் கவனிக்கவில்லை என்று கூறியது, மேலும் PHP இன் குழு வெளியீட்டில் எந்த ஒரு செயல்பாட்டு சுரண்டலையும் காணவில்லை. கிளவுட்ஃப்ளேயர் CEO, அறிவிப்பிற்கு முன் பத்து மணி நேரத்தில் ஆயிரக்கணக்கான முயற்சிகளையும், வியாழக்கிழமை காலை மில்லியன் கணக்கான முயற்சிகளையும் கண்டதாக கூறினார்.

3:13 அமேசான் ஒரு விஷயத்தில் கவனமாக உள்ளது. அதன் ஆரம்பகால முயற்சிகள் ஒரு உண்மையான கணினியில் வேலை செய்திருக்குமா என்று அதற்குத் தெரியவில்லை. ஒரு முயற்சி என்பது கதவைத் தட்டுவது மட்டுமே. எனவே உண்மையில் எவ்வளவு மோசமானது? watchTowr, சுற்றிப் பறக்கும் பொது சுரண்டல்களில் பெரும்பாலானவை செயலிழக்கின்றன அல்லது எதுவும் செய்யவில்லை என்று கூறுகிறது. VulnCheck, குறியீடு செயல்படுத்தல் சில அமைப்புகளில் செயல்படுகிறது, மேலும் பொதுவானவற்றில் எதுவும் நிலையான x86 சர்வர்களில் நினைவக சீரற்றமயமாக்கலை வெல்லவில்லை என்று கூறுகிறது. ஆராய்ச்சியாளர் எலியாஸ் டெய்லர், இது Log4Shell ஐப் போல எளிதானது அல்ல என்று கூறுகிறார்.

3:40 அனைவரும் இன்னும் பேட்ச் செய்ய வேண்டும் என்று கூறுகிறார்கள். அரசுகள் தீர்ப்பிற்காக காத்திருக்கவில்லை.

அரசுகள் எதை ஆஃப்லைனில் எடுத்தன?

3:44 NSA, பேட்ச் செய்ய முடியாத நிறுவனங்களுக்கு PHP அமைப்புகளை ஆஃப்லைனில் எடுக்கச் சொல்லியது, மற்றும் UK இன் தேசிய சைபர் பாதுகாப்பு மையம் இதே போன்ற ஆலோசனையை வழங்கியது. தேசிய டிஜிட்டல் அடையாள சேவை உட்பட டச்சு தளங்கள், பாரிஸ் போலீஸ் தளத்துடன் இருண்டன. விக்கிமீடியா பல அமைப்புகளை முன்னெச்சரிக்கையாக நிறுத்தியது. பாலோ ஆல்டோ நெட்வொர்க்ஸ் இருபத்தி இரண்டு மில்லியனுக்கும் அதிகமான வெளிப்படுத்தப்பட்ட நிகழ்வுகளைக் கண்டறிந்தது. மற்றும் ஒரு ஆஸ்திரேலியப் பேராசிரியர் மிக கூர்மையான கருத்தை முன்வைத்தார். கவலைப்பட வேண்டிய தளங்கள் இன்று ஆஃப்லைனில் இல்லாதவைதான்.

எந்த PHP பதிப்புகளுக்கு ஒரு திருத்தம் கிடைக்கும்?

4:11 PHP எட்டு புள்ளி இரண்டு முதல் எட்டு புள்ளி ஐந்து வரை திருத்தங்கள் உள்ளன. ஏழு புள்ளி நான்கு, எட்டு புள்ளி ஓ மற்றும் எட்டு புள்ளி ஒன்றுக்கு, PHP மூல திருத்தங்களை மட்டுமே வெளியிட்டது. பழைய பதிப்புகளுக்கு PHP திட்டத்திலிருந்து எதுவும் கிடைக்காது, எனவே உங்கள் விநியோகத்திடம் கேளுங்கள். பணித்தீர்வுகள் வாய்ப்புகளை குறைக்கின்றன, ஆனால் புதுப்பித்தலே ஒரே முழுமையான திருத்தம் என்று PHP கூறுகிறது. இது நேற்று நடந்த eMudhra எபிசோடின் அதே பாடம்,

இன்று இரவு PHP2Shell பற்றி என்ன செய்வீர்கள்?

