AnswersPublished24 sources
PHP2Shell: Krisis yang Menyerlahkan Keperluan Membiayai Penyelenggaraan Keselamatan
PHP2Shell melibatkan dua kelemahan pelaksanaan kod dari jauh tanpa pengesahan, masing masing diberi skor keterukan 9.2. PHP dilaporkan digunakan oleh sehingga 70% laman web, tetapi sumber yang tersedia tidak mengesahkan dakwaan khusus bahawa lebih 33 juta sistem masih terdedah pada 23 Oktober.[11]
Diterbitkan olehDisunting dengan GPT-6 LunaImej dijana dengan GPT Image 2
Research answer
Key takeaways
- PHP2Shell melibatkan dua kelemahan pelaksanaan kod dari jauh tanpa pengesahan, masing masing diberi skor keterukan 9.2.
- PHP dilaporkan digunakan oleh sehingga 70% laman web, tetapi sumber yang tersedia tidak mengesahkan dakwaan khusus bahawa lebih 33 juta sistem masih terdedah pada 23 Oktober.[11]
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 2026 PHP2Shell crisis reveal about PHP security and open-source underfunding, including PHP’s use by an estimated 70%. Article summary: PHP2Shell illustrates a mismatch between the importance of widely deployed open-source software and the capacity to secure, review and update it: critical PHP flaws triggered emergency patching across a technology report. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, click
PHP2Shell menjadi amaran serius tentang keselamatan perisian yang digunakan secara meluas—serta usaha yang diperlukan untuk memastikannya selamat. Pada Oktober 2026, dua kelemahan kritikal dalam PHP mendorong pengeluaran pembaikan kecemasan bagi bahasa pengaturcaraan yang dilaporkan digunakan oleh sehingga 70% laman web.11 Insiden ini turut menghidupkan persoalan lebih besar: adakah projek sumber terbuka mempunyai kapasiti mencukupi untuk menyemak, membaiki dan menyelenggara perisian yang menjadi sandaran sebahagian besar web?
22
Apa yang berlaku dalam insiden PHP2Shell
Kelemahan CVE-2026-109618 dan CVE-2026-109619 boleh membolehkan penyerang melaksanakan kod dari jauh pada sistem PHP yang terjejas tanpa perlu log masuk. Kedua-duanya dilaporkan mendapat skor keterukan 9.2.9
17 Kelemahan ini terdapat dalam enjin PHP; penemuannya bukan bukti bahawa setiap aplikasi yang dibina menggunakan PHP tidak selamat.
PHP mengeluarkan pembaikan pada 21 Oktober 2026 melalui versi 8.5.12, 8.4.27, 8.3.36 dan 8.2.35.18
27 Menurut laporan penyelidikan Calif, kelemahan itu ditemukan oleh Calif, OpenAI dan Wiz.
15 Laporan media turut menyebut berlaku masalah dalam proses pendedahan terancang: penyelenggara PHP menuduh Chainguard mendedahkan maklumat sebelum tarikh yang dipersetujui, lalu projek PHP mengeluarkan tampalan lebih awal.
35
37
Penggunaan PHP yang meluas membantu menjelaskan mengapa tindak balas segera diperlukan. Laporan berita menganggarkan PHP digunakan oleh sehingga 70% laman web, tetapi angka itu merujuk kepada anggaran penggunaannya—bukan jumlah laman yang terdedah atau telah diceroboh.11 Sumber yang tersedia juga tidak mengesahkan dakwaan khusus bahawa EFF menganggarkan lebih 33 juta sistem masih terdedah pada 23 Oktober.
Cubaan serangan bukan bukti pencerobohan berjaya
Amazon dilaporkan mengesan cubaan mengeksploitasi kelemahan itu pada 17 Oktober, sebelum tampalan diumumkan kepada umum. Syarikat itu kemudian menyifatkan usaha mengeksploitasi kelemahan tersebut sebagai meluas.34 Laporan lain menyebut berjuta-juta cubaan.
6 Secara berasingan, beberapa organisasi dilaporkan menutup perkhidmatan buat sementara waktu sebagai langkah berjaga-jaga, termasuk perkhidmatan yang dikaitkan dengan Kementerian Kewangan Jepun dan Pelabuhan Rotterdam.
