AnswersPublished17 sources
PHP2Shell: Dua kelemahan kritikal PHP dan langkah yang perlu diambil
PHP2Shell ialah nama bagi dua kelemahan kritikal, CVE 2026 109618 dan CVE 2026 109619, yang boleh membolehkan penyerang menjalankan kod pada pelayan terjejas tanpa log masuk. PHP digunakan oleh banyak laman dan perkhidmatan dalam talian, termasuk yang dibina menggunakan WordPress, Drupal dan Joomla.
Diterbitkan olehDisunting dengan GPT-6 LunaImej dijana dengan GPT Image 2
Research answer
Key takeaways
- PHP2Shell ialah nama bagi dua kelemahan kritikal, CVE 2026 109618 dan CVE 2026 109619, yang boleh membolehkan penyerang menjalankan kod pada pelayan terjejas tanpa log masuk.
- PHP digunakan oleh banyak laman dan perkhidmatan dalam talian, termasuk yang dibina menggunakan WordPress, Drupal dan Joomla.
- Agensi Keselamatan Siber Singapura (CSA) menggesa tindakan segera pada 22 Oktober 2026, sehari selepas tampalan PHP dikeluarkan.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the two critical PHP2Shell vulnerabilities (CVE-2026-109618 and CVE-2026-109619), how can attackers exploit them without login cred. Article summary: PHP2Shell is the collective name for two critical PHP runtime vulnerabilities, CVE-2026-109618 and CVE-2026-109619, that can enable remote code execution without authentication. [7][8] PHP maintainers released emergency . Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
PHP2Shell ialah nama bagi dua kelemahan kritikal dalam persekitaran masa jalan PHP: CVE-2026-109618 dan CVE-2026-109619. Kedua-duanya boleh membuka ruang kepada pelaksanaan kod jauh tanpa pengesahan—penyerang mungkin dapat menjalankan kod pada pelayan terjejas tanpa perlu log masuk terlebih dahulu. Pembangun PHP mengeluarkan tampalan keselamatan pada 21 Oktober 2026, dan Pesuruhjaya Agensi Keselamatan Siber Singapura (CSA), Gwenda Fong, menggesa organisasi bertindak segera pada hari berikutnya. 5
6
Perkara utama
- Risiko ini melibatkan PHP itu sendiri: kelemahan tersebut bukan terhad kepada satu pembina laman atau sistem pengurusan kandungan.
5
24
- Kod boleh dijalankan tanpa kelayakan log masuk: jika serangan berjaya, penyerang berpotensi mengambil alih pelayan web, mengakses data atau mengganggu perkhidmatan.
- Sistem terdedah tidak semestinya sudah diceroboh: organisasi perlu memasang tampalan dan, secara berasingan, menyiasat sama ada sistem pernah diakses. Panduan CSA merangkumi cara mengenal pasti pemasangan PHP yang terdedah serta memantau kemungkinan percubaan eksploitasi.
Apa yang berlaku dalam dua kelemahan PHP2Shell?
Kedua-dua kelemahan berkaitan cara PHP mengendalikan memori dan keadaan permintaan. Huraian teknikal menyatakan CVE-2026-109618 melibatkan pengendalian keadaan kehabisan memori yang boleh menyebabkan keadaan permintaan menjadi tidak sah. CVE-2026-109619 pula melibatkan keadaan global milik sesuatu permintaan yang masih digunakan selepas memorinya dibebaskan. Kegagalan ini boleh membuka laluan kepada pelaksanaan kod jauh. 1
Secara praktikal, perkhidmatan PHP yang terdedah mungkin menerima permintaan berniat jahat tanpa memerlukan penyerang mempunyai akaun yang sah. Jika eksploitasi berjaya, kod berjalan dalam konteks perkhidmatan terjejas; kesannya bergantung pada tahap akses dan konfigurasi perkhidmatan itu. Laporan mengenai amaran di Singapura menyebut penyerang berpotensi mengambil alih pelayan web, mencuri data atau mengganggu perkhidmatan. 11
24
Mengapa organisasi digesa bertindak segera?
