AnswersPublished25 sources
PHP2Shell: bagaimana kebocoran awal mencetuskan perlumbaan menampal sistem
PHP mengeluarkan tampalan kecemasan pada 21 Oktober 2026 untuk CVE 2026 109618 dan CVE 2026 109619, dua kelemahan yang boleh membolehkan pelaksanaan kod dari jauh tanpa log masuk. Kedua dua pepijat diberi skor CVSS v4.0 sebanyak 9.2.
Diterbitkan olehDisunting dengan GPT-6 LunaImej dijana dengan GPT Image 2
Research answer
Key takeaways
- PHP mengeluarkan tampalan kecemasan pada 21 Oktober 2026 untuk CVE 2026 109618 dan CVE 2026 109619, dua kelemahan yang boleh membolehkan pelaksanaan kod dari jauh tanpa log masuk.
- Kedua dua pepijat diberi skor CVSS v4.0 sebanyak 9.2. Calif menemui kelemahan dengan bantuan GPT 5.6 Sol, manakala Wiz turut membuat penemuan secara berasingan menggunakan beberapa alat AI.
- Lebih 22.6 juta instans yang terdedah kepada internet dikenal pasti sebagai berpotensi terjejas—angka pendedahan, bukan jumlah sistem yang disahkan diceroboh.
- Percubaan eksploitasi dilaporkan berlaku sebelum pendedahan awam, tetapi bukti yang ada tidak menunjukkan bahawa serangan itu berjaya menyebabkan pencerobohan besar besaran.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the October 2026 PHP2Shell security crisis, including the AI assisted discovery of CVE 2026 109618 and CVE 2026 109619. Article summary: PHP2Shell prompted emergency PHP security releases on October 21, 2026, after early disclosure disrupted the planned October 22 release; the two flaws could allow unauthenticated remote code execution.. Topic tags: general web, openai, prompt engineering, ai, code. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numb
PHP2Shell mencetuskan perlumbaan menampal sistem pada Oktober 2026. Dua kelemahan dalam teras PHP itu boleh membolehkan penyerang menjalankan kod dari jauh tanpa perlu log masuk. Butiran kelemahan diketahui umum pada 20 Oktober, lalu tampalan yang pada asalnya dijadualkan pada 22 Oktober dikeluarkan lebih awal, iaitu pada 21 Oktober. 6
13
18
Namun, angka sistem yang berpotensi terdedah tidak bermaksud semuanya telah diceroboh. Bukti yang tersedia menunjukkan keadaan kecemasan tampalan dan laporan percubaan eksploitasi, tetapi tidak mengesahkan serangan berjaya secara meluas.
Penemuan dibantu AI, risiko tetap serius
Calif menemui kelemahan itu pada Ogos melalui inisiatif OpenAI, Patch the Planet, dengan bantuan GPT-5.6 Sol. Wiz turut mengenal pasti kelemahan secara berasingan; laporan mengenai penyiasatannya menyebut penggunaan Wiz Atlas, Gemini 4 Argon dan GPT-5.6 Sol. Sumber yang ada tidak memperincikan dengan jelas alat mana digunakan untuk setiap langkah penemuan. 18
21
Kedua-dua pepijat tersebut dinamakan PHP2Shell:
- CVE-2026-109618 berkaitan kerosakan memori apabila PHP kehabisan memori.
- CVE-2026-109619 berkaitan keadaan global lama yang boleh kekal dan menjejaskan pemprosesan seterusnya.
Kedua-duanya boleh membawa kepada pelaksanaan kod dari jauh. Skor CVSS v4.0 masing-masing ialah 9.2, iaitu tahap kritikal yang menandakan risiko keselamatan tinggi. 7
10
15
Laporan menyatakan kelemahan itu melibatkan PHP 5.4 dan versi selepasnya, merangkumi julat versi yang panjang. Namun, bukti yang dirujuk di sini tidak cukup untuk menetapkan dengan pasti sejarah tepat selama kira-kira 14 tahun. 1
14
Tampalan dipercepat selepas pendedahan awal
PHP mengeluarkan versi yang membetulkan dua kelemahan itu pada 21 Oktober: 8.5.12, 8.4.27, 8.3.36 dan 8.2.35. Projek PHP menggesa pengguna yang menjalankan PHP untuk memproses permintaan web supaya mengemas kini sistem. 15
PHP 8.1 dan versi lebih lama sudah tidak menerima kemas kini keselamatan rutin daripada projek PHP. Sesetengah pengedar Linux atau penyedia sokongan jangka panjang mungkin menawarkan pembetulan yang disesuaikan, jadi pentadbir perlu menyemak saluran sokongan yang digunakan.
