ಅದರ ಭದ್ರತಾ ತಂಡವು CVSS v4.0 ಸ್ಕೇಲ್‌ನಲ್ಲಿ 9.2 ರೇಟ್ ಮಾಡಿದೆ ಆದರೆ ವಿವರಿಸದ ಎರಡು ನಿರ್ಣಾಯಕ ದೋಷಗಳಿಗಾಗಿ PHP ಇಂದು ಅಕ್ಟೋಬರ್ 21 ರಂದು 14:00 UTC ಯಲ್ಲಿ ಔಟ್-ಆಫ್-ಸೈಕಲ್ ಭದ್ರತಾ ಬಿಡುಗಡೆಯನ್ನು ರವಾನಿಸುತ್ತದೆ.
ವಾಚ್‌ಟೌರ್‌ನ ಭದ್ರತಾ ಸಂಶೋಧಕರು ಎರಡು ನ್ಯೂನತೆಗಳು ರಿಮೋಟ್ ಕೋಡ್ ಎಕ್ಸಿಕ್ಯೂಶನ್ ಅನ್ನು ಅನುಮತಿಸುತ್ತವೆ ಎಂದು ಹೇಳುತ್ತಾರೆ. ಕೇವಲ ನಾಲ್ಕು ಬೆಂಬಲಿತ PHP ಶಾಖೆಗಳು, 8.2 ರಿಂದ 8.5, ಪರಿಹಾರವನ್ನು ಸ್ವೀಕರಿಸಬಹುದು ಮತ್ತು ಇಲ್ಲಿಯವರೆಗೆ ಯಾವುದೇ ಶೋಷಣೆ ವರದಿಯಾಗಿಲ್ಲ.
ಮುಂಗಡ ಸೂಚನೆ ಸೋರಿಕೆಯನ್ನು ಅನುಸರಿಸಿತು. ಅಕ್ಟೋಬರ್ 20 ರಂದು, HN ನಲ್ಲಿನ ಪೋಸ್ಟ್ ಎರಡು PHP ರಿಮೋಟ್ ಕೋಡ್ ಎಕ್ಸಿಕ್ಯೂಶನ್ ನ್ಯೂನತೆಗಳು, CVSS 10.0 ರೇಟ್ ಮಾಡಲ್ಪಟ್ಟಿದೆ ಮತ್ತು PHP 5 ರಿಂದ PHP 5 ರಿಂದ ಪ್ರಭಾವ ಬೀರುವ ಆವೃತ್ತಿಗಳನ್ನು ಗುರುವಾರ, ಅಕ್ಟೋಬರ್ 22 ರಂದು ಬಹಿರಂಗಪಡಿಸಲಾಗುವುದು ಎಂದು ಹೇಳಿದರು. ಪೋಸ್ಟರ್ ಅವರು “ಮೂಲ: ನನ್ನನ್ನು ನಂಬಿರಿ, ಬ್ರೋ” ಅನ್ನು ಮೀರಿ ಯಾವುದೇ ಪುರಾವೆಗಳಿಲ್ಲ ಎಂದು ಹೇಳಿದರು.
ವಾಚ್‌ಟೌರ್ ನಂತರ ಎಕ್ಸ್‌ನಲ್ಲಿ ಸೋರಿಕೆಯಾದ ಮಾಹಿತಿಯು ನಿಜವಾಗಿದೆ, ಎರಡು ನ್ಯೂನತೆಗಳು ನಿರ್ಬಂಧದ ಅಡಿಯಲ್ಲಿವೆ, ಎಲ್ಲರೂ ಗುರುವಾರದವರೆಗೆ ಕಾಯಬೇಕಾಗಿತ್ತು ಮತ್ತು ಇದೀಗ ಹೆಚ್ಚಿನದನ್ನು ಹಂಚಿಕೊಳ್ಳಲು ಸಾಧ್ಯವಿಲ್ಲ ಎಂದು ಪೋಸ್ಟ್ ಮಾಡಿತು.
