Pergi ke kandungan

PHP2Shell

Daripada Wikipedia, ensiklopedia bebas.
PHP2Shell
Contoh Phabricator Wikimedia dilihat beberapa jam sebelum tampal tersebut, telah dilumpuhkan sebagai langkah berjaga-jaga
Pengenal pasti CVETemplat:CVE
Templat:CVE
Tarikh ditemukanOgos 2026
Tarikh ditampal21 Oktober 2026; 1 hari yang lalu (2026-10-21)
PenemuCalif, OpenAI, Wiz
Perisian terjejasVersi PHP 5.4–8.5[1]
Tapak webphp2shell.com

PHP2Shell ialah pasangan kegoyahan berimpak tinggi (CVE-2026-109618 dan CVE-2026-109619) dalam versi PHP 5.4–8.5 yang membenarkan pelaksanaan kod jauh (RCE). Kewujudannya diumumkan awam pada 20 Oktober 2026.[2] Suatu tampal kecemasan untuk versi 8.2, 8.3, 8.4 dan 8.5 dan butiran mengenai kegoyahan dikeluarkan pada hari berikutnya.[3]

Penemuan

[sunting | sunting sumber]

Versi PHP seawal 5.4 (dikeluarkan pada 2012)[4] terjejas oleh kegoyahan ini, dan manakala kebimbangan mengenai pepijat keselamatan ingatan telah dibangkitkan berdekad-dekad sebelum ini, tiada tindakan telah diambil pada masa tersebut kerana ia tidak difikirkan yang membangunkan eksploit yang berfungsi itu boleh dilaksana.[5][6] Pembangun teras PHP menemui ralat kehabisan ingatan di belakang salah satu kegoyahan semasa audit pada 2024, namun pepijat tersebut tidak pernah dibaiki; pasukan pembangunan tidak dapat mencapai sepakat mengenai cara melakukan demikian dan eksploit khusus belum ditemui, oleh itu masalah tersebut tidak diutamakan.[7][8]

Kegoyahan tersebut ditemui berasingan oleh dua pihak: Ryan Austin, seorang penyelidik di firma keselamatan berpusat California[9] Calif, sebagai sebahagian daripada projek "Patch the Planet" OpenAI pada Ogos 2026; dan syarikat keselamatan awan Israel–Amerika Syarikat Wiz, anak syarikat bagi Alphabet Inc. dan sebahagian daripada Google Cloud. Austin menggunakan model GPT-5.6 Sol OpenAI untuk membantu dengan mencari kegoyahan tersebut.[6] Penyelidik Wiz menggunakan model bahasa besar Gemini 4 Argon dan GPT-5.6 Sol, serta alat mereka sendiri, Wiz Atlas, untuk membantu penyelidikan mereka.[10]

Kegoyahan tersebut dinilai 9.2 (genting) daripada 10 di bawah CVSS v4.0 oleh pembangun PHP,[11] manakala firma keselamatan watchTowr menilai 10.0 yang penuh.[12]

Lihat juga

[sunting | sunting sumber]

Rujukan

[sunting | sunting sumber]
  1. ↑ "PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet | Wiz Blog". wiz.io (dalam bahasa Inggeris AS). 21 October 2026.
  2. ↑ "PHP: News Archive - 20 Oct 2026". www.php.net (dalam bahasa Inggeris). 2026-10-20. Dicapai pada 2026-10-21.
  3. ↑ "PHP: News Archive - 21 Oct 2026". www.php.net (dalam bahasa Inggeris). 2026-10-21. Dicapai pada 2026-10-21.
  4. ↑ "PHP: Releases". www.php.net (dalam bahasa Inggeris). Dicapai pada 2026-10-22.
  5. ↑ Ralat petik: Tag <ref> tidak sah; tiada teks disediakan bagi rujukan yang bernama "Kan2026"
  6. 1 2 McMillan, Robert (21 October 2026). "Exclusive | AI Just Found a Bug That Puts up to 70% of the World's Websites at Risk". Wall Street Journal. Dicapai pada 21 October 2026.
  7. ↑ Constantin, Ana Maria (21 October 2026). "PHP knew about one of the flaws in 2024 but could not agree a fix". The Next Web. Dicapai pada 21 October 2026.
  8. ↑ "Today's PHP Security Release, and How We're Strengthening PHP Security". thephp.foundation (dalam bahasa Inggeris). Dicapai pada 2026-10-21.
  9. ↑ Volz, Dustin (8 September 2026). "A Hacking Tool Built With A.I. Can Breach Phones Without a Click". The New York Times. Dicapai pada 21 October 2026.
  10. ↑ Ralat petik: Tag <ref> tidak sah; tiada teks disediakan bagi rujukan yang bernama "Satter2026"
  11. ↑ "php.announce: [ANNOUNCE] Upcoming Critical PHP Security Release". news-web.php.net. Dicapai pada 2026-10-21.
  12. ↑ Abrams, Lawrence. "PHP warns admins of two critical flaws, emergency patches coming tomorrow". BleepingComputer (dalam bahasa Inggeris AS). Dicapai pada 2026-10-21.

Pautan luar

[sunting | sunting sumber]

Templat:Hacking in the 2020s

Diambil daripada "https://ms.wikipedia.org/w/index.php?title=PHP2Shell&oldid=6988282"