N環球 
"PHP2Shell": Nagpapadala ang PHP ng mga pang-emergency na patch para sa dalawang kritikal na mga bahid ng CVSS-9.2 na nagpapagana ng hindi napatotohanan na pagpapatupad ng remote code
Naglabas ang PHP ng mga pang-emergency na update noong Oktubre 21 na nag-aayos ng dalawang kritikal na bahid na pinagsama-samang tinatawag na PHP2Shell (CVE-2026-109618, CVE-2026-109619), na natagpuan ng mga mananaliksik sa Wiz, Calif at OpenAI. Nag-leak ang mga detalye bago ang coordinated disclosure, at naobserbahan ng Cloudflare ang mga totoong pag-atake bago ipinadala ang patch. Ang bawat pag-install ng PHP na naghahatid ng mga kahilingan sa web ay apektado.
Bakit ito mahalaga
Ito ay isa sa mga pinakamalubhang kahinaan sa web sa mga taon. Pinapatakbo ng PHP ang isang malaking bahagi ng mga website sa mundo (WordPress, Drupal, Joomla), at sa pagkakataong ito ang depekto ay nasa mismong engine ng wika — kahit na ang isang perpektong nakasulat na site ay hindi nag-aalok ng proteksyon. Ang isang umaatake ay hindi nangangailangan ng account; ang isang kahilingan ay maaaring magbunga ng code execution sa server.
Ito rin ang pinakamalinaw na paglalarawan ng dalawahang papel ng AI sa pananaliksik sa seguridad: Sinabi ni Wiz na ang mga kapintasan ay nakatago sa loob ng mga dekada, at ang pagpapakita ng pagiging mapagsamantala ay nangangailangan ng isang kadena 'sa dulo ng kung ano ang halos makakamit ng mga mananaliksik ng tao.' Binawasan ng mga modelo ng Frontier AI ang hadlang na iyon, na ginagawang isang gumaganang pagsasamantala ang matagal nang kapintasan.
Buong ulat
Naglabas ang security team ng PHP ng mga emergency update noong Oktubre 21 na nag-aayos ng CVE-2026-109618 at CVE-2026-109619, parehong nag-rate ng CVSS v4.0 9.2 at pinagsama-samang pinangalanang PHP2Shell. Parehong nagmumula sa sira na estado ng memorya kapag ang isang kahilingan ay nagtatapos nang abnormal, at pareho ay maaaring pinagsamantalahan ng mga hindi napatotohanan na umaatake upang makamit ang malayuang pagpapatupad ng code.
Ang bawat pag-install ng PHP na naghahatid ng mga kahilingan sa web ay apektado, kabilang ang PHP-FPM, Apache mod_php, php-cgi, FrankenPHP at LiteSpeed. Sinasabi ng koponan na ang panganib ay pinakamataas para sa mod_php, kung saan ang isang ipinakitang pagsasamantala ay nag-trigger bago tumakbo ang anumang code ng aplikasyon. Ang isang kapintasan ay maaaring hayaan ang isang umaatake na basahin ang memorya ng manggagawa na may hawak na mga password, token, at API key ng iba pang kahilingan.
Ang mga bahid ay natagpuan ng mga mananaliksik sa Wiz, Calif, OpenAI (isang kasosyo sa programang Patch the Planet) at Quarkslab. Ang mga teknikal na detalye ay tumagas noong Oktubre 20 bago ang nakaplanong coordinated disclosure, na nag-udyok sa PHP na maglabas ng isang araw nang maaga. Sinabi ng Cloudflare na naobserbahan nito ang trapiko ng pag-atake laban sa mga customer nito bago ipinadala ang patch at na-activate ang mga panuntunan ng WAF noong Oktubre 21. Nag-offline ang ilang Dutch at Japanese na site (kabilang ang serbisyo ng Dutch DigiD at website ng House of Representatives) bilang pag-iingat.
Hinihimok ang mga admin na mag-update kaagad sa PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35; Ang PHP 7 at mas maaga ay hindi na nakakatanggap ng mga opisyal na update.
💬 Comments
No comments yet. Be the first!