PHP2Shell

PHP2Shell
	Contoh Phabricator Wikimedia kelihatan berjam-jam sebelum tampalan, dilumpuhkan sebagai langkah berjaga-jaga
Pengenal pasti CVE	CVE-2026-109618
Tarikh ditemukan	1 Ogos 2026; 2 bulan yang lalu
Tarikh ditampal	21 Oktober 2026; 6 hari yang lalu
Penemu	Calif, OpenAI, Wiz
Perisian terjejas	Versi PHP 5.4–8.5
Tapak web	php2shell.com

PHP2Shell ialah pasangan kegoyahan komputer (CVE-2026-109618^[2] and CVE-2026-109619)^[3] berkenaan kepincangan keselamatan ingatan dalam versi PHP 5.4–8.5 yang membenarkan pelakuan kod jauh (RCE) oleh pengguna hasad yang berpotensi untuk mendapat kawalan jauh hos tapak web. Kegoyahan ditemui dengan bantuan AI pada Ogos 2026 dan kewujudannya diumumkan awam pada 20 Oktober 2026.^[4] Suatu tampalan kecemasan untuk versi 8.2, 8.3, 8.4 dan 8.5 dan butiran mengenai kegoyahan telah dikeluarkan pada hari berikutnya, dengan pelbagai tapak web menjadi luar talian untuk menggunakan tampalan tersebut sebelum eksploit dapat digunakan.^[5]

PHP ialah bahasa pengaturcaraan yang popular yang banyak pangkalan kod tapak web dan aplikasi web dibina. Kegoyahan ini dianggarkan menjejaskan hampir 70% daripada tapak web.

Penemuan

Kegoyahan tersebut ditemui berasingan oleh dua pihak: Ryan Austin, seorang penyelidik di firma keselamatan berpusatkan California Calif,^[6] sebagai sebahagian daripada projek "Patch the Planet" OpenAI pada Ogos 2026, dan syarikat keselamatan awan Israel–Amerika Syarikat Wiz, sebuah anak syarikat Alphabet Inc. dan sebahagian daripada Google Cloud.^[7.1] Austin menggunakan model GPT-5.6 Sol OpenAI untuk membantu dengan mencari kegoyahan tersebut.^[7.1] Para penyelidik Wiz menggunakan model bahasa besar Gemini 4 Argon dan GPT-5.6 Sol, serta alat mereka sendiri, Wiz Atlas, untuk membantu dengan penyelidikan mereka.^[8] Wiz mencipta nama "PHP2Shell" menandakan eksploit PHP dapat membenarkan pelakuan perintah shell terhadap pelayan yang terjejas.^[9]

Versi-versi PHP seawal 5.4 (dikeluarkan pada 2012)^[10] terjejas oleh kegoyahan-kegoyahan ini, dan manakala kebimbangan berhubungan pepijat keselamatan ingatan telah dibangkitkan berdekad-dekad sebelum ini, tiada tindakan diambil pada masa itu kerana ia disangkakan membangunkan eksploit yang berfungsi boleh laksana.^[11]^[7.2] Seorang pembangun teras PHP menemui ralat habis ingatan di sebalik salah satu kegoyahan tersebut semasa audit pada 2024, tetapi pepijat tersebut tidak pernah dibaiki; pasukan pembangunan tidak dapat mencapai kesepakatan mengenai cara melakukannya dan eksploit yang khusus belum lagi ditemui, oleh itu masalah tersebut tidak diutamakan.^[12]^[13]

Kegoyahan tersebut dinilai 9.2 (genting) daripada 10 di bawah CVSS v4.0 oleh para pembangun PHP,^[14] manakala firma keselamatan watchTowr menilaikan 10.0 yang penuh.^[15]