PHP ಆ ಸಂಜೆ, 19:33 UTC ಕ್ಕೆ ತನ್ನ ಸೂಚನೆಯನ್ನು ಪ್ರಕಟಿಸಿತು, ಬುಧವಾರದಂದು ಬಿಡುಗಡೆಯನ್ನು ನಿಗದಿಪಡಿಸಿತು, ವಾಚ್‌ಟೌರ್ ನೀಡಿದ ದಿನಾಂಕಕ್ಕಿಂತ ಒಂದು ದಿನ ಮೊದಲು. “ದೌರ್ಬಲ್ಯದ ವಿವರಗಳು ಸಾರ್ವಜನಿಕವಾಗಿದ್ದರೆ ಅಥವಾ ಕಾಡಿನಲ್ಲಿ ಸಕ್ರಿಯ ಶೋಷಣೆಯ ಪುರಾವೆಗಳು ಕಾಣಿಸಿಕೊಂಡರೆ” PHP ಮೊದಲೇ ಬಿಡುಗಡೆ ಮಾಡಬಹುದು ಎಂದು ಸೂಚನೆ ಹೇಳುತ್ತದೆ.
ಸೋರಿಕೆಯು ನ್ಯೂನತೆಗಳ ಅಸ್ತಿತ್ವ, ಸ್ಕೋರ್, ದಿನಾಂಕ ಮತ್ತು ಎರಡು CVE ಗುರುತಿಸುವಿಕೆಗಳನ್ನು ಹೊಂದಿದೆ, ದೋಷಗಳು ಹೇಗೆ ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತವೆ ಎಂಬುದನ್ನು ಅಲ್ಲ. CVSS 10.0 ಫಿಗರ್ ಸೋರಿಕೆಯಾಗಿದೆ. PHP ಯ ರೇಟಿಂಗ್ ಸ್ಕೇಲ್‌ನ ಆವೃತ್ತಿ 4.0 ನಲ್ಲಿ 9.2 ಆಗಿದೆ.
ಸಂಶೋಧಕರು ಬಳಸುತ್ತಿರುವ ಗುರುತಿಸುವಿಕೆಗಳು, CVE-2026-109618 ಮತ್ತು CVE-2026-109619ಸೋರಿಕೆಯಾದ ಪೋಸ್ಟ್‌ನಲ್ಲಿ ಸಹ ಪಟ್ಟಿ ಮಾಡಲಾಗಿದೆ. PHP ಯ ಸೂಚನೆಯ ಹೆಸರುಗಳೂ ಇಲ್ಲ. PHP 5 ರಿಂದ ಪ್ರತಿ ಆವೃತ್ತಿಯು ಪರಿಣಾಮ ಬೀರಿದೆ ಎಂಬ ಹೇಳಿಕೆಯು ದೃಢೀಕರಿಸಲ್ಪಟ್ಟಿಲ್ಲ: ನ್ಯೂನತೆಗಳ ಕುರಿತು watchTowr ನ ಸ್ವಂತ FAQ ವ್ಯಾಪ್ತಿ “ಅಧಿಕೃತ ಮಾರಾಟಗಾರರ ಸಲಹೆಯಿಂದ ದೃಢೀಕರಿಸಲ್ಪಟ್ಟಿಲ್ಲ” ಮತ್ತು ಯಾವುದೇ ಸಂರಚನೆ ಅಥವಾ ವೈಶಿಷ್ಟ್ಯದ ಅಗತ್ಯವನ್ನು ವಿವರಿಸಲಾಗಿಲ್ಲ ಎಂದು ಹೇಳುತ್ತದೆ.
