PhP2 Shell Well ขึ้น: CVS 9.2 วันก่อนที่จะเปิด และหลุมทั้งสองอยู่ในรหัส 10 ปี

อย่างแรก ข้อสรุปก็คือPHP ผลิตรหัสรีโมทที่ไม่ได้รับอนุญาตสําหรับ CVS 9.2, หมายเลข CVE-2026-109618 และ CVE-26-109619 โดยมีชื่อเล่นว่า PM2 Shell. วัน ที่ 20 ตุลาคม มี การ จัด การ ประชุม นี้ ใน ที่ สาธารณะ และ ใน วัน ที่ 21 ตุลาคม ที่ โรง พิมพ์ ยูที ซี ขนาด 1400 แผ่น ขณะ ที่ มี การ บันทึก กล่อง น้ํา ผึ้ง ของ แอ มะ ซอน ใน วัน ที่ 17 ตุลาคม — สี่ วัน ก่อน เปิด.

สิ่งที่แย่กว่าคืออีกสิ่งหนึ่ง รูสองรูนี้ เป็นหลุมแรกที่เข้าถึง PhP 5.4 ซึ่งหมายความว่า...พวกเขาอยู่ในรหัสมากว่าทศวรรษฉันไม่รู้ และในปี ค.ศ.เราไม่เห็นด้วย แล้วเราก็ไม่ได้ซ่อมมันฉันไม่รู้ เพราะ เหตุ ใด?

วลี นี้ ตอน นี้ ดู เหมือน น่า ขัน เป็น พิเศษ. เหตุ ผล ที่ ไม่ สามารถ ทํา เช่น นั้น ได้ ก็ คือ ไม่ ใช่ หลุม นั้น ไม่ สําคัญ แต่ โซ่ นั้น ซับ ซ้อน เกิน กว่า ที่ นัก วิจัย จะ ทํา ได้. แล้ว AI ก็มาเขียนออกมา

อย่างแรก ให้คําว่า "การตอบโต้ฉุกเฉินของชาติ" ออกไปให้พ้น ดูสิ

คําโปรดของพรรคคือ "สัญญาณโลก" มันไม่ใช่การพูดเกินจริง แต่มันคือคะแนนที่ชัดเจน

• PHP อย่างเป็นทางการ20 ตุลาคม มีการประกาศล่วงหน้าว่า ในวันที่ 21 ตุลาคม พ.ศ. ผล ก็ คือ เลข CEV ถูก แทง ที่ แฮก เกอร์ นิ วส์ ใน วัน เดียว กัน และ การ ปล่อย ตัว ตาม กําหนด ที่ กําหนด ไว้ สําหรับ วัน ที่ 22 ตุลาคม ถูก บังคับ ไป วัน ก่อน หน้า นั้น.
• CATH-EU2026-018 และทั้ง CEV
• เมฆในวันที่ 21 ตุลาคม Cto Dane Knecht ได้กล่าวโดยตรงว่า "การจู่โจมครั้งแรกถูกพบเห็น" และกฎ WAF ก็ถูกปล่อยออกมาอย่างเต็มรูปแบบ รวมทั้งผู้ใช้อิสระด้วย แต่ เขา เน้น ตัว เอง ว่า มัน เป็น เพียง การ หยุด การ ติด ต่อ กัน และ วิธี แก้ ที่ แท้ จริง ก็ คือ การ แก้ ปัญหา.
• ข้อมูลภัยคุกคามของ Amazon2559 : กระป๋องน้ําผึ้งแมดพอตถูกจับได้ว่าพยายามใช้ในวันที่ 17 ตุลาคม และอีกชุดก็ถูกจับได้ในวันที่ 21 ตุลาคม และปริมาณพลังงานและโครงสร้างพื้นฐานชี้ไปยังผู้โจมตีจํานวนมาก pp2sell "ถูกใช้อย่างกว้างขวางแล้ว".
• ดูทอร์Nameโพรงทั้งสองจะผุดขึ้นมาใหม่ ในขณะที่การพยายามที่จะหาประโยชน์ทั้งสองจะสังเกตเห็น

ดังนั้น "พบการโจมตีแล้ว" จึงไม่ใช่การแปล แต่เป็นความจริง และสภาวะฉุกเฉินของหลายประเทศ ไม่ได้ส่งผลเสีย -- เพียงแต่ว่าหัวข้อหลักของการตอบโต้นี้ คือผู้ผลิต ซีดีเอ็น และองค์กรฉุกเฉิน

สอง สองรู สองวิธีตายแตกต่างกันโดยสิ้นเชิง

หลายคนคิดว่ามันเป็นรูที่มีตัวเลขสองตัว ไม่ นี่เป็นเส้นทางที่แยกกันของการโจมตี แต่ละ CVS 9.2.

