PHP2Shell: రెండు కీలకమైన PHP లోపాలు, లీక్ అయిన నిషేధం మరియు దోపిడీ గురించి నిజంగా ఏమి తెలుసు

ఈ వీడియో ఏమి కవర్ చేస్తుంది

• రెండు లోపాలను PHP బృందం CVSS v4.0లో 9.2గా రేట్ చేసింది. పరిష్కరించబడిన విడుదలలు PHP 8.2.35, 8.3.36, 8.4.27 మరియు 8.5.12; PHP 7.4, 8.0 మరియు 8.1 మూల ప్యాచ్‌లను మాత్రమే పొందాయి. నవీకరించడం మాత్రమే పూర్తి ఉపశమనం అని PHP చెబుతోంది.
• మొదటి లోపం PHP తప్పు సమయంలో మెమరీ అయిపోయినప్పుడు సగం నిర్మించిన అభ్యర్థనను వదిలివేయడం నుండి వస్తుంది. రెండవది ఒక అభ్యర్థన మెమరీకి మిగిలి ఉన్న పాయింటర్ నుండి వస్తుంది, అదే వర్కర్‌లో తదుపరి అభ్యర్థన ఉపయోగించవచ్చు. Apacheలో mod_phpతో మొదటి మార్గం అప్లికేషన్ కోడ్ ముందు నడుస్తుంది.
• ఒక PHP కోర్ డెవలపర్ 2024 ఆడిట్ సమయంలో మెమరీ సమస్య యొక్క మొదటి సంకేతాలను కనుగొన్నారు. PHP ఫౌండేషన్ పోటీ పరిష్కారాలు రాజీపడి మరియు ఏకాభిప్రాయం ఆధారిత భద్రతా బృందం ఎంచుకోవడానికి కష్టపడిందని, ఇది నిర్మాణాత్మక వైఫల్యం అని పిలుస్తుంది.
• ఫౌండేషన్ అక్టోబర్ 20న CVE IDలు లీక్ అయ్యాయని, Calif పొరపాటున ప్రూఫ్-ఆఫ్-కాన్సెప్ట్ వీడియోను ప్రచురించిందని, మరియు Chainguard విడుదల చేయడానికి ఆరు గంటల కంటే ముందుగానే పరిష్కారంతో నిర్మించిన చిత్రాలను ప్రచురించిందని చెబుతోంది. Chainguard CEO ప్రజలు అప్పటికే ప్రభావితమవుతున్నారని మరియు తాను స్వతంత్రంగా బగ్‌లను కనుగొన్నానని చెబుతున్నాడు.
• దోపిడీపై మూలాలు ఏకీభవించవు. Amazon అక్టోబర్ 17న ఒక ప్రయత్నాన్ని నమోదు చేసింది మరియు తరువాత PHP2Shell విస్తృతంగా దోపిడీ చేయబడిందని చెప్పింది. watchTowr అడవిలో దోపిడీని నివేదించింది. ప్రచురణ సమయంలో CISA దోపిడీని గమనించలేదు, మరియు PHP బృందం విడుదల సమయంలో పని చేసే దోపిడీని కనుగొనలేదు. చాలా పబ్లిక్ ప్రూఫ్-ఆఫ్-కాన్సెప్ట్ స్క్రిప్ట్‌లు పని చేయవని నివేదించబడ్డాయి.
• ఇతర సాఫ్ట్‌వేర్ లోపల ఉన్న కాపీలతో సహా PHP నడుస్తున్న ప్రతి స్థలాన్ని తనిఖీ చేయండి, నవీకరించండి, వర్కర్‌లను పునఃప్రారంభించండి మరియు అక్టోబర్ 17 వరకు లాగ్‌లను సమీక్షించండి.

అనువదించబడిన ట్రాన్స్క్రిప్ట్

అసలైన ఆంగ్ల కథనం నుండి అనువదించబడింది. అందుబాటులో ఉన్న ఆడియో మరియు క్యాప్షన్లు YouTube ద్వారా నియంత్రించబడతాయి.

PHP2Shellను నాలుగు రోజుల ముందు ఎవరు ప్రయత్నించారు?

