N環球 
"PHP2Shell": PHP ਦੋ ਨਾਜ਼ੁਕ CVSS-9.2 ਖਾਮੀਆਂ ਲਈ ਐਮਰਜੈਂਸੀ ਪੈਚ ਭੇਜਦਾ ਹੈ ਜੋ ਅਣ-ਪ੍ਰਮਾਣਿਤ ਰਿਮੋਟ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਨੂੰ ਸਮਰੱਥ ਬਣਾਉਂਦਾ ਹੈ
PHP ਨੇ Wiz, Calif ਅਤੇ OpenAI ਵਿਖੇ ਖੋਜਕਰਤਾਵਾਂ ਦੁਆਰਾ ਲੱਭੀਆਂ ਗਈਆਂ PHP2Shell (CVE-2026-109618, CVE-2026-109619) ਨੂੰ ਸਮੂਹਿਕ ਤੌਰ 'ਤੇ ਡੱਬ ਕਰਨ ਵਾਲੀਆਂ ਦੋ ਗੰਭੀਰ ਖਾਮੀਆਂ ਨੂੰ ਠੀਕ ਕਰਦੇ ਹੋਏ 21 ਅਕਤੂਬਰ ਨੂੰ ਐਮਰਜੈਂਸੀ ਅਪਡੇਟਸ ਜਾਰੀ ਕੀਤੇ। ਤਾਲਮੇਲ ਵਾਲੇ ਖੁਲਾਸੇ ਤੋਂ ਪਹਿਲਾਂ ਵੇਰਵੇ ਲੀਕ ਹੋ ਗਏ, ਅਤੇ Cloudflare ਨੇ ਪੈਚ ਭੇਜਣ ਤੋਂ ਪਹਿਲਾਂ ਅਸਲ ਹਮਲਿਆਂ ਨੂੰ ਦੇਖਿਆ। ਵੈੱਬ ਬੇਨਤੀਆਂ ਦੀ ਸੇਵਾ ਕਰਨ ਵਾਲੀ ਹਰ PHP ਸਥਾਪਨਾ ਪ੍ਰਭਾਵਿਤ ਹੁੰਦੀ ਹੈ।
ਇਹ ਮਾਇਨੇ ਕਿਉਂ ਰੱਖਦਾ ਹੈ
ਇਹ ਸਾਲਾਂ ਵਿੱਚ ਸਭ ਤੋਂ ਗੰਭੀਰ ਵੈੱਬ ਕਮਜ਼ੋਰੀਆਂ ਵਿੱਚੋਂ ਇੱਕ ਹੈ। PHP ਵਿਸ਼ਵ ਦੀਆਂ ਵੈੱਬਸਾਈਟਾਂ (ਵਰਡਪ੍ਰੈਸ, ਡਰੂਪਲ, ਜੂਮਲਾ) ਦੇ ਇੱਕ ਵੱਡੇ ਹਿੱਸੇ ਨੂੰ ਸ਼ਕਤੀ ਪ੍ਰਦਾਨ ਕਰਦੀ ਹੈ, ਅਤੇ ਇਸ ਵਾਰ ਨੁਕਸ ਭਾਸ਼ਾ ਇੰਜਣ ਵਿੱਚ ਹੀ ਬੈਠਦਾ ਹੈ — ਇੱਥੋਂ ਤੱਕ ਕਿ ਇੱਕ ਪੂਰੀ ਤਰ੍ਹਾਂ ਲਿਖੀ ਸਾਈਟ ਵੀ ਕੋਈ ਸੁਰੱਖਿਆ ਪ੍ਰਦਾਨ ਨਹੀਂ ਕਰਦੀ ਹੈ। ਹਮਲਾਵਰ ਨੂੰ ਕਿਸੇ ਖਾਤੇ ਦੀ ਲੋੜ ਨਹੀਂ ਹੁੰਦੀ; ਇੱਕ ਸਿੰਗਲ ਬੇਨਤੀ ਸਰਵਰ 'ਤੇ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਪੈਦਾ ਕਰ ਸਕਦੀ ਹੈ।
