AnswersPublished25 sources
PHP2Shell cetus kecemasan keselamatan: ini versi PHP yang sudah ditampal
Pada 21 Oktober, PHP mengeluarkan tampalan bagi dua kelemahan kritikal yang boleh membolehkan kod dijalankan dari jauh tanpa pengesahan. Versi yang telah dibaiki ialah PHP 8.5.12, 8.4.27, 8.3.36 dan 8.2.35.
Diterbitkan olehDisunting dengan GPT-6 LunaImej dijana dengan GPT Image 2
Research answer
Key takeaways
- Pada 21 Oktober, PHP mengeluarkan tampalan bagi dua kelemahan kritikal yang boleh membolehkan kod dijalankan dari jauh tanpa pengesahan.
- Versi yang telah dibaiki ialah PHP 8.5.12, 8.4.27, 8.3.36 dan 8.2.35. Pentadbir sistem perlu menyemak versi PHP pada pelayan dan mengemas kini kepada keluaran yang telah ditampal bagi cabang masing masing.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the October 21–22, 2026 PHP2Shell security crisis, including PHP’s use by about 70% of websites; the unauthenticated re. Article summary: PHP2Shell prompted an emergency patching race on October 21, followed by reports of millions of exploitation attempts on October 22; its significance came from PHP’s reported use by roughly 70% of websites, not evidence . Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
PHP2Shell ialah nama bagi dua kelemahan kritikal dalam PHP, yang dikenal pasti sebagai CVE-2026-109618 dan CVE-2026-109619. PHP mengeluarkan tampalan pada 21 Oktober 2026 selepas butiran kelemahan itu bocor sebelum tarikh pendedahan yang dirancang. Menjelang 22 Oktober, firma keselamatan melaporkan peningkatan cubaan mengeksploitasi kelemahan tersebut. Anggaran bahawa PHP digunakan pada kira-kira 70% laman web membantu menjelaskan tahap segera isu ini, tetapi tidak bermakna 70% laman web telah diceroboh. 1
2
9
18
19
Apa yang boleh dilakukan oleh kelemahan PHP2Shell
Kedua-dua kelemahan itu dikategorikan sebagai kelemahan pelaksanaan kod jauh tanpa pengesahan (RCE): dalam keadaan tertentu, penyerang boleh menjalankan kod pada pelayan yang terdedah tanpa perlu log masuk terlebih dahulu. Satu kelemahan berkaitan kerosakan memori akibat kehabisan memori, manakala satu lagi melibatkan keadaan global yang sudah lapuk. 6
7
Laporan menyatakan julat versi yang mungkin terjejas bermula seawal PHP 5.4. Namun, potensi pendedahan yang luas itu bukan bukti bahawa setiap laman PHP semestinya terdedah dalam konfigurasinya atau telah berjaya diserang. 14
21
Tampalan kecemasan selepas kebocoran awal
Pada 21 Oktober, PHP mengeluarkan versi yang telah dibaiki: 8.5.12, 8.4.27, 8.3.36 dan 8.2.35. 1
6 Tampalan itu menyusuli kebocoran pada 20 Oktober, sebelum pendedahan yang dirancang pada 22 Oktober. Kebocoran awal tersebut mengganggu jadual pendedahan terancang dan diikuti pengeluaran tampalan kecemasan.
2
9
13
Bagi organisasi yang menggunakan PHP, langkah praktikalnya ialah mengenal pasti versi PHP pada setiap pelayan yang boleh dicapai melalui web dan memasang versi tampalan yang sesuai untuk cabang berkenaan. Nasihat keselamatan turut mengesyorkan supaya pemasangan yang menerima permintaan web diperiksa, bukan menganggap isu ini hanya melibatkan laman atau aplikasi tertentu. 7
11
Penyelidikan dibantu AI, dengan pasukan manusia turut terlibat
OpenAI menyatakan firma keselamatan Calif mengenal pasti satu kelemahan menggunakan GPT-5.6 Sol menerusi inisiatif Patch the Planet, manakala Wiz menemui dan melaporkan kedua-dua kelemahan secara bebas. Penyelenggara PHP mengetuai kerja pembaikan dan pengeluaran tampalan. 48 OpenAI turut berkata pihaknya telah menghabiskan dua bulan sebelumnya menyelaras usaha dengan penyelenggara, penyelidik dan penyedia keselamatan.
48
Kes ini menunjukkan penggunaan AI dalam penyelidikan kelemahan keselamatan—bukan bukti bahawa sistem AI sahaja menemui, mengesahkan atau membaiki kelemahan tersebut. Laporan yang diberikan menerangkan penyelidikan dan penyelarasan yang turut melibatkan firma keselamatan serta penyelenggara PHP, selain alat AI. 35
48
Laporan cubaan serangan dan penutupan sementara
Cloudflare melaporkan cubaan eksploitasi meningkat daripada ribuan sebelum pendedahan umum kepada jutaan selepasnya. Amazon pula dilaporkan mengesan cubaan serangan pada 17 Oktober, empat hari sebelum pendedahan umum. Angka ini merujuk kepada cubaan, bukan jumlah pencerobohan yang berjaya. 19
Vendor keselamatan turut melaporkan aktiviti di luar honeypot—sistem umpan yang digunakan untuk memerhati serangan—sambil menyatakan bahawa agensi rasmi belum mengesahkan laporan itu ketika tersebut. 17 Secara berasingan, laporan menyebut beberapa laman dan perkhidmatan kerajaan ditutup sementara sebagai langkah berjaga-jaga, termasuk lebih daripada 30 perkhidmatan kerajaan UK.
23 NSA memberi amaran bahawa penyerang boleh menggunakan kelemahan itu untuk mengawal pelayan web, mencuri data, mengganggu perkhidmatan atau bergerak lebih jauh ke dalam rangkaian. USA Today melaporkan agensi itu menasihatkan laman yang tidak dapat membaiki isu dengan segera supaya berada di luar talian.
18
23
Laporan yang tersedia menunjukkan tindak balas keselamatan yang pantas dan jumlah trafik serangan yang tinggi. Namun, ia tidak menetapkan jumlah pencerobohan berjaya di seluruh dunia. Anggaran bahagian laman web yang menggunakan PHP juga tidak boleh dianggap sebagai ukuran pendedahan atau pencerobohan yang telah disahkan.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell cetus kecemasan keselamatan: ini versi PHP yang sudah ditampal"?
Pada 21 Oktober, PHP mengeluarkan tampalan bagi dua kelemahan kritikal yang boleh membolehkan kod dijalankan dari jauh tanpa pengesahan.
What are the key points to validate first?
Pada 21 Oktober, PHP mengeluarkan tampalan bagi dua kelemahan kritikal yang boleh membolehkan kod dijalankan dari jauh tanpa pengesahan. Versi yang telah dibaiki ialah PHP 8.5.12, 8.4.27, 8.3.36 dan 8.2.35. Pentadbir sistem perlu menyemak versi PHP pada pelayan dan mengemas kini kepada keluaran yang telah ditampal bagi cabang masing masing.