0:00 భద్రతా నిషేధం ప్యాచ్ పంపే వరకు బగ్‌ను నిశ్శబ్దంగా ఉంచాలి. PHP యొక్క కీలకమైన బగ్‌కు వ్యతిరేకంగా నాలుగు రోజుల ముందు Amazon ఒక ప్రయత్నాన్ని నమోదు చేసింది. ఈ వీడియోలో, ఎవరు కనుగొన్నారు? నిషేధం ఎలా లీక్ అయ్యింది? మరియు అది నిజంగా ఎంత చెడ్డది? మరియు లీక్ అయ్యిందని నిందించబడిన కంపెనీ నాకు ఊహించని రక్షణను కలిగి ఉంది. నేను దానిని పొందుతాను. ఇది గురువారం, అక్టోబర్ ఇరవై రెండవ తేదీ, మరియు ఇది The Daily Diff.

0:21 PHP అనేది వెబ్ పేజీలను సర్వర్‌లో నిర్మించే స్క్రిప్టింగ్ భాష, అవి మీకు చేరడానికి ముందు. ఇది ముప్పై సంవత్సరాలకు పైగా పాతది మరియు, ఒక అంచనా ప్రకారం, WordPress మరియు వికీపీడియా వెనుక ఉన్న సాఫ్ట్‌వేర్‌తో సహా సుమారు డెబ్భై శాతం వెబ్‌సైట్‌లను నడుపుతుంది. డెవలపర్‌లు దానిని ఎగతాళి చేయడానికి ఇష్టపడతారు, సాధారణంగా PHP వారికి అందిస్తున్న పేజీ నుండి. దాని నిర్వహణ సుమారు పదమూడు ఇంజనీర్లతో కూడిన లాభాపేక్ష లేని సంస్థ.

రెండు PHP2Shell బగ్‌లు ఏమిటి?

0:41 బుధవారం, PHP రెండు కీలకమైన లోపాలకు అత్యవసర పరిష్కారాలను పంపింది, అవి లాగిన్ లేకుండా ఒక అపరిచితుడిని సర్వర్‌లో కోడ్‌ను అమలు చేయడానికి అనుమతిస్తాయి. కలిసి వాటిని PHP2Shell అని పిలుస్తారు, మరియు అవి PHP ఐదు పాయింట్ నాలుగుకు తిరిగి చేరుకుంటాయి. ఇక్కడ మొదటి బగ్ సరళమైన పదాలలో ఉంది. PHP ప్రతి అభ్యర్థనకు మెమరీ బడ్జెట్‌ను ఇస్తుంది. ఒక అభ్యర్థన సరిగ్గా తప్పు సమయంలో ఆ పరిమితిని తాకినట్లయితే, PHP తొందరగా నిష్క్రమించి అభ్యర్థనను సగం నిర్మించిన స్థితిలో వదిలివేస్తుంది. తరువాత శుభ్రపరిచే దశ సగం నిర్మించిన దానిని నమ్ముతుంది. రెండవ బగ్ మిగిలి ఉన్నది.

1:07 ఒక ఘోరమైన లోపం గత అభ్యర్థనకు చెందిన మెమరీని సూచించే ఒక నోట్‌ను వదిలివేయగలదు. అదే వర్కర్ తదుపరి అభ్యర్థనను నిర్వహిస్తుంది మరియు నోట్‌ను అనుసరిస్తుంది. అప్పటికి ఇంకొకరు ఆ చిరునామాలో నివసిస్తున్నారు. Apacheలో mod PHPతో, మీ స్వంత కోడ్ నడుస్తున్న ముందు నష్టం జరుగుతుంది, కాబట్టి మీ లాగిన్ పేజీకి ఎప్పుడూ ఓటు రాదు. Wiz ఒక హలో వరల్డ్ స్క్రిప్ట్ కూడా బహిర్గతమైందని చెబుతోంది. పరిష్కారం మెమరీ అయిపోయినప్పుడు PHP యొక్క అత్యవసర నిష్క్రమణను తొలగిస్తుంది. అభ్యర్థన మధ్యలో నిష్క్రమించడానికి బదులుగా, PHP ఇప్పుడు తదుపరి సురక్షిత స్థలంలో మర్యాదగా ఆగిపోతుంది.

1:32 విచిత్రమైన భాగం మొదటి సూచన ఎంత పాతది. 2024లో, ఒక బాహ్య భద్రతా ఆడిట్ PHP కోర్ డెవలపర్‌ను మెమరీ సమస్య యొక్క మొదటి సంకేతాలకు దారితీసింది.

తెలిసిన బగ్ ఎందుకు రెండు సంవత్సరాలు వేచి ఉంది?