Lihat juga

Log4Shell

Rujukan

↑ "PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet". Wiz Blog (dalam bahasa Inggeris AS). 21 October 2026. Diarkibkan daripada yang asal pada 21 October 2026. Dicapai pada 21 October 2026.
↑ "CVE-2026-109618". Mitre. 2026-10-21. Diarkibkan daripada yang asal pada 22 October 2026. Dicapai pada 22 October 2026.
↑ "CVE-2026-109619". Mitre. 2026-10-21. Diarkibkan daripada yang asal pada 22 October 2026. Dicapai pada 22 October 2026.
↑ "PHP: News Archive - 20 Oct 2026" (dalam bahasa Inggeris). PHP. 20 October 2026. Diarkibkan daripada yang asal pada 20 October 2026. Dicapai pada 21 October 2026.
↑ "PHP: News Archive – 21 Oct 2026" (dalam bahasa Inggeris). PHP. 21 October 2026. Diarkibkan daripada yang asal pada 20 October 2026. Dicapai pada 21 October 2026.
↑ Volz, Dustin (8 September 2026). "A Hacking Tool Built With A.I. Can Breach Phones Without a Click". The New York Times. Dicapai pada 21 October 2026.
McMillan, Robert (21 October 2026). "Exclusive | AI Just Found a Bug That Puts up to 70% of the World's Websites at Risk". The Wall Street Journal. Diarkibkan daripada yang asal pada 21 October 2026. Dicapai pada 21 October 2026.
1. 1 2 "Ryan Austin, a researcher at Calif, uncovered the flaws with help from GPT-5.6 Sol, one of OpenAI's most advanced models, during an audit of PHP's source code in August. ... Researchers from Google's Wiz cybersecurity team soon reached out with new exploits, which they had discovered independent of Calif."
2. ↑ "The class of bugs had been hiding in PHP's source code for years. A security researcher had flagged it as a problem area decades earlier, but the flaw had been considered too difficult to exploit and was largely forgotten, Duong said."
↑ Satter, Raphael; Marchandon, Leo; Ghosh, Kanjyik; Pardesi, Rajveer (21 October 2026). "Government websites go dark after AI-discovered flaw sparks security scramble". Reuters (dalam bahasa Inggeris). Diarkibkan daripada yang asal pada 21 October 2026. Dicapai pada 21 October 2026.
↑ Group®, Insikt. "PHP2Shell Exploitation: Two Critical PHP Flaws Explained". www.recordedfuture.com. Dicapai pada 2026-10-25.
↑ "PHP: Releases" (dalam bahasa Inggeris). PHP. Diarkibkan daripada yang asal pada 12 November 2006. Dicapai pada 22 October 2026.
↑ Kan, Michael (21 October 2026). "This Flaw Is So Serious Websites Should Consider Going Offline, NSA Says". PCMag (dalam bahasa Inggeris). Diarkibkan daripada yang asal pada 21 October 2026. Dicapai pada 21 October 2026.
↑ Constantin, Ana Maria (21 October 2026). "PHP knew about one of the flaws in 2024 but could not agree a fix". The Next Web. Diarkibkan daripada yang asal pada 21 October 2026. Dicapai pada 21 October 2026.
↑ "Today's PHP Security Release, and How We're Strengthening PHP Security" (dalam bahasa Inggeris). The PHP Foundation. Diarkibkan daripada yang asal pada 21 October 2026. Dicapai pada 21 October 2026.
↑ "php.announce: [ANNOUNCE] Upcoming Critical PHP Security Release". PHP Lists. Diarkibkan daripada yang asal pada 21 October 2026. Dicapai pada 21 October 2026.
↑ Abrams, Lawrence. "PHP warns admins of two critical flaws, emergency patches coming tomorrow". Bleeping Computer (dalam bahasa Inggeris AS). Diarkibkan daripada yang asal pada 21 October 2026. Dicapai pada 21 October 2026.

Pautan luar

Announcement by the PHP Project (dalam bahasa Inggeris)
Calif explanation of the vulnerabilities (dalam bahasa Inggeris)
Wiz explanation of the vulnerabilities (dalam bahasa Inggeris)

Templat:Hacking in the 2020s

[1] "PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet". Wiz Blog (dalam bahasa Inggeris AS). 21 October 2026. Diarkibkan daripada yang asal pada 21 October 2026. Dicapai pada 21 October 2026.

[2] "CVE-2026-109618". Mitre. 2026-10-21. Diarkibkan daripada yang asal pada 22 October 2026. Dicapai pada 22 October 2026.

[3] "CVE-2026-109619". Mitre. 2026-10-21. Diarkibkan daripada yang asal pada 22 October 2026. Dicapai pada 22 October 2026.

[oct20-4] "PHP: News Archive - 20 Oct 2026" (dalam bahasa Inggeris). PHP. 20 October 2026. Diarkibkan daripada yang asal pada 20 October 2026. Dicapai pada 21 October 2026.

