AnswersPublished28 sources
PHP2Shell: Apa yang Didedahkan oleh Penemuan AI tentang Pendedahan Terkoordinasi
PHP2Shell merangkumi dua kelemahan dalam PHP, masing masing diberi skor CVSS 9.2, yang ditampal pada 21 Oktober 2026. OpenAI melaporkan usaha kerjasama selama dua bulan: Calif menggunakan GPT 5.6 Sol untuk menemui satu kelemahan, manakala Wiz menemui dan melaporkan kedua duanya secara berasingan.
Diterbitkan olehDisunting dengan GPT-6 LunaImej dijana dengan GPT Image 2
Research answer
Key takeaways
- PHP2Shell merangkumi dua kelemahan dalam PHP, masing masing diberi skor CVSS 9.2, yang ditampal pada 21 Oktober 2026.
- OpenAI melaporkan usaha kerjasama selama dua bulan: Calif menggunakan GPT 5.6 Sol untuk menemui satu kelemahan, manakala Wiz menemui dan melaporkan kedua duanya secara berasingan.
- Amazon berkata sistem MadPot mengesan cubaan mengeksploitasi kelemahan itu pada 17 Oktober, sebelum pendedahan kepada umum.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the PHP2Shell case reveal about AI-assisted vulnerability discovery and coordinated disclosure, including OpenAI’s October 21 anno. Article summary: PHP2Shell illustrates that AI-assisted research can uncover serious flaws in widely deployed software, while protecting users still depends on human validation, coordinated fixes, and rapid deployment. OpenAI’s October 2. Topic tags: general, general web, user generated, education. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
PHP2Shell ialah nama bagi dua kelemahan serius dalam teras PHP yang didedahkan bersama-sama pembaikan kecemasan pada 21 Oktober 2026. Menurut OpenAI, peristiwa ini bukan sekadar kisah penemuan yang dibantu AI: ia turut melibatkan dua bulan penyelarasan antara penyelenggara, penyelidik dan penyedia keselamatan untuk menyediakan tampalan serta perlindungan sebelum pendedahan dibuat.18 Kes ini menonjolkan cabaran utama penyelidikan keselamatan berbantukan AI: menemui kelemahan hanyalah langkah pertama; penemuan itu perlu diterjemahkan menjadi pembaikan yang boleh dipercayai dan dipasang oleh pihak yang terjejas.
Apa yang ditemui—dan sumbangan AI
Kelemahan CVE-2026-109618 dan CVE-2026-109619 masing-masing menerima skor CVSS 9.2. Penyelidik menunjukkan pelaksanaan kod dari jauh tanpa pengesahan pada pemasangan WordPress, Drupal dan Joomla, selain kebocoran kandungan memori.3
4 Julat versi yang dilaporkan terjejas merangkumi PHP 5.4 hingga PHP 8.5.
1
Kedua-dua kelemahan berkaitan dengan pengendalian memori PHP. Satu melibatkan pengendalian keadaan memori tidak mencukupi; satu lagi berkaitan keadaan lama yang terbawa antara permintaan serta tingkah laku use-after-free, menurut laporan tentang kelemahan tersebut.3
9 Ringkasnya, masalah ini bukan sekadar pepijat dalam aplikasi laman web tertentu: ia berada dalam PHP sendiri, iaitu perisian asas yang digunakan untuk menjalankan banyak aplikasi.
3
4
OpenAI berkata Calif menemui kelemahan kritikal menggunakan GPT-5.6 Sol menerusi inisiatif Patch the Planet, manakala Wiz menemui dan melaporkan kedua-dua kelemahan itu secara berasingan.18 Laporan Wiz dan liputan sekunder turut menyenaraikan Wiz Atlas, Gemini 4 Argon dan GPT-5.6 Sol sebagai sebahagian daripada peralatan penyelidikan Wiz.
4
33 Namun, sumber yang tersedia tidak membezakan dengan jelas tugas khusus setiap model. Oleh itu, ia tidak mengesahkan model mana yang terlibat dalam ujian serangan atau pengesahan tampalan.
Satu garis masa sekunder yang memetik PHP Foundation menyenaraikan laporan kepada PHP daripada Calif pada 11 Ogos, Wiz pada 24 Ogos dan OpenAI pada 18 September.6 Tarikh ini merujuk kepada tarikh laporan yang dinyatakan, bukan semestinya tarikh setiap pasukan mula-mula menemui kelemahan berkenaan.
Mengapa pendedahan memerlukan kerjasama ramai pihak
OpenAI berkata usaha itu berlangsung selama dua bulan, dengan penyelenggara, penyelidik dan penyedia keselamatan bekerjasama menyediakan pembaikan serta perlindungan sebelum pendedahan dibuat.18 Penyelenggara PHP mengetuai kerja membaiki kod dan mengeluarkan versi baharu, sementara rakan penyelidikan dan keselamatan membantu dari segi penyelidikan, sokongan teknikal dan penyelarasan, menurut pengumuman tersebut.