ਇਹ ਸੁਰੱਖਿਆ ਖੋਜ ਵਿੱਚ AI ਦੀ ਦੋਹਰੀ ਭੂਮਿਕਾ ਦਾ ਅਜੇ ਤੱਕ ਦਾ ਸਭ ਤੋਂ ਤਿੱਖਾ ਦ੍ਰਿਸ਼ਟਾਂਤ ਵੀ ਹੈ: ਵਿਜ਼ ਦਾ ਕਹਿਣਾ ਹੈ ਕਿ ਖਾਮੀਆਂ ਦਹਾਕਿਆਂ ਤੋਂ ਲੁਕੀਆਂ ਹੋਈਆਂ ਸਨ, ਅਤੇ ਸ਼ੋਸ਼ਣ ਦਾ ਪ੍ਰਦਰਸ਼ਨ ਕਰਨ ਲਈ 'ਮਨੁੱਖੀ ਖੋਜਕਰਤਾ ਅਮਲੀ ਤੌਰ' ਤੇ ਕੀ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦੇ ਹਨ ਦੇ ਕਿਨਾਰੇ 'ਤੇ ਇੱਕ ਲੜੀ ਦੀ ਲੋੜ ਸੀ।' ਫਰੰਟੀਅਰ ਏਆਈ ਮਾਡਲਾਂ ਨੇ ਉਸ ਰੁਕਾਵਟ ਨੂੰ ਕਾਫ਼ੀ ਹੱਦ ਤੱਕ ਘਟਾ ਦਿੱਤਾ, ਇੱਕ ਲੰਬੇ ਸਮੇਂ ਤੋਂ ਚੱਲੀ ਆ ਰਹੀ ਨੁਕਸ ਨੂੰ ਕਾਰਜਸ਼ੀਲ ਸ਼ੋਸ਼ਣ ਵਿੱਚ ਬਦਲ ਦਿੱਤਾ।
ਪੂਰੀ ਰਿਪੋਰਟ
PHP ਦੀ ਸੁਰੱਖਿਆ ਟੀਮ ਨੇ 21 ਅਕਤੂਬਰ ਨੂੰ CVE-2026-109618 ਅਤੇ CVE-2026-109619 ਨੂੰ ਫਿਕਸ ਕਰਨ ਲਈ ਸੰਕਟਕਾਲੀਨ ਅੱਪਡੇਟ ਜਾਰੀ ਕੀਤੇ, ਦੋਵਾਂ ਨੂੰ CVSS v4.0 9.2 ਦਾ ਦਰਜਾ ਦਿੱਤਾ ਗਿਆ ਅਤੇ ਸਮੂਹਿਕ ਤੌਰ 'ਤੇ PHP2Shell ਦਾ ਨਾਮ ਦਿੱਤਾ ਗਿਆ। ਜਦੋਂ ਕੋਈ ਬੇਨਤੀ ਅਸਧਾਰਨ ਤੌਰ 'ਤੇ ਖਤਮ ਹੁੰਦੀ ਹੈ ਤਾਂ ਦੋਵੇਂ ਖਰਾਬ ਮੈਮੋਰੀ ਸਥਿਤੀ ਤੋਂ ਪੈਦਾ ਹੁੰਦੇ ਹਨ, ਅਤੇ ਰਿਮੋਟ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਨੂੰ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਅਣ-ਪ੍ਰਮਾਣਿਤ ਹਮਲਾਵਰਾਂ ਦੁਆਰਾ ਦੋਵਾਂ ਦਾ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ।
