AnswersPublished25 sources
PHP2Shell: Apa yang perlu diketahui tentang dua kelemahan kritikal PHP
PHP2Shell merangkumi dua kelemahan kritikal yang boleh membolehkan pelaksanaan kod jauh. Calif menggunakan GPT 5.6 Sol daripada OpenAI untuk mengenal pasti satu kelemahan, manakala Wiz menemui dan melaporkan kedua duanya secara berasingan melalui penyelidikan berbantukan AI.
Diterbitkan olehDisunting dengan GPT-6 LunaImej dijana dengan GPT Image 2
Research answer
Key takeaways
- PHP2Shell merangkumi dua kelemahan kritikal yang boleh membolehkan pelaksanaan kod jauh.
- Calif menggunakan GPT 5.6 Sol daripada OpenAI untuk mengenal pasti satu kelemahan, manakala Wiz menemui dan melaporkan kedua duanya secara berasingan melalui penyelidikan berbantukan AI.
- Cubaan mengesan atau mengeksploitasi kelemahan bukan bukti bahawa pelayan berjaya diceroboh; laporan yang dirujuk tidak mengesahkan kompromi yang berjaya.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 24, 2026 report on the AI-discovered PHP2Shell vulnerabilities reveal about CVE-2026-109618 and CVE-2026-109619, their. Article summary: The available evidence describes PHP2Shell as two critical PHP vulnerabilities enabling remote code execution, with CVSS 4.0 ratings of 9.2, discovered through AI-assisted security research and addressed with emergency p. Topic tags: general, general web, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers
PHP2Shell ialah nama bagi dua kelemahan kritikal dalam PHP, iaitu CVE-2026-109618 dan CVE-2026-109619. Kedua-duanya mendapat skor 9.2 daripada 10 di bawah CVSS 4.0 dan boleh membolehkan pelaksanaan kod jauh. Ini bermakna pelayan PHP berpotensi diserang tanpa penyerang perlu log masuk. PHP mengeluarkan tampalan kecemasan pada 21 Oktober 2026. 8
9
10
Peristiwa ini turut menonjolkan peranan AI dalam penyelidikan keselamatan. Calif menggunakan GPT-5.6 Sol daripada OpenAI untuk mengenal pasti satu kelemahan, manakala Wiz menemui dan melaporkan kedua-dua kelemahan itu secara berasingan. Namun, laporan tentang pengimbasan atau cubaan mengeksploitasi bukan bukti bahawa pelayan telah berjaya diceroboh. 20
29
34
Apa yang boleh dilakukan oleh kelemahan PHP2Shell?
Kelemahan ini terdapat dalam PHP itu sendiri—bahasa pengaturcaraan yang digunakan di belakang tabir untuk menjalankan banyak laman web—bukannya dalam satu platform laman web atau pemalam tertentu. CVE-2026-109618 berkait dengan cara PHP mengendalikan keadaan kehabisan memori ketika data permintaan belum selesai dimulakan. CVE-2026-109619 pula melibatkan keadaan dalaman lama yang kekal selepas memori yang menyimpannya telah dibebaskan. Kedua-dua isu boleh membawa kepada pelaksanaan kod jauh. 10
26
Skor 9.2 bagi setiap kelemahan di bawah CVSS 4.0 menandakan tahap kritikal. Risiko utamanya ialah penyerang mungkin dapat menjalankan kod pada pelayan terjejas dari jauh, tanpa pengesahan atau log masuk. 9
10
Bagaimana penyelidikan berbantukan AI membantu
Calif menemui satu kelemahan kritikal dengan bantuan GPT-5.6 Sol daripada OpenAI sebagai sebahagian daripada inisiatif Patch the Planet. Wiz pula menemui dan melaporkan kedua-dua kelemahan secara berasingan; laporan menyatakan penyelidikannya menggunakan Wiz Atlas bersama Gemini 4 Argon dan GPT-5.6 Sol. 20
29
Laporan yang tersedia memberikan tarikh awal yang berbeza: satu menyatakan Calif menemui kelemahan itu pada 1 Ogos, manakala satu lagi menyebut penyelidik melaporkan kelemahan pertama kepada pasukan PHP pada 11 Ogos. Kedua-duanya menggambarkan proses penemuan dan penyelarasan dengan penyelenggara sebelum pendedahan pada Oktober. 20
30
Perbezaan ini penting: AI membantu penyelidik mengenal pasti kelemahan, tetapi laporan yang dirujuk tidak membuktikan bahawa AI ejenik melaksanakan serangan selepas itu.