PHP menjadi asas kepada banyak laman web dan perkhidmatan dalam talian, termasuk laman yang dibina menggunakan WordPress, Drupal dan Joomla. Oleh itu, organisasi perlu menyemak versi persekitaran PHP yang digunakan—mengemas kini platform laman sahaja tidak semestinya menyelesaikan risiko pada PHP itu sendiri. 9
24
Masa juga penting: tampalan PHP dikeluarkan pada 21 Oktober, dan Fong menggesa tindakan segera pada 22 Oktober. CSA memberi amaran bahawa sesetengah organisasi, khususnya perniagaan kecil, mungkin tidak menyedari sistem mereka terjejas. Amaran tentang kemungkinan pendedahan ini bukan pengesahan bahawa setiap organisasi yang terdedah sudah diceroboh. 6
9
CSA turut menyatakan bahawa pihaknya bekerjasama dengan agensi kerajaan, pemilik Infrastruktur Maklumat Kritikal, syarikat besar dan rakan industri untuk mempercepat pemasangan tampalan. Bagi organisasi lebih kecil, CSA berusaha menyampaikan maklumat melalui persatuan perniagaan, penyedia perkhidmatan keselamatan siber dan rakan teknologi. 27
Langkah yang patut diambil oleh organisasi
- Kenal pasti semua pemasangan PHP. Senaraikan persekitaran PHP yang menjalankan laman web, aplikasi dan perkhidmatan dalam talian—termasuk sistem yang diuruskan oleh pembangun web atau penyedia pengehosan. Amaran CSA menyediakan panduan untuk mengenal pasti pemasangan PHP yang terdedah.
- Utamakan tampalan pada sistem yang boleh dicapai dari internet. Pasang kemas kini keselamatan yang sesuai dengan cabang PHP dan persekitaran pengehosan anda. Sahkan dengan vendor atau penyedia bahawa perkhidmatan PHP yang sedang berjalan telah dikemas kini, bukan sekadar perisian laman. Tampalan PHP dikeluarkan pada 21 Oktober.
6
- Periksa kemungkinan eksploitasi. Memasang tampalan mengurangkan pendedahan seterusnya, tetapi tidak membuktikan sama ada penyerang pernah mengakses sistem sebelum itu. Semak rekod keselamatan yang tersedia dan ikuti panduan CSA untuk memantau kemungkinan pencerobohan berkaitan.
- Minta bantuan jika status sistem tidak dapat dipastikan. Hubungi pasukan IT, pembangun laman atau penyedia pengehosan untuk mengesahkan versi PHP yang digunakan, status tampalan dan sama ada terdapat petunjuk pencerobohan. Perniagaan kecil yang bergantung pada penyedia luar mungkin memerlukan bantuan mereka untuk mengenal pasti sistem yang tidak diurus secara langsung.
27
- Rujuk panduan teknikal CSA. Amaran SingCERT bertajuk “Critical Vulnerabilities in PHP (PHP2Shell)” menyediakan panduan tambahan untuk pemilik laman web, penyedia perkhidmatan, pentadbir sistem dan pasukan keselamatan.
Keutamaan segera ialah mengenal pasti perkhidmatan PHP yang terdedah dan memasang pembaikan yang sesuai. Jika sistem pernah terdedah sebelum tampalan dipasang, semakan kemungkinan pencerobohan perlu dibuat secara berasingan—kemas kini perisian sahaja tidak menentukan sama ada sistem pernah diceroboh. 5
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: Dua kelemahan kritikal PHP dan langkah yang perlu diambil"?
PHP2Shell ialah nama bagi dua kelemahan kritikal, CVE 2026 109618 dan CVE 2026 109619, yang boleh membolehkan penyerang menjalankan kod pada pelayan terjejas tanpa log masuk.
What are the key points to validate first?
PHP2Shell ialah nama bagi dua kelemahan kritikal, CVE 2026 109618 dan CVE 2026 109619, yang boleh membolehkan penyerang menjalankan kod pada pelayan terjejas tanpa log masuk. PHP digunakan oleh banyak laman dan perkhidmatan dalam talian, termasuk yang dibina menggunakan WordPress, Drupal dan Joomla.
What should I do next in practice?
Agensi Keselamatan Siber Singapura (CSA) menggesa tindakan segera pada 22 Oktober 2026, sehari selepas tampalan PHP dikeluarkan.
Sources