PHP2Shell: ข้อบกพร่องร้ายแรงสองจุดของ PHP การเผยแพร่ข้อมูลที่รั่วไหล และสิ่งที่ทราบเกี่ยวกับการโจมตี

วิดีโอนี้ครอบคลุมอะไรบ้าง

• ข้อบกพร่องทั้งสองถูกจัดอันดับ 9.2 บน CVSS v4.0 โดยทีม PHP เวอร์ชันที่ได้รับการแก้ไขคือ PHP 8.2.35, 8.3.36, 8.4.27 และ 8.5.12; PHP 7.4, 8.0 และ 8.1 ได้รับแพตช์ซอร์สโค้ดเท่านั้น PHP กล่าวว่าการอัปเดตเป็นการบรรเทาปัญหาที่สมบูรณ์เพียงอย่างเดียว
• ข้อบกพร่องแรกมาจากการที่ PHP ทิ้งคำขอที่สร้างไม่เสร็จเมื่อหน่วยความจำหมดในเวลาที่ไม่เหมาะสม ข้อบกพร่องที่สองมาจากการทิ้งพอยน์เตอร์ที่ชี้ไปยังหน่วยความจำของคำขอหนึ่ง ซึ่งคำขอถัดไปใน worker เดียวกันสามารถนำไปใช้ได้ บน Apache ที่มี mod_php เส้นทางแรกจะทำงานก่อนโค้ดแอปพลิเคชัน
• นักพัฒนาหลักของ PHP พบสัญญาณแรกของปัญหาหน่วยความจำระหว่างการตรวจสอบในปี 2024 มูลนิธิ PHP กล่าวว่าการแก้ไขที่แข่งขันกันมีข้อดีข้อเสีย และทีมรักษาความปลอดภัยที่ทำงานโดยใช้ฉันทามติประสบปัญหาในการเลือก ซึ่งเรียกว่าความล้มเหลวเชิงโครงสร้าง
• มูลนิธิกล่าวว่ารหัส CVE รั่วไหลเมื่อวันที่ 20 ตุลาคม Calif เผยแพร่วิดีโอหลักฐานแนวคิดโดยไม่ได้ตั้งใจ และ Chainguard เผยแพร่อิมเมจที่สร้างเสร็จพร้อมการแก้ไขก่อนการเปิดตัวมากกว่าหกชั่วโมง ซีอีโอของ Chainguard กล่าวว่าผู้คนถูกโจมตีอยู่แล้ว และเขาพบข้อบกพร่องด้วยตัวเอง
• แหล่งข้อมูลไม่เห็นด้วยกับการโจมตี Amazon บันทึกความพยายามเมื่อวันที่ 17 ตุลาคม และภายหลังกล่าวว่า PHP2Shell ถูกโจมตีอย่างกว้างขวาง watchTowr รายงานการโจมตีที่พบในวงกว้าง CISA ไม่พบการโจมตี ณ วันที่เผยแพร่ และทีม PHP ไม่พบการโจมตีที่ใช้งานได้จริงเมื่อเปิดตัว มีรายงานว่าสคริปต์หลักฐานแนวคิดสาธารณะจำนวนมากไม่ทำงาน
• ตรวจสอบทุกที่ที่ PHP ทำงาน รวมถึงสำเนาภายในซอฟต์แวร์อื่น ๆ อัปเดต รีสตาร์ท worker และตรวจสอบบันทึกย้อนหลังไปถึงวันที่ 17 ตุลาคม

บทถอดเสียงที่แปลแล้ว

แปลจากการบรรยายภาษาอังกฤษต้นฉบับ เสียงและคำบรรยายที่มีให้จะควบคุมโดย YouTube

ใครพยายามใช้ PHP2Shell ก่อนกำหนดสี่วัน?

0:00 ข้อมูลการเปิดเผยด้านความปลอดภัยควรจะเก็บข้อบกพร่องไว้เป็นความลับจนกว่าแพตช์จะถูกเผยแพร่ Amazon บันทึกความพยายามในการโจมตีข้อบกพร่องที่สำคัญของ PHP ก่อนกำหนดสี่วัน ในวิดีโอนี้ ใครเป็นคนค้นพบมัน? ข้อมูลการเปิดเผยรั่วไหลได้อย่างไร? และมันแย่แค่ไหนจริงๆ? และบริษัทที่ถูกกล่าวหาว่าทำให้ข้อมูลรั่วไหลมีข้อแก้ต่างที่ผมไม่คาดคิด ผมจะอธิบายให้ฟัง วันนี้วันพฤหัสบดีที่ 22 ตุลาคม และนี่คือ The Daily Diff