CEV-2026-109618: ระเบิดเมื่อหน่วยความจําหมด

การประมวลผลคําขอถูกขัดจังหวะ เมื่อการกระจายหน่วยความจํา PHP ล้มเหลว ปัญหาก็คือณ จุดนี้ ข้อมูลที่ร้องขอภายใน อาจเป็นเพียงครึ่งหนึ่งเท่านั้น และตรรกะที่สะอาดในภายหลัง

วิธีการเรียกตัวช่วยง่าย: สิ่งที่แปลกคือขนาดของคําขอดูเหมือนจะตรงกับเพดานของคุณมันไม่ใช่ขนาดหลังสุด ที่คุณตั้งขึ้นมา มันเป็นรหัสและบริโภค การประมวลผลภายใน

แย่ที่สุดคือ เอ็มพี Mod fp สําหรับ Apache เมื่อการร้องขอเริ่มการทํางานล้มเหลวมันยังทําความสะอาดอยู่ดังนั้นห่วงโซ่นี้สามารถเสร็จ ก่อนที่รหัสใด ๆ ที่นําไปใช้ดําเนินการ รหัส PP ของคุณสะอาดมาก ไม่มีช่องโหว่ ไม่มีการหยุดมัน

PHP-FP จะฆ่าพนักงานเมื่อล้มเหลวในการเริ่มต้น แค่ตัดสายโซ่อย่างเป็นทางการ แต่ให้ความสนใจ -- นี่ไม่ได้หมายความว่า FPM ปลอดภัยหลังจากเริ่มงานเสร็จแล้วยัง มี ทาง เป็น ไป ได้ ที่ จะ แสวง ประโยชน์.

CEV-2026-109619: สถานะสกปรกระหว่างการร้องขอ

ตัวนี้แย่กว่า PHP จะทําการเรียกโพรเซสงานใหม่อีกครั้ง เพื่อประมวลผลการร้องขอหลายครั้ง คําร้องขอสุดท้ายที่จะปลดปล่อยความทรงจํา ไกด์ยังคงอยู่ในสถานะภายใน การร้องขอต่อไปเข้ามาอ่านที่อยู่ว่างก่อนทําการตั้งต้นฉันไม่รู้

ความผิดพลาดร้ายแรง (เติมความทรงจํา, เวลานอกแสดง) ขัดจังหวะสถานะการทําความสะอาด ยิ่งแย่ไปกว่านั้น การวินิจฉัยบางโรคที่ไม่ได้ใช้ยาสลบ ระหว่างการปิดตาย อาจเปลี่ยนสถานะผิดทําใหม่ฉันไม่รู้

ทางเดินที่ได้รับการยืนยันอย่างเป็นทางการรวมถึง: RICs ที่มีความผิดพลาดร้ายแรงเมื่อ PHP 8.5 เปิดใช้งานการย้อนรอยข้อผิดพลาดแบบฟาตทัล (ค่าปริยาย) และวงจรชีวิตของเซสชั่น RICs บนมอเตอร์ php และ FMPsession.upload_progress โดยปริยายแล้ว คุณสามารถทําตัวเป็นผู้บริโภคในสภาวะสกปรกและไม่จําเป็นต้องเรียกข้อมูลฉันไม่รู้

รูนี้ยังคงแนบอยู่หน่วยความจํารั่วฉันไม่รู้ อะไรรั่ว? คือรหัสผ่าน, สัญลักษณ์, กุญแจ API, ใบรับรองสําหรับการร้องขออื่น ๆ ในหน่วยความจําของโพรเซส Wiz โดยตรงเทียบกับหัวใจซึ่งไม่ได้มากเกินไป

เส้นเวลา มากกว่าชื่อเรื่อง ดู

เวลา	เกิดอะไรขึ้น?
ปี 2024	นักพัฒนาหลัก PP พบ OOM, เครื่องดักฟังนั่น, ทีมไม่มีความเห็นเห็นตรงกันในกฎหมาย, วางมันไว้
2026-08	Ryan Austor of Caliph ระบุว่าเป็นช่องโหว่ของ OpenAI GPT-5. 6 Sol; Wiz Desections
2026-10-17	Amazon Madpot, น้ําผึ้งสามารถบันทึกความพยายามสี่วันก่อนที่จะเปิด
2026-10-20	หมายเลข CEV รั่วไหลในข่าวแฮกเกอร์และโซเชียลมีเดีย, PHP
2026-10-21	14:00 UTC Publication 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35.