[oct21-5] "PHP: News Archive – 21 Oct 2026" (dalam bahasa Inggeris). PHP. 21 October 2026. Diarkibkan daripada yang asal pada 20 October 2026. Dicapai pada 21 October 2026.

[6] Volz, Dustin (8 September 2026). "A Hacking Tool Built With A.I. Can Breach Phones Without a Click". The New York Times. Dicapai pada 21 October 2026.

[McMillan2026-7] McMillan, Robert (21 October 2026). "Exclusive | AI Just Found a Bug That Puts up to 70% of the World's Websites at Risk". The Wall Street Journal. Diarkibkan daripada yang asal pada 21 October 2026. Dicapai pada 21 October 2026.
1 2 "Ryan Austin, a researcher at Calif, uncovered the flaws with help from GPT-5.6 Sol, one of OpenAI's most advanced models, during an audit of PHP's source code in August. ... Researchers from Google's Wiz cybersecurity team soon reached out with new exploits, which they had discovered independent of Calif."

↑ "The class of bugs had been hiding in PHP's source code for years. A security researcher had flagged it as a problem area decades earlier, but the flaw had been considered too difficult to exploit and was largely forgotten, Duong said."

[8] 1 2 "Ryan Austin, a researcher at Calif, uncovered the flaws with help from GPT-5.6 Sol, one of OpenAI's most advanced models, during an audit of PHP's source code in August. ... Researchers from Google's Wiz cybersecurity team soon reached out with new exploits, which they had discovered independent of Calif."

[13] "The class of bugs had been hiding in PHP's source code for years. A security researcher had flagged it as a problem area decades earlier, but the flaw had been considered too difficult to exploit and was largely forgotten, Duong said."

[Satter2026-9] Satter, Raphael; Marchandon, Leo; Ghosh, Kanjyik; Pardesi, Rajveer (21 October 2026). "Government websites go dark after AI-discovered flaw sparks security scramble". Reuters (dalam bahasa Inggeris). Diarkibkan daripada yang asal pada 21 October 2026. Dicapai pada 21 October 2026.

[10] Group®, Insikt. "PHP2Shell Exploitation: Two Critical PHP Flaws Explained". www.recordedfuture.com. Dicapai pada 2026-10-25.

[11] "PHP: Releases" (dalam bahasa Inggeris). PHP. Diarkibkan daripada yang asal pada 12 November 2006. Dicapai pada 22 October 2026.

[Kan2026-12] Kan, Michael (21 October 2026). "This Flaw Is So Serious Websites Should Consider Going Offline, NSA Says". PCMag (dalam bahasa Inggeris). Diarkibkan daripada yang asal pada 21 October 2026. Dicapai pada 21 October 2026.

[Constantin2026-14] Constantin, Ana Maria (21 October 2026). "PHP knew about one of the flaws in 2024 but could not agree a fix". The Next Web. Diarkibkan daripada yang asal pada 21 October 2026. Dicapai pada 21 October 2026.

[15] "Today's PHP Security Release, and How We're Strengthening PHP Security" (dalam bahasa Inggeris). The PHP Foundation. Diarkibkan daripada yang asal pada 21 October 2026. Dicapai pada 21 October 2026.

[16] "php.announce: [ANNOUNCE] Upcoming Critical PHP Security Release". PHP Lists. Diarkibkan daripada yang asal pada 21 October 2026. Dicapai pada 21 October 2026.

[Abrams-17] Abrams, Lawrence. "PHP warns admins of two critical flaws, emergency patches coming tomorrow". Bleeping Computer (dalam bahasa Inggeris AS). Diarkibkan daripada yang asal pada 21 October 2026. Dicapai pada 21 October 2026.

[8] 1 2 "Ryan Austin, a researcher at Calif, uncovered the flaws with help from GPT-5.6 Sol, one of OpenAI's most advanced models, during an audit of PHP's source code in August. ... Researchers from Google's Wiz cybersecurity team soon reached out with new exploits, which they had discovered independent of Calif."

[13] "The class of bugs had been hiding in PHP's source code for years. A security researcher had flagged it as a problem area decades earlier, but the flaw had been considered too difficult to exploit and was largely forgotten, Duong said."

[1]

[2]

[3]

[4]

[5]

[6]

[7.1]

[8]

[9]

[10]

[11]

[7.2]

[12]

[13]

[14]

[15]