1:39 ఎటువంటి దోపిడీ తెలియదు, మరియు ప్రతి పరిష్కారం ఏదో ఒకదానిని విచ్ఛిన్నం చేసింది. ఏకాభిప్రాయం ద్వారా నిర్ణయించే బృందం ఎంచుకోలేకపోయింది, కాబట్టి బగ్ వేచి ఉంది. తరువాత ఆగస్టులో, కనుగొనేవారు కొన్ని రోజుల్లో వచ్చారు. Calif పరిశోధకుడు Ryan Austin దానిని ఆగస్టు మొదటి తేదీన కనుగొన్నారు, OpenAI యొక్క Patch the Planet ప్రోగ్రామ్ ద్వారా పనిచేస్తూ.

PHP2Shellను ఎవరు కనుగొన్నారు, మరియు ఎలా?

1:56 OpenAI స్వతంత్రంగా అదే మూల కారణాన్ని నివేదించింది. Wiz కొన్ని వారాల తరువాత Gemini మరియు GPT మోడళ్లతో వేరియంట్‌లను కనుగొన్నారు. ఆస్టిన్ ఎవరైనా పొందగల మోడళ్లను ఉపయోగించారని, ప్లస్ PHP యొక్క పాత బగ్‌లు ఎక్కడ దాక్కుంటాయనే సిద్ధాంతాన్ని ఉపయోగించారని చెబుతున్నారు. OpenAI సరిహద్దు AI కీలకం అని చెబుతోంది. బగ్ ఒక దశాబ్దానికి పైగా దాక్కుంది. విడుదల గురువారం కోసం ప్రణాళిక చేయబడింది. మంగళవారం, రెండు CVE సంఖ్యలు ఆన్‌లైన్‌లో ప్రసారం కావడం ప్రారంభించాయి, తప్పు విడుదల సమయం మరియు పది యొక్క తప్పు స్కోర్‌తో. PHP విడుదలను ఒక రోజు ముందుకు తీసుకువచ్చింది.

PHP2Shell నిషేధం ఎలా లీక్ అయ్యింది?

2:21 ఆ సాయంత్రం, Calif అనుకోకుండా దాని ప్రూఫ్ ఆఫ్ కాన్సెప్ట్ పనిచేస్తున్న వీడియోను ప్రచురించింది, మరియు కాపీలు తొలగింపును అధిగమించాయి. బుధవారం ఉదయం, విడుదల చేయడానికి ఆరు గంటల కంటే ముందు, Chainguard పరిష్కారాన్ని కలిగి ఉన్న నిర్మించిన చిత్రాలను ప్రచురించింది. PHP ఇతర అందరూ వేచి ఉన్నప్పుడు ఏ దాడి చేసేవాడైనా ఆ పరిష్కారాన్ని అధ్యయనం చేయగలడని చెబుతోంది. ఒక ప్యాచ్ కూడా ఒక diff, మరియు దాడి చేసేవారు diffలను చదువుతారు. కాబట్టి ఎవరు నిజంగా ప్రభావితమవుతున్నారు? Amazon యొక్క హనీపాట్ అక్టోబర్ పదిహేడవ తేదీన ఒక ప్రయత్నాన్ని నమోదు చేసింది మరియు తరువాత PHP2Shell విస్తృతంగా దోపిడీ చేయబడిందని చెప్పింది.

2:46 watchTowr అడవిలో దోపిడీని నివేదిస్తుంది.

PHP2Shell దోపిడీ చేయబడుతుందా, మరియు ఎవరి ద్వారా?

2:50 Cisa అది ప్రచురించినప్పుడు ఎటువంటిది గమనించలేదని చెప్పింది, మరియు PHP బృందం విడుదల సమయంలో పని చేసే దోపిడీని చూడలేదు. Cloudflare CEO ప్రకటనకు పది గంటల ముందు వేల ప్రయత్నాలను, మరియు గురువారం ఉదయం నాటికి మిలియన్ల ప్రయత్నాలను చూసిందని చెప్పారు. Amazon ఒక పాయింట్‌పై జాగ్రత్తగా ఉంది. దాని ప్రారంభ ప్రయత్నాలు నిజమైన సిస్టమ్‌లో పని చేసి ఉంటాయో లేదో దానికి తెలియదు. ఒక ప్రయత్నం కేవలం తలుపు తట్టడం మాత్రమే. కాబట్టి అది నిజంగా ఎంత చెడ్డది? watchTowr ప్రకారం, పబ్లిక్ ఎక్స్‌ప్లోయిట్‌లు ఎక్కువగా క్రాష్ అవుతాయి లేదా ఏమీ చేయవు. VulnCheck కొన్ని సెటప్‌లలో కోడ్ ఎగ్జిక్యూషన్ పనిచేస్తుందని చెబుతోంది, మరియు పబ్లిక్ వాటిలో ఏదీ ప్రామాణిక x86 సర్వర్‌లలో మెమరీ రాండమైజేషన్‌ను ఓడించదు.

