AnswersPublished27 sources
PHP2Shell: Dua kelemahan kritikal PHP, dan langkah yang perlu diambil
PHP2Shell ialah nama bagi dua kerentanan PHP berkadar kritikal, masing masing dengan skor 9.2, yang boleh membolehkan kod dijalankan pada pelayan terdedah tanpa log masuk. Laporan menyatakan kelemahan ini mungkin telah wujud dalam PHP selama bertahun tahun.
Diterbitkan olehDisunting dengan GPT-6 LunaImej dijana dengan GPT Image 2
Research answer
Key takeaways
- PHP2Shell ialah nama bagi dua kerentanan PHP berkadar kritikal, masing masing dengan skor 9.2, yang boleh membolehkan kod dijalankan pada pelayan terdedah tanpa log masuk.
- Laporan menyatakan kelemahan ini mungkin telah wujud dalam PHP selama bertahun tahun.
- Pengendali perlu menyemak dan mengemas kini runtime PHP kepada versi yang ditampal, atau mengikuti arahan vendor untuk tampalan yang disediakan semula.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the global “php2shell” crisis involving PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619, why did Microsoft CEO Satya Nadella. Article summary: “PHP2Shell” is an urgent PHP security and patching incident involving CVE-2026-109618 and CVE-2026-109619: two critical flaws that can let an attacker execute code on a vulnerable web server without logging in, potential. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
PHP2Shell ialah nama bagi dua kerentanan kritikal dalam PHP, iaitu CVE-2026-109618 dan CVE-2026-109619. Jika berjaya dieksploitasi, kelemahan ini boleh membolehkan penyerang yang tidak mempunyai akaun menjalankan kod pada pelayan terjejas. Tampalan dikeluarkan pada 21 Oktober 2026, dan syarikat keselamatan melaporkan cubaan mengeksploitasi kelemahan tersebut. Namun, cubaan serangan tidak sama dengan bukti bahawa pelayan telah diceroboh.11
14
19
Apakah yang dilakukan oleh kelemahan PHP2Shell?
Kelemahan ini terdapat dalam PHP itu sendiri, bukan hanya pada laman web atau sistem pengurusan kandungan tertentu. Red Hat menerangkan bahawa satu kelemahan melibatkan pengendalian memori yang tidak betul apabila peruntukan memori gagal semasa permintaan diproses. Satu lagi boleh meninggalkan keadaan dalaman yang lapuk selepas ralat maut mengganggu proses pembersihan.7 Gabungan isu ini boleh membuka laluan kepada pelaksanaan kod jarak jauh—iaitu penyerang mungkin dapat menjalankan kod pada pelayan terdedah tanpa perlu log masuk terlebih dahulu.
11
13
Kedua-dua kelemahan menerima skor CVSS v4.0 sebanyak 9.2, iaitu tahap kritikal.4 Kesan yang mungkin berlaku termasuk pengambilalihan pelayan, pendedahan data atau gangguan perkhidmatan. Namun, kewujudan kelemahan ini tidak bermakna setiap laman web yang menggunakan PHP telah diserang atau diceroboh.
13
Mengapa isu ini mendapat perhatian segera?
Laporan menyatakan kelemahan tersebut mungkin telah wujud dalam PHP selama bertahun-tahun sebelum dikenal pasti.42 Tempoh yang lama dalam perisian tidak membuktikan bahawa penyerang telah mengetahui atau mengeksploitasi kelemahan itu sepanjang masa tersebut.
Insiden ini turut menarik perhatian terhadap penyelidikan keselamatan berbantukan AI. Laporan menyebut Calif dan Wiz menggunakan alat AI dalam penyiasatan mereka, manakala OpenAI turut terlibat dalam usaha penyelidikan dan pendedahan.34
44 AI boleh membantu penyelidik meneliti perisian, tetapi kisah penemuan ini sahaja tidak membuktikan secepat mana penyerang boleh menggunakan alat serupa atau pihak mana yang mempunyai kelebihan.
Tajuk berita juga menekankan penggunaan PHP yang meluas—kadangkala dianggarkan sekitar 70% daripada laman web.20 Angka itu merujuk kepada anggaran penggunaan PHP, bukannya jumlah pelayan yang disahkan terdedah atau diceroboh. Risiko sebenar bergantung pada versi PHP, konfigurasi dan cara sistem digunakan, serta sama ada tampalan telah dipasang.
Tampalan, laporan serangan dan perkara yang diketahui
Projek PHP mengeluarkan pembaikan pada 21 Oktober melalui versi 8.2.35, 8.3.36, 8.4.27 dan 8.5.12.19 Senarai keluaran yang dilaporkan itu meliputi PHP 8.2 hingga 8.5. Organisasi yang menggunakan versi lebih lama patut menyemak notis keselamatan daripada sistem operasi atau penyedia pengehosan mereka untuk mendapatkan maklumat tentang tampalan yang disahkan atau tampalan yang disediakan semula untuk versi tertentu. Jangan anggap tampalan tersedia—atau tiada—tanpa menyemak arahan vendor.