PHP “ಸಂಪೂರ್ಣ ವಿವರಗಳು, ಪೀಡಿತ ಆವೃತ್ತಿಗಳು ಮತ್ತು ಸ್ಥಿರ ಆವೃತ್ತಿಗಳನ್ನು ಬಿಡುಗಡೆಯೊಂದಿಗೆ ಪ್ರಕಟಿಸಲಾಗುವುದು” ಎಂದು ಹೇಳುತ್ತದೆ. ಸಂಶೋಧಕರು ಈ ಜೋಡಿಯನ್ನು php2shell ಎಂದು ಕರೆಯಲು ಪ್ರಾರಂಭಿಸಿದ್ದಾರೆ. ಹೆಸರು ಅವರದು, PHP ಅಲ್ಲ.
ಬಾಧಿತ ಶ್ರೇಣಿಯು ಏನಾಗಿದ್ದರೂ, PHP ಸಮಸ್ಯೆಗಳನ್ನು ಅದರ ನಾಲ್ಕು ಬೆಂಬಲಿತ ಶಾಖೆಗಳಿಗೆ ಮಾತ್ರ ಸರಿಪಡಿಸುತ್ತದೆ ಮತ್ತು ಪ್ರತಿ ಶಾಖೆಯ ಬದಲಾವಣೆಗಳನ್ನು ಅದರ ಚೇಂಜ್ಲಾಗ್ನಲ್ಲಿ ದಾಖಲಿಸುತ್ತದೆ. 8.2 ಮತ್ತು 8.3 ಆವೃತ್ತಿಗಳು ಭದ್ರತಾ ಪರಿಹಾರಗಳನ್ನು ಮಾತ್ರ ಸ್ವೀಕರಿಸುತ್ತವೆ ಮತ್ತು 8.4 ಮತ್ತು 8.5 ಸಕ್ರಿಯ ಬೆಂಬಲದಲ್ಲಿವೆ.
8.1, 8.0, 7.x, ಮತ್ತು 5.x ಸೇರಿದಂತೆ ಯಾವುದಾದರೂ ಹಳೆಯದು ಜೀವನದ ಅಂತ್ಯವಾಗಿದೆ ಮತ್ತು ಯಾವುದೇ PHP ಪರಿಹಾರವನ್ನು ಪಡೆಯುವುದಿಲ್ಲ. ನ್ಯೂನತೆಗಳು ಆ ಶಾಖೆಗಳನ್ನು ತಲುಪಿದರೆ, ಅವುಗಳ ಮೇಲಿನ ಅನುಸ್ಥಾಪನೆಗಳು ಯಾವುದೇ ಮಾರಾಟಗಾರರ ಪ್ಯಾಚ್ ಅನ್ನು ಹೊಂದಿರುವುದಿಲ್ಲ.
|
ಶಾಖೆ |
ಪ್ರಸ್ತುತ ಬಿಡುಗಡೆ (ಸೆಪ್ಟೆಂಬರ್ 24) |
PHP ಬೆಂಬಲ ಸ್ಥಿತಿ |
|---|---|---|
|
8.5 |
8.5.11 |
ಡಿಸೆಂಬರ್ 31, 2027 ರವರೆಗೆ ಸಕ್ರಿಯ ಬೆಂಬಲ |
|
8.4 |
8.4.26 |
ಡಿಸೆಂಬರ್ 31, 2026 ರವರೆಗೆ ಸಕ್ರಿಯ ಬೆಂಬಲ |
|
8.3 |
8.3.35 |
ಭದ್ರತೆಯನ್ನು ಡಿಸೆಂಬರ್ 31, 2027 ರವರೆಗೆ ಮಾತ್ರ ಸರಿಪಡಿಸಲಾಗಿದೆ |
|
8.2 |
8.2.34 |
ಭದ್ರತೆಯನ್ನು ಡಿಸೆಂಬರ್ 31, 2026 ರವರೆಗೆ ಮಾತ್ರ ಸರಿಪಡಿಸಲಾಗಿದೆ |
