AnswersPublished22 sources
Dari tampalan kod ke pelayan: peranan Ondřej Surý dalam respons PHP2Shell
PHP mengeluarkan versi baharu pada 21 Oktober 2026 untuk membaiki dua kelemahan pelaksanaan kod jauh yang masing masing mendapat penarafan 9.2 di bawah CVSS v4.0. Ondřej Surý membantu menyediakan pakej PHP untuk Debian dan Ubuntu, termasuk versi lama, sekali gus memudahkan pentadbir memasang pembaikan.[17][28] Insid...
Diterbitkan olehDisunting dengan GPT-6 LunaImej dijana dengan GPT Image 2
Research answer
Key takeaways
- PHP mengeluarkan versi baharu pada 21 Oktober 2026 untuk membaiki dua kelemahan pelaksanaan kod jauh yang masing masing mendapat penarafan 9.2 di bawah CVSS v4.0.
- Ondřej Surý membantu menyediakan pakej PHP untuk Debian dan Ubuntu, termasuk versi lama, sekali gus memudahkan pentadbir memasang pembaikan.[17][28]
- Insiden ini memperlihatkan bahawa pembaikan kod sahaja belum memadai: penyelenggara dan pengedar juga perlu menyampaikan kemas kini dalam bentuk yang boleh digunakan.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How did Ondřej Surý—a volunteer who has maintained Debian and Ubuntu PHP packages mostly in his spare time for more than 20 years while work. Article summary: Surý’s contribution was to help turn emergency PHP security fixes into updates that website operators could actually install—a crucial step between fixing source code and protecting running servers.[7] His experience ill. Topic tags: general, general web, news, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts w
Pembaikan keselamatan hanya memberi perlindungan apabila pihak yang mengendalikan sistem dapat memasangnya. Dalam respons terhadap PHP2Shell, penyelenggara sukarelawan Ondřej Surý membantu merapatkan jurang itu dengan menyediakan pakej PHP untuk Debian dan Ubuntu, termasuk bagi keluaran PHP yang lebih lama.17
28 Kerjanya mengingatkan kita bahawa keselamatan perisian sumber terbuka bukan sekadar mencari kelemahan dan membaiki kod—kemas kini juga perlu sampai kepada pentadbir pelayan.
Apakah PHP2Shell?
PHP2Shell merujuk kepada dua kelemahan, CVE-2026-109618 dan CVE-2026-109619. Dalam notis awal, pasukan keselamatan PHP memberikan kedua-duanya penarafan 9.2 di bawah CVSS v4.0, iaitu sistem untuk menilai tahap keterukan kelemahan keselamatan.6
7 Jika dieksploitasi, kelemahan ini boleh membolehkan penyerang tanpa pengesahan menjalankan kod dari jauh pada pemasangan PHP yang menerima permintaan web.
3
8
Pada 21 Oktober 2026, projek PHP mengeluarkan versi yang telah dibaiki: 8.2.35, 8.3.36, 8.4.27 dan 8.5.12.3 Itulah keluaran di peringkat projek asal. Namun, pengendali pelayan masih memerlukan kemas kini yang dibina dan diedarkan dalam format sesuai untuk sistem mereka.
Mengapa pakej yang sedia dipasang penting
Ramai pentadbir menggunakan pakej yang boleh dipasang terus, bukannya membina PHP sendiri daripada kod sumber. Menyediakan pakej sedemikian ialah kerja berasingan daripada menulis atau menggabungkan pembaikan asal. Surý telah menyumbang secara sukarela kepada penyelenggaraan pakej PHP untuk Debian dan Ubuntu selama lebih 20 tahun, kebanyakannya pada masa lapang.17
32
Menurut laporan, repositorinya menyediakan pakej yang telah dibaiki pada hari keluaran itu untuk versi PHP dari 5.6 hingga 8.5.28 Pakej bagi versi lama juga penting: PHP 8.1 dan versi terdahulu tidak lagi menerima kemas kini biasa daripada projek PHP. Walau bagaimanapun, projek itu menerbitkan tampalan kod sumber untuk versi 7.4, 8.0 dan 8.1, manakala penyedia lain turut menawarkan pembaikan.
2
33
Bezanya mudah: tampalan kod sumber membantu mereka yang mampu menggunakannya dan membina perisian sendiri. Pakej yang telah disediakan pula memberi pentadbir jalan yang lebih terus untuk memasang pembaikan. Kerja Surý membantu menyediakan pilihan itu kepada pengguna Debian dan Ubuntu, termasuk mereka yang masih menjalankan versi PHP lama.24
28 Laporan yang tersedia mengesahkan pakej disediakan, tetapi tidak menyatakan berapa banyak pelayan memasangnya atau seberapa pantas pemasangan itu dilakukan.
Jadual keluaran dan pertikaian embargo
Pasukan keselamatan PHP telah menjadualkan keluaran pada 21 Oktober dan menyatakan ia boleh dikeluarkan lebih awal sekiranya butiran kelemahan tersebar atau terdapat bukti eksploitasi aktif.7 Proses keluaran itu turut mencetuskan pertikaian. PHP Foundation mendakwa Chainguard menerbitkan imej kontena yang telah ditampal lebih enam jam sebelum keluaran terancang, lalu melanggar embargo yang dipersetujui.
34 Laporan berasingan menyatakan ketua pegawai eksekutif Chainguard berkata keputusan itu dibuat kerana eksploit sudah mula muncul.
36 Kedua-dua laporan ini merekodkan pendirian yang berbeza; maklumat yang ada tidak menyelesaikan pertikaian tersebut secara bebas.
Pengajaran lebih luas tentang keselamatan sumber terbuka
Respons terhadap PHP2Shell melibatkan beberapa peranan yang saling berkait: penyelidikan kelemahan, pembaikan oleh projek asal, penyediaan pakej oleh pengedar dan pemasangan kemas kini oleh pentadbir. Kerja sukarela Surý yang berpanjangan menjadikan peranan penyediaan pakej itu lebih ketara. Namun, pengajaran yang lebih luas ialah pembaikan perlu melalui penyelenggara dan pengedaran sebelum dapat melindungi sistem yang menggunakannya.17
24
Justeru, lapisan penyelenggaraan juga sebahagian daripada keselamatan. Kemas kini yang boleh diharap bergantung pada individu dan projek yang memastikan pakej terus dikemas kini—termasuk apabila projek asal sudah tidak menyokong versi lama.28
33
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Dari tampalan kod ke pelayan: peranan Ondřej Surý dalam respons PHP2Shell"?
PHP mengeluarkan versi baharu pada 21 Oktober 2026 untuk membaiki dua kelemahan pelaksanaan kod jauh yang masing masing mendapat penarafan 9.2 di bawah CVSS v4.0.
What are the key points to validate first?
PHP mengeluarkan versi baharu pada 21 Oktober 2026 untuk membaiki dua kelemahan pelaksanaan kod jauh yang masing masing mendapat penarafan 9.2 di bawah CVSS v4.0. Ondřej Surý membantu menyediakan pakej PHP untuk Debian dan Ubuntu, termasuk versi lama, sekali gus memudahkan pentadbir memasang pembaikan.[17][28]
What should I do next in practice?
Insiden ini memperlihatkan bahawa pembaikan kod sahaja belum memadai: penyelenggara dan pengedar juga perlu menyampaikan kemas kini dalam bentuk yang boleh digunakan.