12
Namun, cubaan mengeksploitasi kelemahan tidak sama dengan pencerobohan yang disahkan. BBC melaporkan pada 22 Oktober bahawa tiada kejayaan eksploitasi dilaporkan setakat itu. Security Affairs pula menyatakan pada 23 Oktober bahawa kejayaan eksploitasi masih belum disahkan.9
31 Perbezaan ini mungkin berpunca daripada tempoh pemantauan atau takrif “eksploitasi” yang berlainan. Bukti yang dipetik menunjukkan wujudnya aktiviti serangan yang membimbangkan, tetapi tidak membuktikan bahawa berjuta-juta sistem telah berjaya diceroboh.
Pengajaran keselamatan sumber terbuka: penemuan perlu disusuli tindakan
PHP2Shell menunjukkan betapa pentingnya mencari kelemahan dalam perisian teras, termasuk projek yang sudah lama digunakan. Namun, penemuan hanyalah satu langkah. Pembaikan perlu disemak dan dikeluarkan, manakala pengendali sistem perlu mengenal pasti perisian yang terjejas dan memasang kemas kini. Sovereign Tech secara jelas menyifatkan insiden ini sebagai pendedahan kepada jurang pembiayaan dalam keselamatan sumber terbuka yang kritikal.22
Oleh itu, kapasiti keselamatan—bukan sekadar bilangan pepijat yang ditemukan—menjadi isu utama. Lebih banyak penemuan boleh menambah beban penyelenggara dan pasukan pertahanan, tetapi peningkatan laporan kelemahan semata-mata tidak membuktikan bahawa perisian semakin kurang selamat atau bahawa AI menjadi puncanya. Menemukan kelemahan tidak dengan sendirinya menyediakan tenaga manusia untuk mengesahkan hasil, menyelaraskan pendedahan atau mengeluarkan dan memasang pembaikan yang boleh dipercayai.
Kesimpulan yang wajar bukanlah bahawa PHP sememangnya tidak selamat. Sebaliknya, perisian yang digunakan di sebahagian besar web memerlukan semakan keselamatan dan penyelenggaraan berterusan—dan proses penemuan yang lebih pantas menjadikan kerja itu semakin mendesak.11
22
Langkah yang patut diambil oleh pengendali PHP
Bagi organisasi yang menggunakan PHP, langkah praktikal termasuk:
- Senaraikan sistem yang boleh dicapai dari internet. Kenal pasti perkhidmatan yang menggunakan PHP dan catat versi sebenar enjin yang sedang dijalankan.
- Pasang pembaikan yang sesuai. Gunakan keluaran yang sepadan dengan cabang PHP yang digunakan, atau ikuti panduan vendor yang disahkan jika PHP dibungkus atau diselenggara oleh vendor. PHP mengeluarkan versi yang telah dibaiki pada 21 Oktober.
18
27
- Sahkan perkhidmatan yang sedang berjalan. Pastikan proses dan perkhidmatan PHP telah menggunakan versi terkini. Panduan operasi yang diterbitkan turut menyarankan supaya proses pekerja PHP dimulakan semula selepas kemas kini.
32
- Gunakan istilah insiden dengan tepat. Bezakan antara sistem yang terjejas, cubaan serangan, pencerobohan yang disahkan dan dakwaan yang belum disahkan. Penutupan berjaga-jaga atau trafik serangan tidak membuktikan bahawa sesuatu sistem telah diceroboh.
Pengajaran berpanjangan daripada PHP2Shell ialah setiap peringkat rantaian keselamatan penting: penemuan, semakan, pendedahan terancang, pengeluaran tampalan dan pemasangannya. Membiayai kerja penyelenggaraan di sebalik proses ini ialah sebahagian daripada usaha melindungi infrastruktur sumber terbuka yang kritikal—bukan perbelanjaan sampingan.22
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: Krisis yang Menyerlahkan Keperluan Membiayai Penyelenggaraan Keselamatan"?
PHP2Shell melibatkan dua kelemahan pelaksanaan kod dari jauh tanpa pengesahan, masing masing diberi skor keterukan 9.2.
What are the key points to validate first?
PHP2Shell melibatkan dua kelemahan pelaksanaan kod dari jauh tanpa pengesahan, masing masing diberi skor keterukan 9.2. PHP dilaporkan digunakan oleh sehingga 70% laman web, tetapi sumber yang tersedia tidak mengesahkan dakwaan khusus bahawa lebih 33 juta sistem masih terdedah pada 23 Oktober.[11]