PHP2Shell: ikkita muhim PHP xatosi, sizib chiqqan embargo va ekspluatatsiya haqida aslida nimalar ma'lum

Bu video nimani qamrab oladi

• Ikkala xato ham PHP jamoasi tomonidan CVSS v4.0 bo'yicha 9.2 deb baholangan. Tuzatilgan versiyalar PHP 8.2.35, 8.3.36, 8.4.27 va 8.5.12; PHP 7.4, 8.0 va 8.1 faqat manba tuzatishlarini oldi. PHP yangilash yagona to'liq yechim ekanligini aytadi.
• Birinchi xato PHP noto'g'ri paytda xotira tugaganida so'rovni yarim yig'ilgan holda qoldirishi sababli yuzaga keladi. Ikkinchisi esa bitta so'rovning xotirasiga qoldirilgan ko'rsatkichdan kelib chiqadi, uni shu ishchidagi keyingi so'rov ishlatishi mumkin. mod_php bilan Apache'da birinchi yo'l dastur kodidan oldin ishlaydi.
• PHP asosiy dasturchisi 2024-yilgi audit paytida xotira muammosining dastlabki belgilarini topdi. PHP jamg'armasi raqobatdosh tuzatishlarda savdo cheklovlari bo'lganligini va konsensusga asoslangan xavfsizlik jamoasi tanlashda qiynalganligini, buni strukturaviy muvaffaqiyatsizlik deb atagan.
• Jamg'arma CVE ID'lari 20-oktabrda sizib chiqqanligini, Calif tasodifan "proof-of-concept" videosini chop etganligini va Chainguard tuzatilgan rasmlarni chiqarilishdan olti soatdan ko'proq vaqt oldin chop etganligini aytadi. Chainguard bosh direktori odamlar allaqachon zarar ko'rayotganligini va u xatolarni mustaqil ravishda topganligini aytadi.
• Manbalar ekspluatatsiya bo'yicha bir-biriga zid. Amazon 17-oktabrda urinishni qayd etgan va keyinchalik PHP2Shell keng miqyosda ekspluatatsiya qilinganligini aytgan. watchTowr "wild"da ekspluatatsiyani xabar qilgan. CISA nashr qilingan paytda ekspluatatsiyani kuzatmagan va PHP jamoasi chiqarilishda hech qanday ishlaydigan ekspluatatsiya topmagan. Ko'pgina ommaviy "proof-of-concept" skriptlari ishlamayapti deb xabar berilgan.
• PHP ishlaydigan har bir joyni, jumladan, boshqa dasturlarning ichidagi nusxalarni tekshiring, yangilang, ishchilarni qayta ishga tushiring va 17-oktabrdan boshlab jurnallarni ko'rib chiqing.

Tarjima qilingan transkript

Asl inglizcha hikoyadan tarjima qilingan. Mavjud audio va subtitrlar YouTube tomonidan boshqariladi.

PHP2Shell'ni to'rt kun oldin kim sinab ko'rdi?

0:00 Xavfsizlik embargosi tuzatish chiqarilguncha xato haqida jim turishni nazarda tutadi. Amazon PHP'ning muhim xatosiga qarshi to'rt kun oldin urinishni qayd etdi. Bu videoda uni kim topdi? Embargo qanday sizib chiqqan? Va bu aslida qanchalik yomon? Va sizib chiqishda ayblangan kompaniyada men kutmagan himoya bor. Men bunga qaytaman. Bugun payshanba, 22-oktabr va bu The Daily Diff.

0:21 PHP – bu veb-sahifalarni serverda sizga yetib borishidan oldin yaratadigan skript tili. U o'ttiz yildan oshgan va bir taxminlarga ko'ra, WordPress va Wikipedia ortidagi dasturiy ta'minotni o'z ichiga olgan veb-saytlarning taxminan yetmish foizini ishlatadi. Dasturchilar uni masxara qilishni yaxshi ko'radilar, odatda PHP ularga xizmat ko'rsatadigan sahifadan. Uning parvarishi taxminan o'n uch muhandisga ega notijorat tashkilotdir.

Ikkita PHP2Shell xatosi nimalardan iborat?

0:41 Chorshanba kuni PHP ikki muhim xato uchun favqulodda tuzatishlarni chiqardi, bu esa begona odamga serverda hech qanday login holda kodni ishga tushirishga imkon beradi. Ular birgalikda PHP2Shell deb nomlanadi va ular PHP besh nuqta to'rtgacha orqaga boradi. Mana birinchi xato oddiy so'zlar bilan. PHP har bir so'rovga xotira byudjetini beradi. Agar so'rov aynan noto'g'ri paytda o'sha chegaraga yetsa, PHP shoshilinch ravishda to'xtaydi va so'rovni yarim yig'ilgan holda qoldiradi. Keyin tozalash bosqichi yarim yig'ilgan narsaga ishonadi.