ಭದ್ರತಾ ಕಂಪನಿ ಮಲ್ಲೊರಿ ಸುಮಾರು 884,000 ಇಂಟರ್ನೆಟ್ ಮುಖಾಮುಖಿ ಹೋಸ್ಟ್‌ಗಳನ್ನು ಎಣಿಸಿದೆ, ಅವರ HTTP ಬ್ಯಾನರ್ 8.1 ಅಥವಾ ಅದಕ್ಕಿಂತ ಹಳೆಯದಾದ PHP ಆವೃತ್ತಿಯನ್ನು ಶೋಡಾನ್ ಸರ್ಚ್ ಇಂಜಿನ್‌ಗೆ ಅಕ್ಟೋಬರ್ 20 ರಂದು ವರದಿ ಮಾಡಿದೆ, ಯಾವುದೇ ಆವೃತ್ತಿಯನ್ನು ವರದಿ ಮಾಡಿದ ಸರಿಸುಮಾರು 1.5 ಮಿಲಿಯನ್ ಹೋಸ್ಟ್‌ಗಳಲ್ಲಿ 59%. ಎಣಿಕೆಯು ಬ್ಯಾನರ್‌ಗಳನ್ನು ಒಳಗೊಳ್ಳುತ್ತದೆ, ದೃಢೀಕರಿಸದ ಪೀಡಿತ ವ್ಯವಸ್ಥೆಗಳು, ಮತ್ತು ಇನ್ನೂ 740,000 ಹೋಸ್ಟ್‌ಗಳು ಆವೃತ್ತಿಯಿಲ್ಲದೆ PHP ಅನ್ನು ವರದಿ ಮಾಡಿದೆ.
PHP ಯಾವುದೇ ಪರಿಹಾರವನ್ನು ಪ್ರಕಟಿಸಿಲ್ಲ. ಬಿಡುಗಡೆಯ ತನಕ, ಸಿದ್ಧತೆಯು ಆರು ಹಂತಗಳಿಗೆ ಇಳಿಯುತ್ತದೆ, ಅವುಗಳಲ್ಲಿ ಹೆಚ್ಚಿನವು ಹಂಟ್ರೆಸ್‌ನಿಂದ ಕ್ಷಿಪ್ರ-ಪ್ರತಿಕ್ರಿಯೆ ಪೋಸ್ಟ್‌ನಿಂದ ಪಡೆಯಲಾಗಿದೆ, ಜೊತೆಗೆ CERT-EU ನ ಪ್ರತ್ಯೇಕ ಸಲಹೆಯನ್ನು ಸೇರಿಸಲಾಗಿದೆ.
- ಮಾರಾಟಗಾರರ ಉಪಕರಣಗಳು, ವಿಂಡೋಸ್ ಸಾಫ್ಟ್‌ವೇರ್ ಮತ್ತು cPanel ಮತ್ತು Plesk ನಂತಹ ನಿಯಂತ್ರಣ ಫಲಕಗಳಲ್ಲಿ PHP ಕಟ್ಟುಗಳನ್ನು ಒಳಗೊಂಡಂತೆ ಪ್ರತಿ PHP ಇನ್‌ಸ್ಟಾಲ್ ಇನ್ವೆಂಟರಿ.
- 14:00 UTC ನಲ್ಲಿ ಅಪ್‌ಗ್ರೇಡ್ ಮಾಡಲು ಸಿದ್ಧರಾಗಿರಿ. ಮೊದಲು ಇಂಟರ್ನೆಟ್ ಫೇಸಿಂಗ್ ಸಿಸ್ಟಮ್‌ಗಳನ್ನು ಪ್ಯಾಚ್ ಮಾಡಿ ಮತ್ತು ಬ್ಯಾಕ್‌ಪೋರ್ಟ್ ಮಾಡಿದ ಪ್ಯಾಕೇಜ್‌ಗಳಿಗಾಗಿ ನಿಮ್ಮ ಲಿನಕ್ಸ್ ವಿತರಣೆ ಮತ್ತು ಹೋಸ್ಟಿಂಗ್ ಪೂರೈಕೆದಾರರನ್ನು ಪರಿಶೀಲಿಸಿ.