0:21 PHP เป็นภาษาสคริปต์ที่สร้างหน้าเว็บบนเซิร์ฟเวอร์ก่อนที่มันจะ มาถึงคุณ มีอายุมากกว่าสามสิบปี และจากการประมาณการหนึ่ง ทำงานอยู่ประมาณเจ็ดสิบเปอร์เซ็นต์ของเว็บไซต์ รวมถึง WordPress และซอฟต์แวร์ เบื้องหลัง Wikipedia นักพัฒนาชอบล้อเลียนมัน มักจะจากหน้าเว็บที่ PHP กำลังให้บริการ พวกเขา การบำรุงรักษาเป็นองค์กรไม่แสวงหากำไรที่มีวิศวกรประมาณสิบสามคน

ข้อบกพร่องของ PHP2Shell สองข้อคืออะไร?

0:41 เมื่อวันพุธ PHP ได้ออกแพตช์ฉุกเฉินสำหรับช่องโหว่ร้ายแรงสองรายการที่ทำให้ คนแปลกหน้าสามารถรันโค้ดบนเซิร์ฟเวอร์ได้โดยไม่ต้องล็อกอิน พวกมันรวมกันเรียกว่า PHP2Shell และย้อนกลับไปถึง PHP ห้า จุดสี่ นี่คือข้อบกพร่องแรกในคำพูดง่ายๆ PHP กำหนดงบประมาณหน่วยความจำสำหรับทุกคำขอ หากคำขอถึงขีดจำกัดนั้นในเวลาที่ไม่เหมาะสมอย่างแน่นอน PHP จะยกเลิกอย่างเร่งรีบและทิ้งคำขอไว้ครึ่งๆ กลางๆ จากนั้นขั้นตอนการทำความสะอาดจะเชื่อถือสิ่งที่ไม่เสร็จสมบูรณ์นั้น

1:07 ข้อบกพร่องที่สองคือส่วนที่เหลือ ข้อผิดพลาดร้ายแรงอาจทิ้งบันทึกที่ชี้ไปยังหน่วยความจำที่เป็นของคำขอสุดท้าย worker เดียวกันจัดการคำขอถัดไปและตามบันทึกนั้น ถึงตอนนั้นมีคนอื่นอาศัยอยู่ที่อยู่นั้นแล้ว บน Apache ที่มี mod PHP ความเสียหายเกิดขึ้นก่อนที่โค้ดของคุณจะทำงาน ดังนั้นหน้าเข้าสู่ระบบของคุณจึงไม่เคยได้รับการลงคะแนน Wiz กล่าวว่าแม้แต่สคริปต์ hello world ก็มีความเสี่ยง การแก้ไขจะลบทางออกฉุกเฉินของ PHP เมื่อหน่วยความจำหมด

1:32 แทนที่จะยกเลิกกลางคำขอ ตอนนี้ PHP จะหยุดอย่างสุภาพที่จุดปลอดภัยถัดไป ส่วนที่แปลกคือเบาะแสแรกนั้นเก่าแค่ไหน

ทำไมข้อบกพร่องที่ทราบแล้วจึงรอนานถึงสองปี?

1:39 ในปี 2024 การตรวจสอบความปลอดภัยภายนอกนำนักพัฒนาหลักของ PHP ไปสู่ สัญญาณแรกของปัญหาหน่วยความจำ ไม่มีการโจมตีที่ทราบและทุกการแก้ไขทำให้บางอย่างเสียหาย ทีมที่ตัดสินใจโดยฉันทามติไม่สามารถเลือกได้ ดังนั้นข้อบกพร่องจึงถูกรอ จากนั้นในเดือนสิงหาคม ผู้ค้นพบก็มาถึงภายในไม่กี่วัน

ใครเป็นคนค้นพบ PHP2Shell และอย่างไร?

1:56 Ryan Austin นักวิจัยของ Calif พบมันเมื่อวันที่ 1 สิงหาคม ทำงานผ่านโปรแกรม Patch the Planet ของ OpenAI OpenAI รายงานสาเหตุหลักเดียวกันนี้อย่างอิสระ Wiz พบรูปแบบต่างๆ ในอีกไม่กี่สัปดาห์ต่อมาด้วยโมเดล Gemini และ GPT Austin กล่าวว่าเขาใช้โมเดลที่ใครๆ ก็สามารถหาได้ บวกกับทฤษฎีเกี่ยวกับที่ซ่อนของข้อบกพร่องเก่าๆ ของ PHP OpenAI กล่าวว่า AI ขั้นสูงเป็นกุญแจสำคัญ ข้อบกพร่องซ่อนตัวมานานกว่าทศวรรษ การเผยแพร่มีกำหนดในวันพฤหัสบดี

ข้อมูลการเปิดเผย PHP2Shell รั่วไหลได้อย่างไร?