1:07 Ikkinchi xato qoldiqdir. Halokatli xato oxirgi so'rovga tegishli xotiraga ishora qiluvchi eslatmani qoldirishi mumkin. Xuddi shu ishchi keyingi so'rovni boshqaradi va eslatmani kuzatadi. O'sha paytga kelib, boshqa birov o'sha manzilda yashaydi. Apache'da mod PHP bilan, zarar o'z kodingiz ishga tushishidan oldin sodir bo'ladi, shuning uchun sizning login sahifangiz hech qachon ovoz ololmaydi. Wiz hatto "hello world" skripti ham himoyasiz ekanligini aytadi. Tuzatish PHP'ning xotira tugashi uchun favqulodda chiqishini olib tashlaydi.

1:32 So'rov o'rtasida to'xtash o'rniga, PHP endi keyingi xavfsiz nuqtada muloyimlik bilan to'xtaydi. G'alati tomoni shundaki, birinchi ishora qanchalik eski.

Nima uchun ma'lum bo'lgan xato ikki yil kutdi?

1:39 2024-yilda tashqi xavfsizlik auditi PHP asosiy dasturchisini xotira muammosining dastlabki belgilariga olib keldi. Hech qanday ekspluatatsiya ma'lum emas edi va har bir tuzatish nimadirni buzdi. Konsensus asosida qaror qabul qiluvchi jamoa tanlay olmadi, shuning uchun xato kutib turdi. Keyin avgust oyida topuvchilar bir necha kun ichida yetib kelishdi.

PHP2Shell'ni kim topdi va qanday qilib?

1:56 Calif tadqiqotchisi Ryan Austin uni 1-avgust kuni topdi, OpenAI'ning Patch the Planet dasturi orqali ishlagan holda. OpenAI xuddi shu asosiy sababni mustaqil ravishda xabar qildi. Wiz bir necha hafta o'tgach Gemini va GPT modellari bilan variantlarni topdi. Austin u har kim olishi mumkin bo'lgan modellardan, shuningdek, PHP'ning eski xatolari qayerda yashiringanligi haqidagi nazariyadan foydalanganini aytadi. OpenAI "frontier AI" asosiy narsa ekanligini aytadi. Xato o'n yildan ko'proq vaqt davomida yashiringan edi. Chiqarish payshanba kuniga rejalashtirilgan edi.

PHP2Shell embargosi qanday sizib chiqqan?

2:21 Seshanba kuni ikkita CVE raqami onlayn tarqalishni boshladi, noto'g'ri chiqarilish vaqti va noto'g'ri o'n ball bilan. PHP chiqarilishni bir kun oldinga surdi. O'sha kechasi Calif tasodifan o'zining "proof of concept" videosini ishlashini nashr qildi, va nusxalar o'chirilishdan keyin ham mavjud bo'ldi. Chorshanba kuni ertalab, chiqarilishdan olti soatdan ko'proq vaqt oldin, Chainguard tuzatishni o'z ichiga olgan tayyor rasmlarni nashr qildi. PHP har qanday hujumchi bu tuzatishni hamma kutib turgan bir paytda o'rganishi mumkinligini aytadi.

2:46 Tuzatish ham diffdir va hujumchilar diff'larni o'qiydilar.

PHP2Shell ekspluatatsiya qilinmoqdami va kim tomonidan?

2:50 Xo'sh, kimga aslida zarba berilmoqda? Amazon'ning "honeypot" 17-oktabrda urinishni qayd etgan va keyinchalik PHP2Shell keng miqyosda ekspluatatsiya qilinganligini aytgan. watchTowr "wild"da ekspluatatsiyani xabar qiladi. Cisa nashr qilingan paytda hech qanday kuzatmaganligini aytdi va PHP jamoasi chiqarilishda ishlaydigan ekspluatatsiya topmadi. Cloudflare bosh direktori e'lon qilinishidan o'n soat oldin minglab urinishlarni ko'rganligini aytdi, va payshanba kuni ertalab millionlab urinishlar bo'lgan.

3:13 Amazon bir nuqtada ehtiyotkor. Uning dastlabki urinishlari haqiqiy tizimda ishlagan bo'larmidi yo'qmi bilmaydi. Urinish faqat eshikni taqillatishdir. Xo'sh, bu aslida qanchalik yomon? watchTowr aytadiki, tarqalgan ommaviy ekspluatatsiyalar asosan qulab tushadi yoki hech narsa qilmaydi. VulnCheck aytadiki, kodni bajarish ba'zi sozlamalarda ishlaydi va hech qanday ommaviy ekspluatatsiya standart x86 serverlarida xotira tasodifiyligini yengmaydi. Tadqiqotchi Elias Taylor aytadiki, bu Log4Shell kabi oson emas.

3:40 Hamma hali ham tuzatishni aytadi. Hukumatlar hukm chiqishini kutmadi.

Hukumatlar nimalarni o'chirib qo'ydi?

