PHP2Shell: iki kritik PHP hatası, sızan bir ambargo ve istismar hakkında bilinenler

Bu video neleri kapsar

• Her iki hata da PHP ekibi tarafından CVSS v4.0'da 9.2 olarak derecelendirildi. Düzeltilmiş sürümler PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12'dir; PHP 7.4, 8.0 ve 8.1 yalnızca kaynak yamaları aldı. PHP, güncellemenin tek tam çözüm olduğunu söylüyor.
• İlk hata, PHP'nin yanlış anda bellek bittiğinde isteği yarım bırakmasından kaynaklanıyor. İkincisi, aynı çalışandaki daha sonraki bir isteğin kullanabileceği, bir isteğin belleğine kalan bir işaretçiden kaynaklanıyor. Mod_php ile Apache'de ilk yol, uygulama kodundan önce çalışır.
• Bir PHP çekirdek geliştiricisi, 2024 denetimi sırasında bellek sorununun ilk işaretlerini buldu. PHP Vakfı, rakip düzeltmelerin ödünler içerdiğini ve uzlaşmaya dayalı bir güvenlik ekibinin seçim yapmakta zorlandığını, bunu yapısal bir başarısızlık olarak adlandırdığını söylüyor.
• Vakıf, 20 Ekim'de CVE kimliklerinin sızdığını, Calif'in yanlışlıkla bir proof-of-concept videosu yayınladığını ve Chainguard'ın sürümden altı saatten fazla önce düzeltmeyi içeren derlenmiş görüntüleri yayınladığını söylüyor. Chainguard'ın CEO'su, insanların zaten etkilendiğini ve hataları bağımsız olarak bulduğunu söylüyor.
• Kaynaklar istismar konusunda farklı görüşlere sahip. Amazon, 17 Ekim'de bir deneme kaydetti ve daha sonra PHP2Shell'in yaygın olarak istismar edildiğini söyledi. watchTowr, sahada istismar edildiğini bildirdi. CISA, yayın sırasında istismar gözlemlememişti ve PHP ekibi, sürümde işlevsel bir istismar bulamadı. Birçok genel proof-of-concept betiğinin çalışmadığı bildiriliyor.
• Diğer yazılımların içindeki kopyalar da dahil olmak üzere PHP'nin çalıştığı her yeri kontrol edin, güncelleyin, çalışanları yeniden başlatın ve 17 Ekim'e kadar olan günlükleri gözden geçirin.

Çevrilmiş deşifre

Orijinal İngilizce anlatımdan çevrilmiştir. Mevcut ses ve altyazılar YouTube tarafından kontrol edilir.

PHP2Shell'i dört gün önce kim denedi?

0:00 Bir güvenlik ambargosunun, yama gönderilene kadar bir hatayı sessiz tutması beklenir. Amazon, PHP'nin kritik hatasına dört gün önce yapılan bir denemeyi kaydetti. Bu videoda, onu kim buldu? Ambargo nasıl sızdı? Ve gerçekten ne kadar kötü? Ve sızıntıdan sorumlu tutulan şirketin beklemediğim bir savunması var. Ona geleceğim. Bugün 22 Ekim Perşembe ve bu The Daily Diff.

0:21 PHP, size ulaşmadan hemen önce sunucuda web sayfaları oluşturan bir betik dilidir. Otuz yıldan daha eski ve bir tahmine göre, WordPress ve Wikipedia'nın arkasındaki yazılım da dahil olmak üzere web sitelerinin yaklaşık yüzde yetmişini çalıştırıyor. Geliştiriciler, genellikle PHP'nin onlara hizmet ettiği bir sayfadan alay etmeyi severler. Bakımı yaklaşık on üç mühendisi olan kar amacı gütmeyen bir kuruluştur.

İki PHP2Shell hatası nedir?

0:41 Çarşamba günü, PHP, bir yabancının sunucuda giriş yapmadan kod çalıştırmasına izin veren iki kritik hata için acil düzeltmeler yayınladı. Birlikte PHP2Shell olarak adlandırılırlar ve PHP beş nokta dörde kadar uzanırlar. İşte ilk hata basit kelimelerle. PHP, her isteğe bir bellek bütçesi verir. Eğer bir istek tam olarak yanlış anda bu sınıra ulaşırsa, PHP aceleyle çıkar ve isteği yarım bırakır. Sonra temizleme adımı, yarım kalan şeye güvenir. İkinci hata bir kalıntı.