2:21 ในวันอังคาร เลข CVE สองหมายเลขเริ่มเผยแพร่ทางออนไลน์ พร้อมเวลาเผยแพร่ที่ผิดและคะแนนสิบที่ผิดพลาด PHP เลื่อนการเผยแพร่ขึ้นหนึ่งวัน เย็นวันนั้น Calif เผลอเผยแพร่วิดีโอหลักฐานแนวคิดของตนที่กำลังทำงานอยู่ และสำเนาต่างๆ ก็ยังคงอยู่แม้จะถูกลบไปแล้ว เช้าวันพุธ มากกว่าหกชั่วโมงก่อนการเผยแพร่ Chainguard เผยแพร่อิมเมจที่สร้างเสร็จซึ่งมีการแก้ไข PHP กล่าวว่าผู้โจมตีทุกคนสามารถศึกษาการแก้ไขนั้นได้ในขณะที่คนอื่นๆ กำลังรอ

2:46 แพตช์ก็คือ diff และผู้โจมตีอ่าน diffs

PHP2Shell กำลังถูกโจมตีหรือไม่ และโดยใคร?

2:50 แล้วใครกำลังถูกโจมตีจริงๆ? Amazon's honeypot บันทึกความพยายามเมื่อวันที่ 17 ตุลาคม และภายหลังกล่าวว่า PHP2Shell ถูกโจมตีอย่างกว้างขวาง watchTowr รายงานการโจมตีที่พบในวงกว้าง Cisa กล่าวว่าไม่พบการโจมตีใดๆ เมื่อเผยแพร่ และทีม PHP ไม่พบ การโจมตีที่ใช้งานได้จริงเมื่อเปิดตัว ซีอีโอของ Cloudflare กล่าวว่าพบความพยายามหลายพันครั้งในสิบชั่วโมงก่อนการ ประกาศ และหลายล้านครั้งภายในเช้าวันพฤหัสบดี

3:13 Amazon ระมัดระวังในประเด็นหนึ่ง ไม่ทราบว่าความพยายามในช่วงแรกสุดจะใช้ได้กับระบบจริงหรือไม่ ความพยายามเป็นเพียงการเคาะประตูเท่านั้น แล้วมันแย่แค่ไหนจริงๆ? watchTowr กล่าวว่าการโจมตีสาธารณะที่แพร่หลายส่วนใหญ่จะล่มหรือไม่มีอะไรเกิดขึ้น VulnCheck กล่าวว่าการเรียกใช้โค้ดทำงานได้ในการตั้งค่าบางอย่าง และไม่มีอันไหนในสาธารณะ ที่เอาชนะการสุ่มหน่วยความจำบนเซิร์ฟเวอร์ x86 มาตรฐานได้ นักวิจัย Elias Taylor กล่าวว่ามันไม่หมูเท่า Log4Shell

3:40 ทุกคนยังคงบอกให้แพตช์ รัฐบาลไม่ได้รอคำตัดสิน

รัฐบาลนำอะไรออกจากระบบ?

3:44 NSA บอกองค์กรที่ไม่สามารถแพตช์ได้ให้นำระบบ PHP ออฟไลน์ และศูนย์ความปลอดภัยทางไซเบอร์แห่งชาติของสหราชอาณาจักรก็ให้คำแนะนำที่คล้ายกัน เว็บไซต์ของเนเธอร์แลนด์ รวมถึงบริการระบุตัวตนดิจิทัลแห่งชาติ ปิดตัวลง เช่นเดียวกับเว็บไซต์ของตำรวจปารีส Wikimedia ปิดระบบหลายระบบเพื่อเป็นการป้องกันไว้ก่อน Palo Alto Networks นับอินสแตนซ์ที่ได้รับผลกระทบมากกว่า 22 ล้านรายการ และศาสตราจารย์ชาวออสเตรเลียได้ชี้ประเด็นที่เฉียบคมที่สุด เว็บไซต์ที่ต้องกังวลคือเว็บไซต์ที่ยังไม่ปิดตัวในวันนี้

PHP เวอร์ชันใดบ้างที่จะได้รับการแก้ไข?

