AnswersPublished22 sources
PHP2Shell: Risiko, versi PHP yang perlu dikemas kini dan bukti cubaan serangan
PHP2Shell ialah nama bagi dua kelemahan PHP, CVE 2026 109618 dan CVE 2026 109619. Pengecam CVE tersebar sebelum tarikh pendedahan yang dirancang, lalu PHP mengeluarkan tampalan lebih awal, pada 21 Oktober 2026.
Diterbitkan olehDisunting dengan GPT-6 LunaImej dijana dengan GPT Image 2
Research answer
Key takeaways
- PHP2Shell ialah nama bagi dua kelemahan PHP, CVE 2026 109618 dan CVE 2026 109619.
- Pengecam CVE tersebar sebelum tarikh pendedahan yang dirancang, lalu PHP mengeluarkan tampalan lebih awal, pada 21 Oktober 2026.
- Laporan cubaan eksploitasi menunjukkan ancaman ini perlu ditangani segera, tetapi bilangan cubaan bukan bukti bahawa semua serangan berjaya.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 22, 2026 report reveal about the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, including their 9.2 se. Article summary: The October 22 coverage describes PHP2Shell as an urgent patching crisis: CVE-2026-109618 and CVE-2026-109619 were rated 9.2 and could allow remote attackers to execute code without authentication, prompting emergency up. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell ialah nama bagi dua kelemahan kritikal dalam PHP: CVE-2026-109618 dan CVE-2026-109619. Kedua-duanya mendapat penarafan 9.2 pada CVSS v4.0 dan berpotensi membolehkan penyerang tanpa pengesahan menjalankan kod dari jauh pada pelayan yang terjejas. PHP mengeluarkan pembaikan pada 21 Oktober 2026 selepas maklumat tentang kelemahan itu tersebar lebih awal daripada tarikh pendedahan yang dirancang. Laporan cubaan serangan muncul tidak lama kemudian, tetapi cubaan tidak semestinya bermakna pencerobohan berjaya. 1
3
14
Apa yang dilakukan oleh dua kelemahan PHP2Shell ini?
Kelemahan ini berkaitan cara PHP mengendalikan permintaan dan mengurus memori, bukannya masalah pada sesuatu rangka kerja laman web tertentu. CVE-2026-109618 melibatkan pengendalian keadaan kehabisan memori, manakala CVE-2026-109619 berkaitan keadaan dalaman yang sudah lapuk. Risiko yang dilaporkan ialah pelaksanaan kod dari jauh tanpa pengesahan. 1
14
Maka, versi PHP yang digunakan tetap penting walaupun tiada kelemahan diketahui dalam kod aplikasi sesebuah laman. Panduan operasi PHP menyatakan pemasangan yang mengendalikan permintaan web juga perlu diberi perhatian. 55
Versi PHP yang telah dibaiki
PHP menerbitkan versi yang telah dibaiki pada 21 Oktober 2026. Versi yang disenaraikan ialah:
Sistem yang menggunakan versi lebih lama dalam cabang-cabang tersebut perlu dikemas kini kepada keluaran yang sepadan dan telah dibaiki. Laporan turut menyatakan bahawa maklumat kelemahan tersebar sebelum pendedahan yang dirancang, lalu keluaran tampalan dipercepatkan. 3
13
33
Bagaimana maklumat kelemahan ini tersebar?