3:13 పరిశోధకుడు ఎలియాస్ టేలర్ ఇది Log4Shell అంత సులభం కాదని చెబుతున్నారు. అయినప్పటికీ అందరూ ప్యాచ్ చేయమని చెబుతున్నారు. ప్రభుత్వాలు తీర్పు కోసం వేచి ఉండలేదు. NSA ప్యాచ్ చేయలేని సంస్థలకు PHP సిస్టమ్‌లను ఆఫ్ లైన్ చేయమని చెప్పింది, మరియు UK యొక్క నేషనల్ సైబర్ సెక్యూరిటీ సెంటర్ ఇదే సలహా ఇచ్చింది. జాతీయ డిజిటల్ గుర్తింపు సేవతో సహా డచ్ సైట్‌లు, పారిస్ పోలీసు సైట్‌తో పాటు చీకటిలోకి వెళ్ళాయి. Wikimedia జాగ్రత్తగా అనేక సిస్టమ్‌లను కిందకు తీసుకువచ్చింది.

3:40 Palo Alto Networks ఇరవై రెండు మిలియన్ల కంటే ఎక్కువ బహిర్గతమైన సందర్భాలను లెక్కించింది. మరియు ఒక ఆస్ట్రేలియన్ ప్రొఫెసర్ పదునైన పాయింట్‌ను చేశారు.

ప్రభుత్వాలు ఏమి ఆఫ్ లైన్ చేశాయి?

3:44 ఈ రోజు డౌన్ కాని సైట్‌ల గురించి ఆందోళన చెందాలి. PHP ఎనిమిది పాయింట్ రెండు నుండి ఎనిమిది పాయింట్ ఐదు వరకు పరిష్కారాలు ఉన్నాయి. ఏడు పాయింట్ నాలుగు, ఎనిమిది పాయింట్ ఓహ్ మరియు ఎనిమిది పాయింట్ ఒకటి కోసం, PHP మూల ప్యాచ్‌లను మాత్రమే ప్రచురించింది. పాత వెర్షన్‌లకు PHP ప్రాజెక్ట్ నుండి ఏమీ లభించదు, కాబట్టి మీ డిస్ట్రిబ్యూషన్‌ను అడగండి. వర్క్‌అరౌండ్‌లు అసమానతలను తగ్గిస్తాయి, కానీ నవీకరించడం మాత్రమే పూర్తి పరిష్కారం అని PHP చెబుతోంది. ఇది నిన్నటి eMudhra ఎపిసోడ్ వంటిదే, ఎందుకంటే పరిష్కారం ఉండటం మరియు నడుస్తున్న ప్రక్రియ దానిని కలిగి ఉండటం ఒకటే కాదు.

ఏ PHP వెర్షన్‌లకు పరిష్కారం లభిస్తుంది?

4:11 మీ స్టాక్‌లో ఉన్న ప్రతి PHPని కనుగొనండి, ఇతర సాఫ్ట్‌వేర్ లోపల దాగి ఉన్న కాపీలతో సహా. నవీకరించండి, వర్కర్‌లను పునఃప్రారంభించండి, మరియు అక్టోబర్ పదిహేడవ తేదీ వరకు లాగ్‌లను తనిఖీ చేయండి. అదే రోజు, GitLab ఒక కీలకమైన ప్యాచ్ విడుదలను పంపింది, పందొమ్మిది పాయింట్ ఐదు పాయింట్ ఒకటి. దాని సాధారణ వ్యక్తీకరణ కంపైలర్‌లో ఒక పూర్ణాంక ఓవర్‌ఫ్లో ఒక ప్రామాణీకరణ లేని వినియోగదారుని సర్వర్‌లో కోడ్‌ను అమలు చేయడానికి అనుమతిస్తుంది, మరియు అది పదికి పది స్కోర్ చేస్తుంది. GitLab.com ఇప్పటికే ప్యాచ్ చేయబడింది.