4:11 มีการแก้ไขสำหรับ PHP 8.2 ถึง 8.5 สำหรับ 7.4, 8.0 และ 8.1 PHP เผยแพร่แพตช์ซอร์สโค้ดเท่านั้น เวอร์ชันเก่ากว่าไม่ได้รับอะไรจากโครงการ PHP ดังนั้นโปรดสอบถามการจัดจำหน่ายของคุณ การแก้ไขเฉพาะหน้าช่วยลดโอกาสได้ แต่ PHP กล่าวว่าการอัปเดตเป็นวิธีเดียวที่สมบูรณ์ ในการแก้ไข มันเป็นบทเรียนเดียวกันกับตอน eMudhra เมื่อวานนี้

คุณจะจัดการกับ PHP2Shell ในคืนนี้อย่างไร?

4:32 เพราะการมีอยู่ของการแก้ไขไม่เหมือนกับการที่กระบวนการที่กำลังทำงานอยู่มีมัน ค้นหา PHP ทุกตัวในสแต็กของคุณ แม้กระทั่งสำเนาที่ซ่อนอยู่ในซอฟต์แวร์อื่น อัปเดต, รีสตาร์ท worker และตรวจสอบบันทึกย้อนหลังไปถึงวันที่ 17 ตุลาคม ในวันเดียวกัน GitLab ได้ออกแพตช์ฉุกเฉินที่สำคัญ

มีอะไรอีกบ้างที่ออกแพตช์ RCE ที่สำคัญในวันนี้?

4:47 เวอร์ชัน 19.5.1 การโอเวอร์โฟลว์จำนวนเต็มในคอมไพเลอร์นิพจน์ทั่วไปของมัน ทำให้ผู้ใช้ที่ไม่ได้ยืนยันตัวตนสามารถรันโค้ดบนเซิร์ฟเวอร์ได้ และมีคะแนนเต็มสิบ GitLab.com ได้รับการแพตช์แล้ว การติดตั้งที่จัดการเองจำเป็นต้องอัปเดต ขณะเดียวกันในนิวเม็กซิโก ผู้พิพากษาสั่งให้ Meta จ่ายเงิน 2.5 หมื่นล้านดอลลาร์

ทำไม Meta ถูกสั่งให้จ่ายเงิน 2.5 หมื่นล้านดอลลาร์?

5:01 เป็นค่าปรับจากกรณี Cambridge Analytica คณะลูกขุนนับการละเมิดมากกว่า 43 ล้านครั้ง ครั้งละสูงสุด 5 พันดอลลาร์ ซึ่งรวมเป็นประมาณ 2.2 แสนล้านดอลลาร์ก่อนที่ผู้พิพากษาจะลดจำนวนลง Meta กล่าวว่าจะชนะในการอุทธรณ์ ตอนนี้มาถึงการป้องกันที่ผมสัญญาไว้ ซีอีโอของ Chainguard บอก The Register ว่าเขาพบข้อบกพร่องเดียวกันด้วยตัวเองในคืนวันศุกร์

การป้องกันของ Chainguard สำหรับการแก้ไขก่อนกำหนดคืออะไร?

5:19 หลังจากรู้ว่ามีบางอย่างกำลังจะมาใน PHP ด้วยข้อความแจ้งง่ายๆ ให้ค้นหา ช่องโหว่ที่ไม่ดี เขากล่าวว่าเขาเผยแพร่ก่อนกำหนดเพราะผู้คนถูกโจมตีอยู่แล้ว หากคุณต้องการอ่านสิ่งนี้แทนที่จะฟังผมพูด The Daily Diff จะส่งถึงกล่องจดหมายของคุณทุกเช้า ฟรีที่ thedailydiff.dev ลิงก์อยู่ด้านล่าง ดังนั้นคำตัดสินของวันนี้คือ SHIP IT จัดส่งการอัปเดต PHP คืนนี้ เพราะหมายเลขเวอร์ชันใหม่เป็นการแก้ไขที่สมบูรณ์เพียงอย่างเดียว

อะไรได้รับตราประทับ SHIP IT?

5:39 และนั่นคือ The Daily Diff สำหรับวันนี้ ผม Niko จาก Axrisi รวมโค้ดอย่างมีความรับผิดชอบ รวมอย่างมีความรับผิดชอบ

แหล่งที่มา

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News