AnswersPublished24 sources
PHP2Shell: Dua kelemahan kritikal PHP dan langkah yang perlu diambil
PHP2Shell merangkumi dua kelemahan pelaksanaan kod jauh tanpa pengesahan, CVE 2026 109618 dan CVE 2026 109619, masing masing dengan skor CVSS 4.0 sebanyak 9.2. Versi pembaikan ialah PHP 8.5.12, 8.4.27, 8.3.36 dan 8.2.35.
Diterbitkan olehDisunting dengan GPT-6 LunaImej dijana dengan GPT Image 2
Research answer
Key takeaways
- PHP2Shell merangkumi dua kelemahan pelaksanaan kod jauh tanpa pengesahan, CVE 2026 109618 dan CVE 2026 109619, masing masing dengan skor CVSS 4.0 sebanyak 9.2.
- Versi pembaikan ialah PHP 8.5.12, 8.4.27, 8.3.36 dan 8.2.35. Organisasi disaran menyemak penggunaan PHP dan mengutamakan tampalan daripada vendor.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the full picture of the PHP2Shell security crisis as of October 21, 2026, including PHP’s prevalence across websites; the unauthenti. Article summary: As of October 21, 2026, PHP2Shell was an urgent patching crisis involving two unauthenticated remote-code-execution vulnerabilities, with emergency PHP updates released after premature disclosure and reports of attack at. Topic tags: general, general web, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake n
PHP2Shell ialah nama bagi dua kelemahan kritikal dalam pengendalian permintaan PHP: CVE-2026-109618 dan CVE-2026-109619. Kedua-duanya berpotensi membolehkan penyerang yang tidak perlu log masuk menjalankan kod pada pelayan terjejas. PHP mengeluarkan tampalan kecemasan pada 21 Oktober 2026, selepas butiran kelemahan tersebar lebih awal daripada jadual pendedahan asal. Laporan percubaan serangan tidak dengan sendirinya membuktikan bahawa sistem telah berjaya diceroboh. 4
6
15
Apakah kesan kelemahan PHP2Shell?
Kelemahan ini terdapat dalam PHP sendiri, bukannya hanya dalam aplikasi laman web tertentu. Makluman keselamatan menyatakan PHP 5.4 dan versi selepasnya terjejas; permintaan yang direka khas boleh mencetuskan kelemahan pada sistem yang memproses trafik web. 8
14
Punca teknikal kedua-duanya berbeza. CVE-2026-109618 melibatkan kerosakan memori akibat keadaan kehabisan memori, manakala CVE-2026-109619 berpunca daripada keadaan global yang lapuk. Kedua-dua kelemahan diberi skor CVSS 4.0 sebanyak 9.2 dan diklasifikasikan sebagai Kritikal. 4
15
PHP digunakan secara meluas, tetapi sumber yang tersedia tidak menetapkan satu peratusan yang boleh dipercayai bagi semua laman web yang terjejas. Anggaran kadar penggunaan boleh menggunakan asas pengiraan yang berbeza, jadi angka utama tidak semestinya menunjukkan jumlah laman yang terdedah. Bagi pengendali sistem, perkara penting ialah sama ada terdapat pemasangan PHP yang menerima permintaan web tetapi belum ditampal. 3
14
Pendedahan, penyelidikan berbantukan AI dan tampalan
Kewujudan kelemahan ini diketahui umum pada 20 Oktober—sehari sebelum PHP mengeluarkan tampalan kecemasan dan lebih awal daripada tarikh pendedahan yang dirancang, iaitu 22 Oktober. 6
7
16
Cloudflare menyebut Calif, Wiz, OpenAI dan Quarkslab dalam laporan tentang pendedahan tersebut. Laporan ketika itu turut menyebut penyelidikan Calif yang dibantu AI dan menyatakan Wiz menemui serta melaporkan kelemahan itu secara berasingan. Namun, sumber yang tersedia tidak menjelaskan sumbangan teknikal tepat setiap pihak. 14
20
Tampalan yang dikeluarkan pada 21 Oktober terkandung dalam PHP 8.5.12, 8.4.27, 8.3.36 dan 8.2.35. 15
16 Pentadbir sistem patut mengenal pasti versi PHP yang berjalan dalam persekitaran produksi dan memasang keluaran pembaikan yang sesuai, atau tampalan balik daripada vendor yang telah disahkan.