Terdapat laporan tentang cubaan mengeksploitasi kelemahan ini. SecurityWeek melaporkan bahawa Amazon mengesan satu cubaan pada 17 Oktober, empat hari sebelum tampalan dikeluarkan.14 Cloudflare pula melaporkan peningkatan mendadak trafik cubaan eksploit selepas kelemahan itu diketahui umum, dengan jumlah yang mencecah jutaan dalam laporan seterusnya.
27
38 Angka tersebut merujuk kepada cubaan yang diperhatikan, bukan jumlah pencerobohan yang berjaya.
Laporan tentang skala eksploitasi tidak seragam: sesetengah sumber menyebut cubaan serangan sedang berlaku, manakala sumber lain menyatakan eksploitasi besar-besaran kelihatan kurang berkemungkinan berbanding jangkaan awal.3
4 Maklumat yang tersedia tidak mengesahkan berlakunya pencerobohan berjaya secara meluas. Ambil laporan serangan yang boleh dipercayai dengan serius, tetapi bezakan aktiviti imbasan atau cubaan eksploit daripada bukti bahawa pelayan tertentu benar-benar telah diceroboh.
2
3
Tindakan pihak berkuasa dan pengendali perkhidmatan
Beberapa organisasi menutup sementara perkhidmatan yang boleh diakses orang ramai semasa bertindak balas. Laporan menyebut penutupan sementara atau kerja penyelenggaraan di Jepun, Perancis, Finland dan Belanda; agensi di Amerika Syarikat dan Eropah turut menggesa organisasi mengambil tindakan.18
20
35 Menutup laman untuk sementara boleh mengurangkan pendedahan semasa proses respons, tetapi tindakan itu sendiri bukan bukti bahawa laman berkenaan telah diceroboh.
Langkah yang patut diambil oleh pengendali PHP
- Semak runtime, bukan aplikasi sahaja. PHP2Shell menjejaskan runtime PHP. Mengemas kini CMS atau pemalam sahaja tidak membuktikan pemasangan PHP yang mendasarinya sudah dibaiki.
13
- Pasang pembaikan yang disahkan. Naik taraf kepada keluaran PHP yang sesuai dan telah dibaiki, atau ikut arahan vendor berkaitan jika tampalan disediakan semula. Sahkan versi yang benar-benar berjalan dalam persekitaran produksi.
19
- Semak tanda pencerobohan. Memasang tampalan menangani kelemahan, tetapi tidak membuktikan pelayan tidak pernah diakses. Semak log yang berkaitan dan siasat aktiviti mencurigakan sebelum sistem digunakan seperti biasa semula.
- Gunakan langkah sementara dengan berhati-hati. Ikut panduan terkini daripada penyelenggara PHP atau vendor. Jangan bergantung pada satu perubahan konfigurasi atau tembok api aplikasi web (WAF) sebagai pengganti tampalan runtime yang disahkan.
15
27
- Jadikan perlindungan akaun sebagai lapisan tambahan. Kata laluan unik dan pengesahan berbilang faktor (MFA) membantu melindungi akaun, tetapi tidak membaiki kelemahan pelayan yang membolehkan kod dijalankan tanpa pengesahan.
Bagi pasukan IT, membezakan antara kerentanan, cubaan eksploit dan pencerobohan yang disahkan adalah penting. Perbezaan ini membantu organisasi bertindak segera memasang tampalan tanpa membuat kesimpulan yang belum disokong bukti tentang siapa yang telah diceroboh.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: Dua kelemahan kritikal PHP, dan langkah yang perlu diambil"?
PHP2Shell ialah nama bagi dua kerentanan PHP berkadar kritikal, masing masing dengan skor 9.2, yang boleh membolehkan kod dijalankan pada pelayan terdedah tanpa log masuk.
What are the key points to validate first?
PHP2Shell ialah nama bagi dua kerentanan PHP berkadar kritikal, masing masing dengan skor 9.2, yang boleh membolehkan kod dijalankan pada pelayan terdedah tanpa log masuk. Laporan menyatakan kelemahan ini mungkin telah wujud dalam PHP selama bertahun tahun.
What should I do next in practice?
Pengendali perlu menyemak dan mengemas kini runtime PHP kepada versi yang ditampal, atau mengikuti arahan vendor untuk tampalan yang disediakan semula.
Sources
cyber.gc.caAL26-026 - Critical vulnerabilities impacting PHP - CVE- ...
securityweek.comPHP2Shell Patches Land as First Exploitation Attempts Hit Sensors
access.redhat.comRHSB-2026-013 Request handling memory corruption - php...