Pada 20 Oktober, satu hantaran di Hacker News menyebut kedua-dua pengecam CVE dan menyatakan bahawa maklumat lanjut dijadualkan didedahkan pada 22 Oktober. Hantaran itu kemudian dipadam, tetapi tangkap layar telah tersebar. Penyelidik keselamatan selepas itu melaporkan bahawa maklumat tersebut benar dan kelemahan berkenaan masih di bawah embargo. 3
Laporan mengaitkan penemuan satu kelemahan dengan Calif, yang mendapat bantuan daripada model OpenAI. Wiz juga dilaporkan menemui dan melaporkan kelemahan itu secara bebas dalam proses penyelarasan. Namun, laporan yang tersedia tidak membuktikan bahawa pepijat ini telah wujud selama kira-kira 20 tahun, atau memberikan butiran yang cukup untuk menentukan pasukan mana menemui setiap CVE. 27
33
Penutupan sementara dan panduan keselamatan
Sebagai langkah berjaga-jaga, beberapa organisasi menutup perkhidmatan sementara mereka menangani risiko tersebut. Laporan menyebut perkhidmatan yang dikaitkan dengan Kementerian Kewangan Jepun, BambooHR, Pelabuhan Rotterdam dan Wikimedia. Penutupan itu sahaja bukan bukti bahawa organisasi berkenaan telah diceroboh. 19
CISA menggesa organisasi yang mengendalikan laman web berasaskan PHP supaya memasang tampalan dengan segera. 33 Laporan yang diberikan tidak mengesahkan jumlah penuh penutupan sementara atau semua dakwaan mengenai hospital, sekolah dan perkhidmatan kerajaan yang terjejas.
Apa yang ditunjukkan oleh laporan cubaan eksploitasi?
Laporan menggambarkan aktiviti sebelum dan selepas pendedahan umum:
- Amazon berkata sistem honeypot MadPot mereka mengesan cubaan eksploitasi pada 17 Oktober, sebelum tampalan dikeluarkan pada 21 Oktober. Pemerhatian honeypot membuktikan cubaan terhadap sensor tersebut, bukan pencerobohan yang berjaya di tempat lain.
50
58
- Cloudflare melaporkan ribuan cubaan dalam tempoh 10 jam sebelum pengumuman umum dan berjuta-juta lagi selepas itu. Angka tersebut merujuk kepada cubaan yang diperhatikan pada rangkaian mereka, bukannya jumlah pelayan yang berjaya diceroboh.
36
- CISA menyatakan bahawa pihaknya belum melihat eksploitasi ketika amaran itu dikeluarkan. Kenyataan itu merujuk kepada pemerhatian pada waktu tersebut dan tidak menafikan cubaan yang dikesan penyedia keselamatan lain melalui sumber data berbeza.
- Sophos membetulkan laporan terdahulu tentang eksploitasi yang berjaya dalam persekitaran pelanggan. Menurut kemas kini itu, telemetri mereka menunjukkan aktiviti imbasan dan beberapa cubaan eksploitasi yang gagal, tanpa bukti pencerobohan berjaya dalam persekitaran mereka setakat kemas kini berkenaan.
7
Secara keseluruhan, laporan ini menunjukkan PHP2Shell perlu ditangani segera: cubaan serangan telah dikesan dan kesannya berpotensi serius. Namun, laporan tersebut tidak membuktikan bahawa setiap cubaan berjaya atau memberikan jumlah keseluruhan sistem yang telah diceroboh.
Perkara yang belum dapat dipastikan
Laporan yang diberikan tidak menyediakan anggaran yang boleh dipercayai tentang jumlah pelayan terdedah di internet, tidak mengesahkan bahawa kelemahan ini telah wujud selama kira-kira 20 tahun, dan tidak membuktikan bahawa penyerang menggunakan AI untuk membangunkan eksploit PHP2Shell. Bantuan AI dilaporkan dalam proses penemuan, tetapi itu berbeza daripada bukti tentang cara penyerang menemui atau menggunakan kelemahan tersebut. 27
33
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: Risiko, versi PHP yang perlu dikemas kini dan bukti cubaan serangan"?
PHP2Shell ialah nama bagi dua kelemahan PHP, CVE 2026 109618 dan CVE 2026 109619.
What are the key points to validate first?
PHP2Shell ialah nama bagi dua kelemahan PHP, CVE 2026 109618 dan CVE 2026 109619. Pengecam CVE tersebar sebelum tarikh pendedahan yang dirancang, lalu PHP mengeluarkan tampalan lebih awal, pada 21 Oktober 2026.
What should I do next in practice?
Laporan cubaan eksploitasi menunjukkan ancaman ini perlu ditangani segera, tetapi bilangan cubaan bukan bukti bahawa semua serangan berjaya.