18
Tampalan dikeluarkan pada 21 Oktober, sehari lebih awal daripada jadual asal pada 22 Oktober.14 Laporan media menyatakan jadual itu dipercepat selepas maklumat bocor dan imej kontena yang telah ditampal tersedia lebih awal. PHP Foundation menuduh Chainguard melanggar embargo. Tuduhan itu perlu difahami sebagai dakwaan pihak berkenaan, bukan dapatan yang telah diputuskan secara bebas berdasarkan laporan yang tersedia.
6
35
38
Peristiwa ini memperlihatkan pertimbangan sukar dalam pendedahan terkoordinasi. Merahsiakan butiran teknikal buat sementara waktu memberi masa kepada penyelenggara dan pengedar perisian untuk menyediakan kemas kini. Namun, kelewatan juga boleh membiarkan pengguna terdedah jika serangan sudah berlaku. Model tindak balas yang dicadangkan OpenAI digambarkan dalam laporan sebagai proses berperingkat: sahkan isu dan bangunkan pembaikan, beri masa kepada pengedar membuat persediaan, libatkan rakan kerajaan, kemudian luaskan pemberitahuan dan terbitkan panduan. Tempoh proses mungkin perlu dipendekkan jika eksploitasi atau kebocoran berlaku.37
41
Laporan eksploitasi dan batas bukti
Amazon berkata sistem MadPot mengesan cubaan mengeksploitasi PHP2Shell pada 17 Oktober—empat hari sebelum pendedahan kepada umum. Laporan turut menyebut cubaan eksploitasi yang lebih meluas selepas tampalan dikeluarkan.5 Namun, cubaan yang dikesan tidak sama dengan pengambilalihan pelayan yang disahkan berjaya. Laporan yang tersedia juga tidak menjelaskan bagaimana penyerang mendapat maklumat lebih awal atau memberikan jumlah pelayan terjejas yang telah disahkan.
Palo Alto Networks dilaporkan mengenal pasti lebih 22.6 juta contoh sistem yang boleh diakses melalui internet dan berkemungkinan terdedah kepada PHP2Shell.53 Angka “berkemungkinan terdedah” ialah anggaran pendedahan, bukannya jumlah sistem yang disahkan boleh dieksploitasi atau telah diceroboh.
Pihak berkuasa menggesa organisasi menangani kelemahan itu dengan segera. Satu laporan menyatakan agensi menasihatkan supaya sistem ditutup jika tidak dapat dilindungi dengan pantas.56 Cloudflare pula berkata perlindungan tembok api aplikasi web (WAF) telah dipasang sebelum pendedahan kepada umum untuk pelanggan yang menggunakan perkhidmatan WAF-nya.
12 Perlindungan ini melengkapi pemasangan tampalan, tetapi tidak menggantikan keperluan menyemak dan mengemas kini pemasangan PHP yang terjejas.
Versi PHP yang dilaporkan membaiki kelemahan ini ialah 8.2.35, 8.3.36, 8.4.27 dan 8.5.12.8 Pentadbir sistem perlu menyemak edaran dan versi PHP yang digunakan, kerana nombor versi pakej boleh berbeza mengikut penyedia.
8
Pengajaran lebih luas: tingkatkan keupayaan membaiki seiring penemuan
OpenAI turut berkata ia telah memperuntukkan subsidi akses Daybreak bernilai AS$1 bilion untuk pihak pertahanan, dengan tumpuan kepada organisasi yang mempunyai sumber keselamatan terhad dan melindungi perkhidmatan kritikal.25 Komitmen itu menangani satu bahagian masalah: membantu pihak pertahanan mendapatkan akses kepada alat keselamatan. PHP2Shell pula mengingatkan kita tentang bahagian yang lain—menyediakan pembaikan, menyampaikan maklumat dan memasangnya di seluruh ekosistem perisian.
Penyelidikan berbantukan AI mungkin membantu menemui kelemahan. Namun, dakwaan tentang apa yang ditemui, alat yang menyumbang dan sama ada serangan berjaya tetap perlu dinyatakan dengan cermat. Kes PHP2Shell menyokong kesimpulan yang sederhana: penemuan boleh membuka ruang masa yang berharga untuk pihak pertahanan, tetapi ruang itu hanya berguna jika penyelenggara, vendor dan pengendali sistem mampu menyediakan serta memasang pembaikan.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: Apa yang Didedahkan oleh Penemuan AI tentang Pendedahan Terkoordinasi"?
PHP2Shell merangkumi dua kelemahan dalam PHP, masing masing diberi skor CVSS 9.2, yang ditampal pada 21 Oktober 2026.
What are the key points to validate first?
PHP2Shell merangkumi dua kelemahan dalam PHP, masing masing diberi skor CVSS 9.2, yang ditampal pada 21 Oktober 2026. OpenAI melaporkan usaha kerjasama selama dua bulan: Calif menggunakan GPT 5.6 Sol untuk menemui satu kelemahan, manakala Wiz menemui dan melaporkan kedua duanya secara berasingan.
What should I do next in practice?
Amazon berkata sistem MadPot mengesan cubaan mengeksploitasi kelemahan itu pada 17 Oktober, sebelum pendedahan kepada umum.