17 ตุลาคม ต้องได้รับเลือกตั้งวัน สาธารณะ เป็น วัน ที่ 20 แต่ การ โจมตี เกิด ขึ้น ใน วัน ที่ 17.ข้อ เสนอ ของ แอ มะ ซอน ตรง ไป ตรง มา: จุด เริ่ม ต้น ไม่ ควร อยู่ ใน วัน ที่ เปิด เผย แต่ ควร จะ ส่ง ไป อย่าง น้อย 17 ตุลาคม.

เกี่ยวกับวิธีที่คนร้ายมีข้อมูลล่วงหน้า พวกอเมซอนบอกว่า "ไม่ชัดเจน" ฉันรับเรื่องนี้ไม่ได้ แต่คุณต้องยอมรับความเป็นจริงวันเปิดเผยไม่เคยเป็นวันที่ถูกจู่โจม แต่วันที่เธอได้รู้

สี่ ครั้งนี้เป็น AI จริงๆ

บล็อก ของ วิซ มี ประโยค หนึ่ง ที่ ผม ได้ อ่าน ซ้ํา แล้ว ซ้ํา อีก ที่ ว่า “ข้อ บกพร่อง เหล่า นี้ มี อยู่ หลาย สิบ ปี แล้ว แต่ เพื่อ จะ พิสูจน์ ว่า มี การ ใช้ ข้อ บกพร่อง เหล่า นี้ ได้ จึง ต้อง มี ลําดับ ขั้น ตอน ที่ ซับ ซ้อน เป็น พิเศษ ตรง ขอบ เขต ของ ความ สามารถ ที่ แท้ จริง ของ นัก วิจัย มนุษย์.Fontline AI รุ่นที่ลดระดับนี้ลงอย่างมากฉันไม่รู้

เจาะจง: ไรอัน ออสติน นักวิจัยคนหนึ่งในคาลาฟ ถูกพบในโครงการ OpenAI "จับคู่ดาวเคราะห์" กับ GPT-5.6 Sol. Wiz พบปัญหาเดียวกันนี้ด้วยตัวเอง เพื่อ จะ ใช้ ประโยชน์ จาก สิ่ง นี้ เรา ต้อง มี ลูก โซ่ ของ ข้อ ผิด พลาด และ เป้า หมาย แต่ ละ อย่าง.ตั้งค่าการจัดวางหน่วยความจําซ้ําWiz กล่าวว่ารุ่นแถวหน้า อนุญาตให้พัฒนาโปรแกรมใช้งานได้ สําหรับโปรแกรมต่าง ๆ ภายในหนึ่งชั่วโมง

มันไม่ได้หมายความว่า AI ชนะอีกครั้งประเด็นคือคูน้ําแห่ง "ความซับซ้อน" ล้มเหลว

การ ทํา เช่น นี้ ไม่ ใช่ เรื่อง ง่าย. คุณเลยใส่มันลงในคอลัมน์ "ความเสี่ยงเชิงทฤษฎี" ตอนนี้รั้วนี้หายไปแล้ว

โพรงอายุ 10 ปี ที่อยู่ในระบบของคุณ และถูกประเมินว่า เป็นรอยขีดข่วนและไม่มีกระบวนการ

ห้า คนไหนที่คุณจะไป

สาขา	รุ่นที่ได้รับผลกระทบ	แปรงทาสี
PHP 8. 5	< 8.5.12	เพิ่มเป็น 8.5.12.
PHP 8. 4	< 8.4.27	เพิ่มเป็น 8.4.27.
PHP 8. 3	< 8.3.36	เพิ่มเป็น 8.3.36.
PHP 8. 2	< 8.2.35	เพิ่มเป็น 8.2.35.
PHP 7.4 / 8.0 / 8.1	ทั้งหมด	ไม่ได้รับการตีพิมพ์อย่างเป็นทางการ ระดับแหล่งที่มาเท่านั้น
PHP 5.4 – 7.3	ทั้งหมด	EOL รัฐบาลไม่ได้แก้ไข ธุรกิจ

แจ้งเตือนชีวิตจริงมากมาย:

• ผู้ผลิตลินุกซ์และผู้ผลิต LTSมีรอยต่อล่วงหน้าตรวจสอบที่ปรึกษาของผู้ผลิตของคุณด้วยแพคเกจจําหน่าย อย่าเร่งรหัสต้นทาง
• ใช้ rpms.remirepo.net โปรด สังเกต: PHP กล่าว อย่าง เป็น ทาง การ ถึง แหล่ง ที่ มา ใน วัน ที่ 21 ตุลาคม.ไม่มีการปรับปรุงดังนั้นคุณสามารถเปลี่ยนเป็นแพคเกจการกระจายตัว หรือมาจากรหัสแหล่ง
• The วินโดวส์ไบนารีของ PhP 8.5 ยังอยู่ในหน้าดาวน์โหลดอย่างเป็นทางการด้วย
• อย่าคิดว่า จะวิ่งเข้าไปในตู้คอนเทนเนอร์ก็ได้ กระจกตู้คอนเทนเนอร์รุ่น PP ต้องตรวจสอบ

หก ถ้าคุณไม่ได้แพทช์ ทําให้สี่เหล่านี้เป็นครั้งแรก

สถานะแรก:ไม่ มี สิ่ง ใด ข้าง ล่าง นี้ ที่ จะ ทํา ให้ คุณ ปลอด ภัย.ประโยคอย่างเป็นทางการของ PHP คือ "เพิ่มระยะการสัมผัสกับเส้นทางโจมตีเฉพาะ แต่ไม่ทําให้การติดตั้งปลอดภัยขึ้น". คุณค่าของพวกเขาคือ ให้เวลาคุณในการเย็บกระดาษ

ตั้งค่าจํากัดหน่วยความจําเป็น - 1

วัตถุประสงค์: เพื่อกําจัด ระบบหน่วยความจํา PHP ที่คาดเดาไม่ได้ I.E. CVE-26-109618 ได้ยืนยันเงื่อนไขการจุดชนวนซึ่งขึ้นอยู่

ประเด็นคือยังไง?สืบค้นเมื่อ: php_admin_value หรือการปรับแต่งอาปาเช่ คุณต้องตรวจสอบว่า ไม่มี Pop, ไดเรกทอรี, การตั้งค่าโปรแกรมที่จะเพิ่มค่าลิมิตกลับงั้นรีสตาร์ทคนงานทุกคน

ราคาชัดเจนแล้ว : คุณออกจากรั้วความจําของพีพี และความล้มเหลวของการกระจายสินค้าต่ําสุด ดังนั้นมันต้องเป็นตู้คอนเทนเนอร์ หรือ cgroup ที่จะจํากัดการปิดฝา แต่เป็นเพียงกลยุทธ์ในการ "ฆ่าคนที่ได้รับผลกระทบ"ห้ามใช้ RIIT AA หรือ RLITH DATAสองคนนั้นคือความล้มเหลวของการกระจาย ที่ทําให้เกิดช่องโหว่

ลดขนาดหลังจากสูงสุด

นั่งโดยไม่มีแฟ้ม 8M ไปแฟ้ม 32M และรับประกัน upload_max_filesize น้อยกว่านั้น ใน ขณะ เดียว กัน ก็ มี การ เพิ่ม ข้อ จํากัด เข้า กับ เซิร์ฟเวอร์ หรือ ชั้น ของพร็อกซี — ปริมาตร คํา ขอ ที่ ได้ รับ การ ถอด รหัส, จํานวน สนาม, จํานวน ชิ้น ส่วน ต่าง ๆ, จํานวน หัว, ความ ลึก ของ รัง.ข้อห้ามเหล่านี้จะต้องครอบคลุมการร้องขอที่ไม่สามารถตรวจสอบเนื้อหาได้หรือเราจะอ้อมไป

3. กําลังปิดวาระงาน. upload โพรเซส

session.upload_progress.enabled = 0

มันถูกเขียนด้วย php.ini, เครื่องมือ FPM หรือการปรับแต่งเซิร์ฟเวอร์มันต้องได้ผลก่อนคําขอฉันไม่รู้ ใช้ ini_set() หรือ FPM .user.ini สายไปแล้ว มันสกปรก การ เปลี่ยน แปลง ยัง เป็น การ เริ่ม งาน ใหม่ ทุก อย่าง ด้วย.

