# PHP2Shell: ሁለት ወሳኝ የPHP ጉድለቶች፣ የፈሰሰው እገዳ እና ስለ ብዝበዛ በትክክል የሚታወቀው

Published: 2026-10-22

PHP ለሁለት ወሳኝ የርቀት ኮድ ማስፈጸሚያ ጉድለቶች፣ CVE-2026-109618 እና CVE-2026-109619፣ PHP2Shell የተባሉ የአደጋ ጊዜ ጥገናዎችን ልኳል። የተለቀቀው በጥቅምት 21 ቀን 2026 ነበር። ክፍሉ ሁለቱን የማስታወስ ስህተቶች በቀላል ቃላት ያብራራል፣ ከ2024 ኦዲት የተገኘ ፍንጭ ለጥገና ለምን እንደጠበቀ፣ ማዕቀቡ እንዴት እንደፈሰሰ እና የትኞቹ ምንጮች ስለ ብዝበዛ ምን እንደሚሉ ያብራራል። በተጨማሪም የ GitLab በተመሳሳይ ቀን ወሳኝ የጥገና ልቀት እና በኒው ሜክሲኮ ውስጥ 25 ቢሊዮን ዶላር የሜታ ቅጣት ትእዛዝ ይሸፍናል።

Canonical: https://thedailydiff.dev/am/video/2026-10-22-php2shell/

## ይህ ቪዲዮ ምን ይሸፍናል

- ሁለቱም ጉድለቶች በPHP ቡድን በCVSS v4.0 ላይ 9.2 ተብለው ተሰጥተዋል። የተስተካከሉ ስሪቶች PHP 8.2.35, 8.3.36, 8.4.27 እና 8.5.12 ናቸው; PHP 7.4, 8.0 እና 8.1 የምንጭ ጥገናዎችን ብቻ ተቀብለዋል። PHP ማዘመን ብቸኛው ሙሉ መፍትሄ ነው ይላል።
- የመጀመሪያው ጉድለት የሚመጣው PHP በተሳሳተ ጊዜ ማህደረ ትውስታ ሲያልቅ ጥያቄውን በግማሽ በመተው ነው። ሁለተኛው የሚመጣው በአንድ ጥያቄ ማህደረ ትውስታ ላይ የቀረው ጠቋሚ ሲሆን ይህም በተመሳሳይ ሰራተኛ ውስጥ ያለ የኋለኛ ጥያቄ ሊጠቀምበት ይችላል። በአፓቼ ከmod\_php ጋር የመጀመሪያው መንገድ የአፕሊኬሽን ኮድ ከመሮጡ በፊት ይሰራል።
- አንድ የPHP ዋና ገንቢ በ2024 ኦዲት ወቅት የማህደረ ትውስታ ችግር የመጀመሪያ ምልክቶችን አግኝቷል። የPHP ፋውንዴሽን የሚወዳደሩ ጥገናዎች ስምምነት እንዳልተደረገበት እና በስምምነት ላይ የተመሰረተ የደህንነት ቡድን ለመምረጥ ሲቸገር፣ ይህንን እንደ መዋቅራዊ ውድቀት ይገልጸዋል።
- ፋውንዴሽኑ የCVE መታወቂያዎች በጥቅምት 20 እንደፈሰሱ፣ Calif በስህተት የማረጋገጫ ፅንሰ-ሀሳብ ቪዲዮ እንዳሳተመ እና Chainguard ከመውጣቱ ከስድስት ሰአት በላይ ቀደም ብሎ የተገነቡ ምስሎችን ከጥገናው ጋር እንዳሳተመ ይናገራል። የChainguard ዋና ስራ አስፈፃሚ ሰዎች አስቀድመው እየተመቱ እንደነበር እና ስህተቶቹን በተናጥል እንዳገኛቸው ይናገራል።
- ምንጮች በብዝበዛ ላይ አይስማሙም። አማዞን በጥቅምት 17 ሙከራ መዝግቧል እና በኋላ ላይ PHP2Shell በሰፊው እንደተበዘበዘ ተናግሯል። watchTowr በዱር ውስጥ ብዝበዛን ዘግቧል። CISA በሚታተምበት ጊዜ ብዝበዛን አልተመለከተም ነበር፣ እና የPHP ቡድን በሚለቀቅበት ጊዜ ምንም የሚሰራ ብዝበዛ አላገኘም። ብዙ የህዝብ የማረጋገጫ ፅንሰ-ሀሳብ ስክሪፕቶች አይሰሩም ተብሏል።
- PHP የሚሰራባቸውን እያንዳንዱ ቦታ ያረጋግጡ፣ በሌሎች ሶፍትዌሮች ውስጥ ያሉ ቅጂዎችን ጨምሮ፣ ያዘምኑ፣ ሰራተኞችን እንደገና ያስጀምሩ እና ምዝግብ ማስታወሻዎችን እስከ ጥቅምት 17 ድረስ ይገምግሙ።