1:07 Ölümcül bir hata, son isteğe ait belleği işaret eden bir not bırakabilir. Aynı çalışan bir sonraki isteği işler ve notu takip eder. O zamana kadar o adreste başka biri yaşar. Mod PHP ile Apache'de, hasar kendi kodunuz çalışmadan önce meydana gelir, bu yüzden giriş sayfanız asla oy kullanmaz. Wiz, bir merhaba dünya betiğinin bile açığa çıktığını söylüyor. Düzeltme, PHP'nin bellek bitmesi için acil çıkışını kaldırır. İstek ortasında çıkmak yerine, PHP şimdi bir sonraki güvenli noktada kibarca durur.

1:32 Garip olan, ilk ipucunun ne kadar eski olduğu. 2024'te, dışarıdan bir güvenlik denetimi, bir PHP çekirdek geliştiricisini

Bilinen bir hata neden iki yıl bekledi?

1:39 bellek sorununun ilk işaretlerine götürdü. Bilinen bir istismar yoktu ve her düzeltme bir şeyi bozuyordu. Uzlaşmayla karar veren bir ekip seçemedi, bu yüzden hata bekledi. Sonra Ağustos'ta, bulanlar günler içinde geldi. Calif araştırmacısı Ryan Austin, 1 Ağustos'ta onu buldu,

PHP2Shell'i kim buldu ve nasıl?

1:56 OpenAI'nin Patch the Planet programı aracılığıyla çalışarak. OpenAI, aynı temel nedeni bağımsız olarak bildirdi. Wiz, birkaç hafta sonra Gemini ve GPT modelleriyle varyantlar buldu. Austin, herkesin edinebileceği modelleri ve PHP'nin eski hatalarının nerede saklandığına dair bir teoriyi kullandığını söylüyor. OpenAI, çığır açan yapay zekanın anahtar olduğunu söylüyor. Hata on yıldan fazla bir süredir gizlenmişti. Sürüm Perşembe günü için planlanmıştı. Salı günü, iki CVE numarası çevrimiçi olarak dolaşmaya başladı,

PHP2Shell ambargosu nasıl sızdı?

2:21 yanlış bir yayın zamanı ve yanlış bir on puanla. PHP, sürümü bir gün öne aldı. O akşam, Calif yanlışlıkla proof of concept'inin çalıştığı bir video yayınladı, ve kopyalar silinmeden daha uzun yaşadı. Çarşamba sabahı, sürümden altı saatten fazla önce, Chainguard, düzeltmeyi içeren derlenmiş görüntüleri yayınladı. PHP, herkes beklerken herhangi bir saldırganın bu düzeltmeyi inceleyebileceğini söylüyor. Bir yama aynı zamanda bir farktır ve saldırganlar farkları okur.

2:46 Peki gerçekten kimler vuruluyor?

PHP2Shell istismar ediliyor mu ve kimler tarafından?

2:50 Amazon'un honeypot'u 17 Ekim'de bir deneme kaydetti ve daha sonra PHP2Shell'in yaygın olarak istismar edildiğini söyledi. watchTowr, sahada istismar edildiğini bildiriyor. Cisa, yayınladığında herhangi bir istismar gözlemlemediğini söyledi ve PHP ekibi, sürümde çalışan bir istismar görmedi. Cloudflare'ın CEO'su, duyurudan önceki on saatte binlerce, Perşembe sabahına kadar milyonlarca deneme gördüğünü söyledi. Amazon bir noktada dikkatli. En erken denemelerinin gerçek bir sistemde çalışıp çalışmayacağını bilmiyor.

3:13 Bir deneme sadece kapıyı çalmaktır. Peki gerçekten ne kadar kötü? watchTowr, etrafta dolaşan genel istismarların çoğunlukla çöktüğünü veya hiçbir şey yapmadığını söylüyor. VulnCheck, bazı kurulumlarda kod yürütmenin çalıştığını ve genel olanların hiçbirinin standart x86 sunucularda bellek rastgeleleştirmeyi yenemediğini söylüyor. Araştırmacı Elias Taylor, Log4Shell kadar kolay olmadığını söylüyor. Herkes hala yama diyor. Hükümetler kararı beklemedi.

3:40 NSA, yama yapamayan kuruluşlara PHP sistemlerini çevrimdışı yapmalarını söyledi, ve Birleşik Krallık Ulusal Siber Güvenlik Merkezi de benzer tavsiyelerde bulundu.

Hükümetler neleri çevrimdışı yaptı?

3:44 Ulusal dijital kimlik hizmeti de dahil olmak üzere Hollanda siteleri, Paris polis sitesiyle birlikte karardı. Wikimedia, önlem olarak birkaç sistemi kapattı. Palo Alto Networks, yirmi iki milyondan fazla açık örnek saydı. Ve Avustralyalı bir profesör en keskin noktayı yaptı. Endişelenilecek siteler, bugün kapalı olmayanlardır. PHP sekiz nokta ikiden sekiz nokta beşe kadar düzeltmeler mevcut. Yedi nokta dört, sekiz nokta sıfır ve sekiz nokta bir için,

Hangi PHP sürümleri düzeltme alıyor?