- ಜೀವನದ ಅಂತ್ಯದ ಶಾಖೆಯಲ್ಲಿ, ಅಪ್‌ಗ್ರೇಡ್ ಮಾಡಿ, ಸಿಸ್ಟಮ್ ಅನ್ನು ಇಂಟರ್ನೆಟ್‌ನಿಂದ ತೆಗೆದುಹಾಕಿ ಅಥವಾ VPN ಅಥವಾ ವೆಬ್ ಅಪ್ಲಿಕೇಶನ್ ಫೈರ್‌ವಾಲ್‌ನ ಹಿಂದೆ ಇರಿಸಿ.
- ಪ್ಯಾಚಿಂಗ್ ಅನ್ನು ಒಂದೇ ಬಾರಿಗೆ ಮಾಡಲಾಗದಿದ್ದಲ್ಲಿ, “ಫಿಕ್ಸ್ ಲಭ್ಯವಾಗುವವರೆಗೆ ಸಾರ್ವಜನಿಕ ನೆಟ್‌ವರ್ಕ್‌ಗಳಿಂದ ಇಂಟರ್ನೆಟ್ ಎದುರಿಸುತ್ತಿರುವ ಅಪ್ಲಿಕೇಶನ್‌ಗಳನ್ನು ಪ್ರತ್ಯೇಕಿಸುವುದನ್ನು ಪರಿಗಣಿಸಿ” ಎಂದು CERT-EU ಸಲಹೆ ನೀಡುತ್ತದೆ.
- PHP ಏನನ್ನು ಪ್ರಾರಂಭಿಸುತ್ತದೆ ಎಂಬುದನ್ನು ವೀಕ್ಷಿಸಿ. php-fpm, php-cgi, httpd, ಅಥವಾ apache2 ಲಾಂಚಿಂಗ್ ಶೆಲ್‌ಗಳು, ಇಂಟರ್ಪ್ರಿಟರ್‌ಗಳು ಅಥವಾ ಡೌನ್‌ಲೋಡ್ ಪರಿಕರಗಳ ಮೇಲೆ ಎಚ್ಚರಿಕೆ. ಎಂಡ್‌ಪಾಯಿಂಟ್ ಪತ್ತೆಯಿಲ್ಲದೆ ಲಿನಕ್ಸ್ ಸರ್ವರ್‌ಗಳಲ್ಲಿ, ಫ್ಲೋರಿಯನ್ ರಾತ್‌ನ ಪ್ರಕ್ರಿಯೆ-ವೀಕ್ಷಕವು ಪಿಎಚ್‌ಪಿ ಪ್ರಕ್ರಿಯೆಯು ಪ್ರಾರಂಭವಾಗುವ ಪ್ರತಿಯೊಂದು ಪ್ರೋಗ್ರಾಂ ಅನ್ನು ಅದರ ಆಜ್ಞಾ ಸಾಲಿನೊಂದಿಗೆ ಲಾಗ್ ಮಾಡುತ್ತದೆ. ಇದು ಪ್ರಾರಂಭವಾದ ನಂತರವೇ ಪ್ರೋಗ್ರಾಂ ಅನ್ನು ನೋಡುತ್ತದೆ ಮತ್ತು ರಾತ್ ಅವರ ಮಾತುಗಳಲ್ಲಿ, “ಏನೂ ತಡೆಯುವುದಿಲ್ಲ.”
- ನೀವು ಏನನ್ನಾದರೂ ಕಂಡುಕೊಂಡರೆ, ಸರ್ವರ್ ಅನ್ನು ಪ್ರತ್ಯೇಕಿಸಿ, ವೆಬ್ ಸರ್ವರ್ ಮತ್ತು PHP ಲಾಗ್‌ಗಳನ್ನು ಸಂರಕ್ಷಿಸಿ ಮತ್ತು ವೆಬ್ ಶೆಲ್‌ಗಳು, ವೆಬ್ ರೂಟ್‌ನಲ್ಲಿ ಹೊಸ ಫೈಲ್‌ಗಳು, ಹೊಸ ಕ್ರಾನ್ ಕೆಲಸಗಳು, ನಿಗದಿತ ಕಾರ್ಯಗಳು ಮತ್ತು ಖಾತೆಗಳನ್ನು ನೋಡಿ.