PHP 8. 5 ซิงเกิลอีกอัน

fatal_error_backtraces = 0

บล็อกนี้ได้รับการยืนยันเท่านั้น ความผิดพลาดร้ายแรงกลับแทร็คไม่มี ต้องการการตั้งค่าระดับผู้บริหาร + เริ่มการทํางานใหม่

นอก จาก นั้น เจ้า หน้าที่ กล่าว ว่า หลาย คน จะ ไม่ สนใจ:แก้ไขข้อผิดพลาดร้ายแรงที่คนร้ายสามารถกระตุ้นและฆ่าเวลาได้ทั้งสํารอง, อัปโหลด, กระบวนการนําเข้า, ความล้มเหลวในการทําความสะอาด และ...ลบค่าการปรับแต่งที่หมดอายุหรือผิดกฎหมายที่ตั้งไว้บนพื้นฐานที่ร้องขอมา- พวกเขาคายข้อมูลการวินิจฉัย ก่อนที่จะเริ่มต้นและให้อาหารการรั่วไหล

ประโยคสุดท้ายนี้ ถูกเข้าใจผิดได้ง่ายที่สุดมันไม่ได้ผลที่จะปิดบังการวินิจฉัยด้วยความผิดพลาด, แสดงข้อผิดพลาดหรือ @.มันจะไม่เกิดขึ้น

วีไอ ความ เป็น จริง ของ เรื่อง นี้

ฉันไม่อยากจบด้วยการเขียนว่า "ปิดแผลซะ" แน่นอนมันเป็นแพทช์ วันนี้ แต่การตัดสินใจบางอย่างต้องเปลี่ยนแปลง

1. คําว่า "ใช้ได้โดยง่าย" ไม่เหมือนกับคําว่า "แต่ง" อีกต่อไปPP ห่วงโซ่การเข้าถึงหลุมนี้มีความซับซ้อนพอที่จะต้องการความช่วยเหลือของ AI ซึ่งได้ช่วยแล้ว รูเก่าในรายการทรัพย์สินของคุณ ที่ทําเครื่องหมาย "ความเสี่ยงทางทฤษฎี" ควรจะปรับปรุงใหม่
2. ภาษาดําเนินอยู่ในจุดเดียวWordPres, Drupal, Jumla, Magento, MediaWiki ทั้งหมดทํางานบน PHP การตรวจสอบรหัสโปรแกรมของคุณสะอาด และหลัก PP ก็มีปัญหา จังหวะการประกอบชั้นของโครงสร้างพื้นฐาน ที่มีชั้นโปรแกรมแยก
3. "รหัสโปรแกรมเสียโดยไม่มีการทํางาน" WAFเท่านั้นที่สามารถล่าช้าเมฆที่ตัวเองกล่าวว่ามันเป็นหยุด การให้ WAF เป็นคําตอบ เท่ากับ การให้ชีวิตกับสื่ออ้างอิง
4. มีเว็บไซต์เก่าๆมากมายในประเทศที่ใช้ PPสถานีเหล่านั้น ทํางานบน PHP 5.6/7.0 ซึ่งนานมาแล้วยังไม่ได้กําหนด และแขวนบนเมนเฟรมเมฆ พวกเขาจะไม่ได้รับแจ้งล่วงหน้า

การปรับข้อมูลได้ถูกบันทึกไว้: W3Techs กล่าวว่า บัญชี PHPs สําหรับ 69.3 เปอร์เซ็นต์ของภาษาที่รู้จักในบริการ และ Wiz 70 เปอร์เซนต์; การเปิดรับข้อมูล ไซลัส คัทเลอร์ นักวิจัยด้านความปลอดภัย กะประมาณกว่า 1.3 ล้านบาท และ Hink Porony' S Shungdan สืบค้นกว่า 1.9 ล้าน ตัวเลขพวกนี้มีตัวเลขต่างกัน และไม่ใช้ ค่าเป๊ะๆ แต่มาตราเท่ากัน --ล้านคนทั่วโลก

อีกหนึ่งรายละเอียดคุ้มค่าที่จะจดจํา: เมื่อหมายเลข CEV รั่วไหล จุด CVSS ที่ออกมาเป็น 10.0, PP ได้รับการยืนยันอย่างเป็นทางการคะแนนนั้นผิดมันคือ 9.2 ไม่มีใครรู้เรื่องรายละเอียดนี้หรอก แต่มันจะแพร่สะพัดไปทั่ว เห็น 10.0 คุณรู้ว่าคลื่นคืออะไร

โพรง 10 ปี 2 เดือนของการวิจัย AI assistized สี่วันก่อนการดูดซึม หน้าต่างแพทช์ 1 วัน ขนาดเวลานี้เป็นเรื่องปกติ ของซอฟต์แวร์พื้นฐานทั้งหมดที่ตามมา

เช็คเวอร์ชันเดี๋ยวนี้php -vหรือดูที่ตู้คอนเทนเนอร์ของคุณ ไม่ต้องรอพรุ่งนี้