ఈ రాత్రి PHP2Shell గురించి మీరు ఏమి చేస్తారు?

4:32 స్వీయ-నిర్వహణ సంస్థాపనలకు నవీకరణ అవసరం. ఇంతలో న్యూ మెక్సికోలో, కేంబ్రిడ్జ్ అనలిటికాపై జడ్జి మెటాను ఇరవై ఐదు బిలియన్ డాలర్లు జరిమానాగా చెల్లించమని ఆదేశించారు. జ్యూరీ నలభై మూడు మిలియన్లకు పైగా ఉల్లంఘనలను ఒక్కొక్కటి ఐదు వేల డాలర్ల వరకు లెక్కించింది, ఇది జడ్జి తగ్గించే ముందు సుమారు రెండు వందల ఇరవై బిలియన్లకు చేరుకుంది. మెటా అప్పీల్‌పై గెలుస్తుందని చెబుతోంది.

ఈ రోజు మరేమి కీలకమైన RCE ప్యాచ్‌ను పంపింది?

4:47 ఇప్పుడు నేను వాగ్దానం చేసిన రక్షణ. Chainguard CEO The Registerతో మాట్లాడుతూ శుక్రవారం రాత్రి తాను అదే బగ్‌లను స్వయంగా కనుగొన్నానని, PHPలో ఏదో వస్తుందని తెలుసుకున్న తర్వాత, చెడు లోపాలను కనుగొనడానికి ఒక ప్రాథమిక ప్రాంప్ట్‌తో. ప్రజలు అప్పటికే ప్రభావితమవుతున్నందున తాను ముందుగానే పంపానని అతను చెబుతున్నాడు. దీనిని వినడం కంటే చదవడం మీకు ఇష్టమైతే, diff ప్రతి ఉదయం మీ ఇన్‌బాక్స్‌కు వస్తుంది, ది డెయిలీ డిఫ్ డాట్ డెవ్‌లో ఉచితంగా, కింద లింక్ చేయబడింది. కాబట్టి నేటి తీర్పు SHIP IT.

మెటా ఎందుకు $25 బిలియన్ చెల్లించమని ఆదేశించబడింది?

5:01 PHP నవీకరణను ఈ రాత్రి పంపండి, ఎందుకంటే కొత్త వెర్షన్ నంబర్ మాత్రమే పూర్తి పరిష్కారం. మరియు అది నేటి diff. నేను Axrisi నుండి Niko. బాధ్యతాయుతంగా విలీనం చేయండి. ఒక భద్రతా నిషేధం ప్యాచ్ పంపే వరకు బగ్‌ను నిశ్శబ్దంగా ఉంచాలి. Amazon PHP యొక్క కీలకమైన బగ్‌కు వ్యతిరేకంగా నాలుగు రోజుల ముందు ఒక ప్రయత్నాన్ని నమోదు చేసింది.

ముందస్తు పరిష్కారం కోసం Chainguard యొక్క రక్షణ ఏమిటి?

5:19 ఈ వీడియోలో, ఎవరు కనుగొన్నారు? నిషేధం ఎలా లీక్ అయ్యింది? మరియు అది నిజంగా ఎంత చెడ్డది? మరియు లీక్ అయ్యిందని నిందించబడిన కంపెనీ నాకు ఊహించని రక్షణను కలిగి ఉంది. నేను దానిని పొందుతాను. ఇది గురువారం, అక్టోబర్ ఇరవై రెండవ తేదీ, మరియు ఇది The Daily Diff.

SHIP IT స్టాంప్‌ను ఏమి పొందుతుంది?

5:39 PHP అనేది వెబ్ పేజీలను సర్వర్‌లో నిర్మించే స్క్రిప్టింగ్ భాష, అవి మీకు చేరడానికి ముందు. ఇది ముప్పై సంవత్సరాలకు పైగా పాతది మరియు, ఒక అంచనా ప్రకారం, WordPress మరియు వికీపీడియా వెనుక ఉన్న సాఫ్ట్‌వేర్‌తో సహా సుమారు డెబ్భై శాతం వెబ్‌సైట్‌లను నడుపుతుంది. డెవలపర్‌లు దానిని ఎగతాళి చేయడానికి ఇష్టపడతారు, సాధారణంగా PHP వారికి అందిస్తున్న పేజీ నుండి.

మూలాలు

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News