ਵੈੱਬ ਬੇਨਤੀਆਂ ਦੀ ਸੇਵਾ ਕਰਨ ਵਾਲੀ ਹਰ PHP ਸਥਾਪਨਾ ਪ੍ਰਭਾਵਿਤ ਹੁੰਦੀ ਹੈ, ਜਿਸ ਵਿੱਚ PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ਅਤੇ LiteSpeed ਸ਼ਾਮਲ ਹਨ। ਟੀਮ ਦਾ ਕਹਿਣਾ ਹੈ ਕਿ mod_php ਲਈ ਜੋਖਮ ਸਭ ਤੋਂ ਵੱਧ ਹੈ, ਜਿੱਥੇ ਕੋਈ ਵੀ ਐਪਲੀਕੇਸ਼ਨ ਕੋਡ ਚੱਲਣ ਤੋਂ ਪਹਿਲਾਂ ਇੱਕ ਪ੍ਰਦਰਸ਼ਿਤ ਸ਼ੋਸ਼ਣ ਸ਼ੁਰੂ ਹੋ ਜਾਂਦਾ ਹੈ। ਇੱਕ ਨੁਕਸ ਇੱਕ ਹਮਲਾਵਰ ਨੂੰ ਹੋਰ ਬੇਨਤੀਆਂ ਦੇ ਪਾਸਵਰਡ, ਟੋਕਨ ਅਤੇ API ਕੁੰਜੀਆਂ ਰੱਖਣ ਵਾਲੀ ਵਰਕਰ ਮੈਮੋਰੀ ਨੂੰ ਪੜ੍ਹਨ ਦੀ ਆਗਿਆ ਵੀ ਦੇ ਸਕਦਾ ਹੈ।
ਵਿਜ਼, ਕੈਲੀਫ, ਓਪਨਏਆਈ (ਇਸ ਦੇ ਪੈਚ ਦ ਪਲੈਨੇਟ ਪ੍ਰੋਗਰਾਮ ਵਿੱਚ ਇੱਕ ਭਾਈਵਾਲ) ਅਤੇ ਕੁਆਰਕਸਲੈਬ ਦੇ ਖੋਜਕਰਤਾਵਾਂ ਦੁਆਰਾ ਇਹ ਖਾਮੀਆਂ ਪਾਈਆਂ ਗਈਆਂ ਸਨ। ਯੋਜਨਾਬੱਧ ਤਾਲਮੇਲ ਵਾਲੇ ਖੁਲਾਸੇ ਤੋਂ ਪਹਿਲਾਂ 20 ਅਕਤੂਬਰ ਨੂੰ ਤਕਨੀਕੀ ਵੇਰਵੇ ਲੀਕ ਹੋ ਗਏ, ਜਿਸ ਨਾਲ PHP ਨੂੰ ਇੱਕ ਦਿਨ ਪਹਿਲਾਂ ਜਾਰੀ ਕਰਨ ਲਈ ਕਿਹਾ ਗਿਆ। ਕਲਾਉਡਫਲੇਅਰ ਨੇ ਕਿਹਾ ਕਿ ਉਸਨੇ 21 ਅਕਤੂਬਰ ਨੂੰ ਪੈਚ ਭੇਜਣ ਅਤੇ WAF ਨਿਯਮਾਂ ਨੂੰ ਸਰਗਰਮ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਆਪਣੇ ਗਾਹਕਾਂ ਦੇ ਵਿਰੁੱਧ ਹਮਲੇ ਦੇ ਟ੍ਰੈਫਿਕ ਨੂੰ ਦੇਖਿਆ। ਕਈ ਡੱਚ ਅਤੇ ਜਾਪਾਨੀ ਸਾਈਟਾਂ (ਡੱਚ ਡਿਜੀਡੀ ਸੇਵਾ ਅਤੇ ਪ੍ਰਤੀਨਿਧੀ ਸਭਾ ਦੀ ਵੈੱਬਸਾਈਟ ਸਮੇਤ) ਸਾਵਧਾਨੀ ਵਜੋਂ ਔਫਲਾਈਨ ਹੋ ਗਈਆਂ।
ਪ੍ਰਸ਼ਾਸਕਾਂ ਨੂੰ PHP 8.5.12, 8.4.27, 8.3.36 ਜਾਂ 8.2.35 ਨੂੰ ਤੁਰੰਤ ਅੱਪਡੇਟ ਕਰਨ ਲਈ ਕਿਹਾ ਜਾਂਦਾ ਹੈ; PHP 7 ਅਤੇ ਪਹਿਲਾਂ ਹੁਣ ਅਧਿਕਾਰਤ ਅੱਪਡੇਟ ਪ੍ਰਾਪਤ ਨਹੀਂ ਕਰਦੇ।
💬 Comments
No comments yet. Be the first!