3:44 NSA tuzatishni amalga oshira olmagan tashkilotlarga PHP tizimlarini o'chirib qo'yishni aytdi, va Buyuk Britaniyaning Milliy kiber xavfsizlik markazi ham shunga o'xshash maslahat berdi. Gollandiya saytlari, jumladan, milliy raqamli identifikatsiya xizmati, Parij politsiyasi sayti bilan birga o'chirib qo'yildi. Wikimedia bir nechta tizimni ehtiyot chorasi sifatida o'chirib qo'ydi. Palo Alto Networks yigirma ikki milliondan ortiq fosh qilingan nusxalarni sanadi. Va avstraliyalik professor eng aniq fikrni bildirdi. Xavotirlanishga sabab bo'ladigan saytlar bugun o'chirilmaganlaridir.

Qaysi PHP versiyalari tuzatish oladi?

4:11 PHP sakkiz nuqta ikki dan sakkiz nuqta beshgacha tuzatishlar mavjud. Yetti nuqta to'rt, sakkiz nuqta nol va sakkiz nuqta bir uchun, PHP faqat manba tuzatishlarini nashr qildi. Eski versiyalar PHP loyihasidan hech narsa olmaydi, shuning uchun tarqatuvchingizdan so'rang. Yechimlar ehtimollikni kamaytiradi, ammo PHP yangilash yagona to'liq tuzatish ekanligini aytadi. Bu kechagi eMudhra epizodidagi xuddi shu dars,

Bugun kechasi PHP2Shell bilan nima qilasiz?

4:32 chunki tuzatishning mavjudligi ishlaydigan jarayonda uning mavjudligi bilan bir xil emas. Stack'ingizdagi har bir PHP'ni toping, hatto boshqa dasturiy ta'minotning ichida yashiringan nusxalarni ham. Yangilang, ishchilarni qayta ishga tushiring va 17-oktabrdan boshlab jurnallarni tekshiring. Xuddi shu kuni GitLab muhim tuzatish chiqarilishini yubordi,

Bugun yana qaysi muhim RCE tuzatmasi chiqarildi?

4:47 o'n to'qqiz nuqta besh nuqta bir. Uning muntazam ifoda kompilyatoridagi butun son to'lib ketishi tasdiqlanmagan foydalanuvchiga serverda kodni ishga tushirishga imkon beradi va u o'ndan o'n ballga ega. GitLab dot com allaqachon tuzatilgan. O'z-o'zidan boshqariladigan o'rnatmalar yangilanishga muhtoj. Ayni paytda Nyu-Meksikoda sudya Meta'ga Cambridge Analytica bo'yicha yigirma besh milliard dollar

Nima uchun Meta'ga 25 milliard dollar to'lash buyurildi?

5:01 jarima to'lashni buyurdi. Hay'at qirq uch milliondan ortiq buzishlarni har biri besh ming dollargacha hisoblab chiqdi, bu sudya uni kamaytirishidan oldin taxminan ikki yuz yigirma milliardga yetdi. Meta apellyatsiyada g'alaba qozonishini aytadi. Endi men va'da qilgan himoya. Chainguard bosh direktori The Register'ga shanba kechasi PHP'da nimadir kelayotganini bilib olganidan so'ng, asosiy buyruq bilan yomon zaifliklarni topish uchun xuddi shu xatolarni o'zi topganligini aytdi.

Chainguard'ning erta tuzatish uchun himoyasi nima?

5:19 U odamlar allaqachon zarba olayotganligi sababli erta chiqarganligini aytdi. Agar buni men aytganimdan ko'ra o'qishni xohlasangiz, diff har kuni ertalab pochtangizga bepul keladi, daily diff dot dev'da, havola pastda. Shunday qilib, bugungi hukm SHIP IT. PHP yangilanishini bugun kechasi yuboring, chunki yangi versiya raqami yagona to'liq tuzatishdir. Va bugungi diff shu.

Nima SHIP IT tamg'asini oladi?

5:39 Men Axrisi'dan Nikoman. Mas'uliyat bilan birlashtiring. Yo'q Yo'q

Manbalar

1. Today's PHP Security Release, and How We're Strengthening PHP SecurityThe PHP Foundation
2. RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)PHP security advisory
3. RCE via stale global state (GHSA-6wmf-4rv5-p3rp)PHP security advisory
4. Upcoming Critical PHP Security Releasephp.net
5. php2shellCalif
6. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetWiz Research
7. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPotAWS Security Blog
8. Critical Vulnerabilities in PHP Require Immediate PatchingCISA
9. Flaw in PHP computer language leads to shutdown of websites around worldThe Guardian
10. What is PHP, and how bad is the computer language flaw causing website shutdowns globally?The Guardian
11. PHP2Shell Exploitation Started Days Before PatchesSecurityWeek
12. PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619Tanium
13. There isn't an easy exploit for this PHP vulnerabilityElias Taylor
14. PHP blames supply chain security biz Chainguard for putting entire web at riskThe Register
15. PHP2Shell: 22M exposed servers at risk as emergency patches releasedTechTarget
16. PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
17. GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13GitLab
18. Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica caseCNBC
19. Tell HN: 2x PHP RCE CVEs with CVSS 10.0 IncomingHacker News