Tampalan kecemasan dan gangguan perkhidmatan
PHP mengeluarkan pembaikan pada 21 Oktober untuk versi 8.2.35, 8.3.36, 8.4.27 dan 8.5.12. Nombor ini merujuk kepada keluaran PHP rasmi. Pengedaran Linux mungkin memasukkan pembaikan ke dalam pakej mereka sendiri sambil mengekalkan nombor versi yang berbeza. Oleh itu, pentadbir patut menyemak nasihat keselamatan pengedaran masing-masing, bukan bergantung pada nombor versi semata-mata. 8
27
Pendedahan kelemahan ini mendorong sesetengah pengendali laman web menutup sistem buat sementara waktu ketika menilai risiko. Laporan menyebut laman web kerajaan di Eropah dan tempat lain tidak dapat diakses pada 21 Oktober. 21 Satu laporan lain menyatakan butiran kelemahan yang bocor menyebabkan PHP memajukan jadual keluaran yang dirancang sehari lebih awal.
22
33
Bagi organisasi yang menggunakan PHP, keutamaan praktikalnya ialah memastikan sistem PHP yang mengendalikan trafik web sudah menerima pembaikan daripada pembekal, kemudian memasang kemas kini yang sesuai dan mengikuti arahan khusus tentang mula semula atau pengesahan. Jika pelayan diuruskan oleh penyedia pengehosan, minta pengesahan bahawa tampalan telah dipasang—jangan hanya bergantung pada paparan laman web yang kelihatan normal. 8
24
Cubaan serangan bukan bukti pencerobohan berjaya
Cloudflare dan Patchstack dilaporkan mengesan aktiviti menguji kelemahan sebelum tampalan PHP dikeluarkan pada 21 Oktober. Laporan keselamatan yang diterbitkan kemudian menyebut berjuta-juta cubaan serangan, manakala BBC melaporkan pada 22 Oktober bahawa belum ada eksploitasi berjaya yang diketahui. Maklumat ini wajar diberi perhatian, tetapi tidak membuktikan bahawa cubaan tersebut mengakibatkan pencerobohan yang disahkan. 2
3
34
Kesimpulan yang lebih tepat ialah PHP2Shell merupakan isu serius yang segera menarik perhatian penyerang dan memerlukan tampalan segera. Namun, angka cubaan serangan tidak sepatutnya dilaporkan sebagai jumlah pencerobohan yang berjaya. Laporan yang dirujuk tidak memberikan anggaran yang boleh dipercayai tentang jumlah laman web terdedah, dan tidak mengesahkan serangan yang dilakukan oleh AI ejenik.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: Apa yang perlu diketahui tentang dua kelemahan kritikal PHP"?
PHP2Shell merangkumi dua kelemahan kritikal yang boleh membolehkan pelaksanaan kod jauh.
What are the key points to validate first?
PHP2Shell merangkumi dua kelemahan kritikal yang boleh membolehkan pelaksanaan kod jauh. Calif menggunakan GPT 5.6 Sol daripada OpenAI untuk mengenal pasti satu kelemahan, manakala Wiz menemui dan melaporkan kedua duanya secara berasingan melalui penyelidikan berbantukan AI.
What should I do next in practice?
Cubaan mengesan atau mengeksploitasi kelemahan bukan bukti bahawa pelayan berjaya diceroboh; laporan yang dirujuk tidak mengesahkan kompromi yang berjaya.
Sources
wppoland.comPHP2Shell: is my WordPress site at risk and what to do - WPPoland
expresscomputer.inPHP2Shell: Security vendors race to contain a critical vulnerability as exploitation attempts spread
nivector.comPHP2Shell: the two critical PHP flaws that pushed governments offline
internazionale.itGovernment websites go dark after AI-discovered flaw ...