Sesetengah penyedia pengehosan memasukkan pembaikan keselamatan ke dalam pakej sedia ada tanpa menukar nombor versi asas yang dipaparkan. Jika nombor versi kelihatan lebih lama, semak makluman keselamatan penyedia sebelum membuat kesimpulan bahawa sistem belum ditampal. 1
Apa yang diketahui tentang percubaan serangan?
Pada 21 Oktober, laporan keselamatan menyebut percubaan serangan yang menyasarkan kelemahan ini. Cloudflare berkata pihaknya melihat trafik serangan, manakala SecurityWeek melaporkan beberapa syarikat keselamatan siber mengesan percubaan sebelum tampalan PHP dikeluarkan. 14
15
Bukti yang dilaporkan ketika itu tidak menunjukkan satu kesimpulan muktamad tentang kejayaan pencerobohan. Ringkasan laporan bertarikh 21 Oktober menyatakan CISA dan Pusat Keselamatan Siber Kanada belum memerhati atau mengenal pasti eksploitasi pada masa tersebut, sedangkan syarikat keselamatan melaporkan percubaan. Ini dua perkara berbeza: permintaan yang mencuba eksploitasi bukan bukti pencerobohan berjaya, dan agensi yang belum mengesan eksploitasi pula tidak membuktikan tiada sistem yang terjejas. 25
Tampalan, inventori sistem dan perlindungan sementara
Agensi Keselamatan Negara Amerika Syarikat (NSA) menyarankan organisasi mengutamakan tampalan vendor serta menyenaraikan perkakasan dan perkhidmatan perisian yang bergantung pada versi PHP terdedah. 17 CISA juga dilaporkan menggesa organisasi supaya memasang tampalan segera.
20 Jika perkhidmatan terjejas tidak dapat ditampal dengan segera, laporan menyebut saranan supaya perkhidmatan itu diputuskan sementara daripada rangkaian dan bukannya dibiarkan terdedah.
7
21
Cloudflare berkata pelanggan WAF percuma dan berbayarnya menerima perlindungan lalai terhadap PHP2Shell mulai 03:02 UTC pada 21 Oktober. 14 WAF—tembok api aplikasi web yang menapis trafik masuk—boleh menambah satu lapisan pertahanan, tetapi bukan pengganti kepada kemas kini PHP. Peraturan penapisan sahaja tidak membuktikan pelayan asas sudah selamat.
14
17
Insiden ini turut mendorong semakan terhadap produk selain persekitaran pengehosan PHP biasa. Help Net Security melaporkan Palo Alto Networks menyatakan semua versi PAN-OS dan Panorama terjejas, dan pembaikan belum tersedia ketika laporan itu diterbitkan. 33 Pendedahan serta langkah mitigasi bergantung pada produk dan nasihat vendor masing-masing. Organisasi yang menggunakan peralatan rangkaian atau platform terurus patut mengikuti makluman vendor berkenaan, bukannya menganggap kemas kini pakej PHP turut membaiki produk tersebut.
Kesimpulan untuk pengendali sistem
Anggap PHP2Shell sebagai isu tampalan yang perlu diberi keutamaan: senaraikan semua perkhidmatan PHP, pasang keluaran yang telah dibaiki atau tampalan balik vendor yang disahkan, dan gunakan pengasingan sementara atau penapisan trafik hanya sebagai langkah perantaraan. Laporan pada 21 Oktober menunjukkan sebab untuk mengambil serius percubaan serangan, tetapi tidak wajar menganggap setiap percubaan sebagai pencerobohan yang telah disahkan. 1
15
17
25
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: Dua kelemahan kritikal PHP dan langkah yang perlu diambil"?
PHP2Shell merangkumi dua kelemahan pelaksanaan kod jauh tanpa pengesahan, CVE 2026 109618 dan CVE 2026 109619, masing masing dengan skor CVSS 4.0 sebanyak 9.2.
What are the key points to validate first?
PHP2Shell merangkumi dua kelemahan pelaksanaan kod jauh tanpa pengesahan, CVE 2026 109618 dan CVE 2026 109619, masing masing dengan skor CVSS 4.0 sebanyak 9.2. Versi pembaikan ialah PHP 8.5.12, 8.4.27, 8.3.36 dan 8.2.35. Organisasi disaran menyemak penggunaan PHP dan mengutamakan tampalan daripada vendor.
Sources
bleepingcomputer.comPHP ships emergency patches for critical PHP2Shell flaws
vulncheck.comPHP2Shell Vulnerabilities: CVE-2026-109618 and ...
securityweek.comPHP2Shell Patches Land as First Exploitation Attempts Hit Sensors
access.redhat.comRHSB-2026-013 Request handling memory corruption - php (CVE ...