4:11 PHP yalnızca kaynak yamaları yayınladı. Eski sürümler PHP projesinden hiçbir şey almaz, bu yüzden dağıtımınıza sorun. Geçici çözümler olasılıkları azaltır, ancak PHP güncellemenin tek tam düzeltme olduğunu söylüyor. Bu, dünkü eMudhra bölümündekiyle aynı ders, çünkü bir düzeltmenin var olması, çalışan sürecin ona sahip olmasıyla aynı şey değildir. Yığınındaki her PHP'yi bulun, diğer yazılımların içinde saklanan kopyaları bile.

Bu gece PHP2Shell hakkında ne yapmalısınız?

4:32 Güncelleyin, çalışanları yeniden başlatın ve 17 Ekim'e kadar olan günlükleri kontrol edin. Aynı gün, GitLab kritik bir yama sürümü yayınladı, on dokuz nokta beş nokta bir. Normal ifade derleyicisindeki bir tamsayı taşması,

Bugün başka hangi kritik RCE yaması çıktı?

4:47 kimliği doğrulanmamış bir kullanıcının sunucuda kod çalıştırmasına izin verir ve on üzerinden on puan alır. GitLab nokta com zaten yamalı. Kendi kendini yöneten kurulumların güncellemeyi yapması gerekiyor. Bu arada New Mexico'da, bir yargıç Meta'yı Cambridge Analytica davasında yirmi beş milyar dolar ceza ödemeye mahkum etti. Jüri, her biri beş bin dolara kadar kırk üç milyondan fazla ihlal saydı ve yargıç

Meta neden 25 milyar dolar ceza ödemeye mahkum edildi?

5:01 kesmeden önce yaklaşık iki yüz yirmi milyar dolara ulaştı. Meta, temyiz sürecinde kazanacağını söylüyor. Şimdi vaat ettiğim savunma. Chainguard'ın CEO'su The Register'a, PHP'de bir şeylerin geleceğini öğrendikten sonra bir Cuma gecesi aynı hataları kendisinin bulduğunu söyledi, kötü güvenlik açıklarını bulmak için temel bir istemle. Erken gönderdiğini, çünkü insanların zaten vurulduğunu söylüyor. Eğer bunu benim söylememden ziyade okumayı tercih ederseniz, fark her sabah gelen kutunuza düşüyor, the daily diff nokta dev adresinde ücretsiz,

Chainguard'ın erken düzeltme için savunması nedir?

5:19 aşağıdaki bağlantı. Bu yüzden bugünkü karar SHIP IT. PHP güncellemesini bu gece gönderin, çünkü yeni sürüm numarası tek tam düzeltmedir. Ve bugünün farkı bu kadar. Ben Axrisi'den Niko. Sorumlulukla birleştirin. Giriş yapmadan kod yürütülmesine yol açabilir.

SHIP IT damgasını ne alır?

5:39 Düzeltmeler 21 Ekim'de 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 sürümlerinde yayınlandı. 7.4, 8.0 ve 8.1 için yalnızca kaynak yamaları yayınlandı. BleepingComputer, dağıtımların ve uzun vadeli destek sağlayıcılarının geriye dönük yamalar sağlayabileceğini bildiriyor. PHP, eksiksiz bir geçici çözüm olmadığını, bu nedenle güncellemeyi veya bir satıcıdan yamalı bir paket istemenin tek güvenli seçim olduğunu söylüyor. PHP Vakfı, bir çekirdek geliştiricinin 2024 güvenlik denetimi sırasında bellek sorununun ilk işaretlerini bulduğunu, ancak bilinen bir istismar yolu olmadığını ve her aday düzeltmenin uyumluluk sorunları gibi ödünler içerdiğini söylüyor. Güvenlik ekibi uzlaşmayla karar veriyor ve seçim yapmakta zorlandı, bu durumu Vakıf, karar verme süreci ve kaynak eksikliğinden kaynaklanan yapısal bir başarısızlık olarak adlandırıyor. Kaynaklar farklı görüşlere sahip. Amazon, 17 Ekim'de bir istismar denemesi kaydetti ve daha sonra PHP2Shell'in yaygın olarak istismar edildiğini söyledi. watchTowr, sahada istismar edildiğini bildirdi. CISA, yayın sırasında istismar gözlemlememişti ve PHP ekibi, sürümde işlevsel bir istismar görmedi. watchTowr, çoğu genel istismar betiğinin çöktüğünü veya hiçbir şey yapmadığını, VulnCheck ise kod yürütmesinin yalnızca bazı kurulumlarda çalıştığını buldu.

Kaynaklar

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News