ಅಕ್ಟೋಬರ್ 20 ರ ಹೊತ್ತಿಗೆ ತನ್ನ ಪಾಲುದಾರ ಪರಿಸರದಲ್ಲಿ ನ್ಯೂನತೆಗಳ ಶೋಷಣೆಯನ್ನು ನೋಡಿಲ್ಲ, ಪರಿಕಲ್ಪನೆಯ ಪುರಾವೆಯನ್ನು ನಿರ್ಮಿಸಿಲ್ಲ ಅಥವಾ ಪುನರುತ್ಪಾದಿಸಿಲ್ಲ ಮತ್ತು ಸಾರ್ವಜನಿಕ ಶೋಷಣೆ ಕೋಡ್ ಬಗ್ಗೆ ತಿಳಿದಿರಲಿಲ್ಲ ಎಂದು ಹಂಟ್ರೆಸ್ ಹೇಳಿದರು. watchTowr’s FAQ ಪಟ್ಟಿಗಳು ಶೋಷಣೆಯನ್ನು ಅಕ್ಟೋಬರ್ 21 ರಂತೆ ಯಾವುದೂ ವರದಿ ಮಾಡಿಲ್ಲ ಮತ್ತು CISA ದ ತಿಳಿದಿರುವ ಶೋಷಿತ ದುರ್ಬಲತೆಗಳ ಕ್ಯಾಟಲಾಗ್‌ನಲ್ಲಿ ಇಲ್ಲದಿರುವ ನ್ಯೂನತೆಗಳನ್ನು ಪಟ್ಟಿಮಾಡುತ್ತದೆ.
ಹೋಲಿಕೆಗಾಗಿ, CVE-2024-4577, Windows ನಲ್ಲಿ CGI ಮೋಡ್‌ನಲ್ಲಿನ PHP ದೋಷವು ಜೂನ್ 2024 ರಲ್ಲಿ ಸಾರ್ವಜನಿಕವಾದಾಗ, Akamai ತನ್ನ ಹನಿಪಾಟ್ ಸರ್ವರ್‌ಗಳ ವಿರುದ್ಧ 24 ಗಂಟೆಗಳ ಒಳಗೆ ಶೋಷಣೆಯ ಪ್ರಯತ್ನಗಳನ್ನು ಕಂಡಿತು.
ಸೂಚನೆಯು ಏನನ್ನು ತಡೆಹಿಡಿಯಲಾಗಿದೆ ಎಂಬುದನ್ನು ಬಿಡುಗಡೆಯು ಸ್ಪಷ್ಟಪಡಿಸಬೇಕು: ಯಾವ ಆವೃತ್ತಿಗಳು ಪರಿಣಾಮ ಬೀರುತ್ತವೆ, PHP ಯ ಯಾವ ಭಾಗವು ತೊಡಗಿಸಿಕೊಂಡಿದೆ, ದಾಳಿಗೆ PHP, ಕಾನ್ಫಿಗರೇಶನ್ ಅಥವಾ ಲಾಗಿನ್ ಅನ್ನು ಚಲಾಯಿಸಲು ನಿರ್ದಿಷ್ಟ ಮಾರ್ಗ ಅಗತ್ಯವಿದೆಯೇ ಮತ್ತು PHP ಸ್ವತಃ ದೋಷಗಳನ್ನು ಹೇಗೆ ವಿವರಿಸುತ್ತದೆ. ಬರೆಯುವ ಸಮಯದಲ್ಲಿ, PHP ಪರಿಹಾರಗಳನ್ನು ಬಿಡುಗಡೆ ಮಾಡಿರಲಿಲ್ಲ.