4:32 ஏனெனில் ஒரு திருத்தம் இருப்பது இயங்கும் செயல்முறையில் அதை வைத்திருப்பதற்கு சமமானதல்ல. உங்கள் ஸ்டாக்கில் உள்ள ஒவ்வொரு PHP ஐயும் கண்டறியவும், பிற மென்பொருட்களுக்குள் மறைந்திருக்கும் நகல்கள் உட்பட. புதுப்பிக்கவும், பணியாளர்களை மறுதொடக்கம் செய்யவும், மற்றும் அக்டோபர் பதினேழாம் தேதி வரை பதிவுகளை சரிபார்க்கவும். அதே நாளில், GitLab ஒரு முக்கியமான பேட்ச் வெளியீட்டை அனுப்பியது,

இன்று வேறு என்ன ஒரு முக்கியமான RCE பேட்சை அனுப்பியது?

4:47 பத்தொன்பது புள்ளி ஐந்து புள்ளி ஒன்று. அதன் வழக்கமான வெளிப்பாட்டு கம்பைலரில் உள்ள ஒரு முழு எண் மிகைப்பு ஒரு அங்கீகரிக்கப்படாத பயனரை சர்வரில் குறியீட்டை இயக்க அனுமதிக்கிறது, மேலும் இது பத்திற்கு பத்து மதிப்பெண் பெறுகிறது. GitLab.com ஏற்கனவே பேட்ச் செய்யப்பட்டுள்ளது. சுய-நிர்வகிக்கப்படும் நிறுவல்களுக்கு புதுப்பிப்பு தேவை. இதற்கிடையில் நியூ மெக்ஸிகோவில், கேம்பிரிட்ஜ் அனலிடிகா தொடர்பாக Meta க்கு இருபத்தி ஐந்து பில்லியன் டாலர்

Meta ஏன் $25 பில்லியன் செலுத்த உத்தரவிடப்பட்டது?

5:01 அபராதம் செலுத்த ஒரு நீதிபதி உத்தரவிட்டார். ஜூரி நாற்பத்தி மூன்று மில்லியனுக்கும் அதிகமான மீறல்களை, ஒவ்வொன்றிற்கும் ஐந்தாயிரம் டாலர் வரை கணக்கிட்டது, இது நீதிபதி குறைப்பதற்கு முன் சுமார் இருநூற்று இருபது பில்லியன் ஆக இருந்தது. Meta மேல்முறையீட்டில் வெற்றி பெறும் என்று கூறுகிறது. இப்போது நான் உறுதியளித்த பாதுகாப்பு. Chainguard இன் CEO The Register இடம், PHP இல் ஏதோ வருகிறது என்று அறிந்த பிறகு, அடிப்படை அறிவிப்புடன்

ஆரம்பகால திருத்தத்திற்காக Chainguard இன் பாதுகாப்பு என்ன?

5:19 மோசமான பாதிப்புகளைக் கண்டறிய, அதே பிழைகளை ஒரு வெள்ளிக்கிழமை இரவு தானாகவே கண்டறிந்ததாக கூறினார். மக்கள் ஏற்கனவே பாதிக்கப்பட்டுள்ளதால் தான் முன்னதாகவே வெளியிட்டதாக அவர் கூறுகிறார். இதை நான் சொல்வதைக் கேட்பதை விட நீங்கள் படிக்க விரும்பினால், டிஃப் ஒவ்வொரு காலையும் உங்கள் இன்பாக்ஸில் இலவசமாக daily diff dot dev இல் வந்து சேரும், கீழே உள்ள இணைப்பு. எனவே இன்றைய தீர்ப்பு SHIP IT. இன்று இரவு PHP புதுப்பிப்பை அனுப்பவும், ஏனெனில் புதிய பதிப்பு எண் மட்டுமே முழுமையான

எது SHIP IT முத்திரையைப் பெறுகிறது?

5:39 திருத்தம். மேலும் இது இன்றைய டிஃப். நான் Axrisi இலிருந்து Niko. பொறுப்புடன் இணைக்கவும். பொறுப்புடன் ஒன்றிணைக்கவும்.

ஆதாரங்கள்

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News