Kebocoran butiran pada 20 Oktober menyebabkan jadual tampalan yang dirancang untuk 22 Oktober dibawa ke hadapan. Forrester melaporkan tampalan diterbitkan pada 21 Oktober pada 14:00 UTC. 7
18
24
Amaran kerajaan dan skala pendedahan
NSA menggesa organisasi menyenaraikan perkhidmatan dan peralatan yang bergantung pada PHP serta mengutamakan pemasangan tampalan vendor. CISA turut menggesa tindakan segera, sementara Google, AWS dan Microsoft menerbitkan panduan untuk pelanggan. 3
17
18
PHP dianggarkan digunakan pada kira-kira 70% web. Palo Alto Networks pula melaporkan lebih 22.6 juta instans yang terdedah kepada internet berpotensi terjejas oleh PHP2Shell. Angka itu menggambarkan kemungkinan pendedahan, bukannya bukti bahawa semua instans tersebut mempunyai konfigurasi yang boleh dieksploitasi atau telah dikompromi. 23
Sebilangan laman web dilaporkan perlu dihentikan sementara ketika pengendali memasang kemas kini kecemasan. Namun, sumber yang tersedia tidak memperincikan laman yang terlibat atau kesan operasinya.
Percubaan serangan tidak sama dengan pencerobohan yang disahkan
Amazon Threat Intelligence dilaporkan mengesan percubaan eksploitasi pada 17 Oktober, empat hari sebelum pendedahan awam, melalui telemetri honeypot MadPot. Laporan lain turut menyebut percubaan selepas kelemahan didedahkan. Ini menunjukkan aktiviti mencuba mengeksploitasi kelemahan, tetapi dengan sendirinya tidak membuktikan serangan berjaya. 1
4
Pada 22 Oktober, Sansec mengemas kini penilaiannya dan menyatakan eksploitasi besar-besaran kurang berkemungkinan berbanding jangkaan awalnya. Oleh itu, laporan tentang percubaan, demonstrasi teknikal dan pencerobohan sistem sebenar perlu dibezakan. Bukti yang dirujuk tidak mengesahkan berlakunya kebocoran besar-besaran akibat PHP2Shell. 10
Satu lagi amaran PHP menyusul pada 23 Oktober
PHP kemudian memberi amaran tentang isu berasingan, CVE-2026-115560, yang boleh membawa kepada pelaksanaan kod dari jauh dalam keadaan konfigurasi sesi yang luar biasa. Sebagai langkah sementara sehingga keluaran pembaikan pepijat berkala seterusnya, PHP menyarankan pentadbir menetapkan session.upload_progress.enabled=0. Panduan PHP menyatakan ciri itu boleh kekal diaktifkan bagi aplikasi yang tidak menukar pengendali serialisasi semasa aplikasi berjalan. 19
Perkara yang masih belum dapat dipastikan
Bahan sumber yang tersedia tidak mengesahkan secara terperinci dakwaan tentang kegagalan struktur PHP Foundation, kekangan sumber yang dikaitkan dengannya, alat semakan versi PHP oleh OpenAI atau janji subsidi Daybreak bernilai AS$1 bilion. Ia juga tidak membolehkan kesimpulan kukuh dibuat tentang sama ada AI lebih menguntungkan pihak pertahanan atau penyerang.
Beberapa isu keselamatan lain turut dilaporkan sekitar tempoh yang sama, termasuk demonstrasi Node2Shell pada Node.js serta insiden berkaitan LiteLLM dan eMudhra. Itu ialah insiden berasingan; maklumat yang diberikan tidak menunjukkan bahawa semuanya berpunca daripada PHP2Shell.
Kesimpulan paling berguna untuk pentadbir ialah menyemak semua pemasangan PHP yang mengendalikan permintaan web dan memasang pembaikan yang sesuai. Angka pendedahan yang besar wajar diberi perhatian, tetapi tidak bermakna setiap sistem terdedah telah pun diceroboh. 17
18
23
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: bagaimana kebocoran awal mencetuskan perlumbaan menampal sistem"?
PHP mengeluarkan tampalan kecemasan pada 21 Oktober 2026 untuk CVE 2026 109618 dan CVE 2026 109619, dua kelemahan yang boleh membolehkan pelaksanaan kod dari jauh tanpa log masuk.
What are the key points to validate first?
PHP mengeluarkan tampalan kecemasan pada 21 Oktober 2026 untuk CVE 2026 109618 dan CVE 2026 109619, dua kelemahan yang boleh membolehkan pelaksanaan kod dari jauh tanpa log masuk. Kedua dua pepijat diberi skor CVSS v4.0 sebanyak 9.2. Calif menemui kelemahan dengan bantuan GPT 5.6 Sol, manakala Wiz turut membuat penemuan secara berasingan menggunakan beberapa alat AI.
What should I do next in practice?
Lebih 22.6 juta instans yang terdedah kepada internet dikenal pasti sebagai berpotensi terjejas—angka pendedahan, bukan jumlah sistem yang disahkan diceroboh.