## ጥያቄዎች እና መልሶች

### ሁለቱ የPHP2Shell ተጋላጭነቶች ምንድናቸው?

PHP2Shell ሁለት ወሳኝ የPHP ጉድለቶችን፣ CVE-2026-109618 እና CVE-2026-109619ን ይጠቅሳል፣ ሁለቱም በPHP ቡድን 9.2 ደረጃ ተሰጥቷቸዋል። የመጀመሪያው PHP በተሳሳተ ጊዜ ማህደረ ትውስታ ሲያልቅ ጥያቄን በግማሽ ይተወዋል፣ እና ከዚያ የጽዳት ሂደቱ ያምናል። ሁለተኛው በአንድ ጥያቄ ማህደረ ትውስታ ላይ ያለ ጠቋሚ ሲሆን ይህም በተመሳሳይ ሰራተኛ ውስጥ ያለ የኋለኛ ጥያቄ ሊጠቀምበት ይችላል። ሁለቱም ያለ መግቢያ ኮድ ማስፈጸሚያ ሊያስከትሉ ይችላሉ።

### የትኞቹ የPHP ስሪቶች ለPHP2Shell ጥገና አላቸው፣ እና የማይደገፉ ስሪቶችስ?

የPHP ፕሮጀክት ጥገናዎችን በጥቅምት 21 በ8.2.35, 8.3.36, 8.4.27 እና 8.5.12 አውጥቷል። ለ7.4, 8.0 እና 8.1 የምንጭ ጥገናዎችን ብቻ አሳትሟል፣ እና BleepingComputer እንደዘገበው ስርጭቶች እና የረጅም ጊዜ ድጋፍ ሰጪ አቅራቢዎች ወደ ኋላ የተወሰዱ ጥገናዎችን ሊያቀርቡ ይችላሉ። PHP ምንም የተሟላ የመፍትሄ መንገድ የለም ይላል፣ ስለዚህ ማዘመን ወይም ከአቅራቢ የጥገና ጥቅል መጠየቅ ብቸኛው አስተማማኝ ምርጫ ነው።

### የታወቀው የPHP ማህደረ ትውስታ ስህተት እስከ ጥቅምት 2026 ድረስ ለምን ጥገና ወሰደ?

የPHP ፋውንዴሽን አንድ ዋና ገንቢ በ2024 የደህንነት ኦዲት ወቅት የማህደረ ትውስታ ችግር የመጀመሪያ ምልክቶችን እንዳገኘ ይናገራል፣ ነገር ግን ምንም የብዝበዛ መንገድ አልታወቀም ነበር እና እያንዳንዱ እጩ ጥገና እንደ ተኳሃኝነት መበላሸት ያሉ ችግሮች ነበሩበት። የደህንነት ቡድኑ በስምምነት ይወስናል እና ለመምረጥ ሲቸገር፣ ይህንን ፋውንዴሽኑ በውሳኔ አሰጣጥ ሂደቱ እና በንብረት እጥረት የተከሰተ መዋቅራዊ ውድቀት ይለዋል።

### PHP2Shell እየተበዘበዘ ነው ወይስ አይደለም፣ እና ለመጠቀም ምን ያህል ቀላል ነው?

ምንጮች አይስማሙም። አማዞን በጥቅምት 17 የብዝበዛ ሙከራ መዝግቧል እና በኋላ ላይ PHP2Shell በሰፊው እንደተበዘበዘ ተናግሯል፣ እና watchTowr በዱር ውስጥ ብዝበዛን ዘግቧል። CISA በሚታተምበት ጊዜ ብዝበዛን አልተመለከተም ነበር፣ እና የPHP ቡድን በሚለቀቅበት ጊዜ ምንም የሚሰራ ብዝበዛ አላየም። watchTowr አብዛኛዎቹ የህዝብ ብዝበዛ ስክሪፕቶች ይበላሻሉ ወይም ምንም አያደርጉም ይላል፣ እና VulnCheck ኮድ ማስፈጸሚያ በአንዳንድ ቅንብሮች ውስጥ ብቻ እንደሚሰራ አግኝቷል።

### የThe Daily Diff ፍርድ ስለ PHP2Shell ምን ነበር?

የThe Daily Diff ፍርድ SHIP IT ነበር: የPHP ዝመናውን ዛሬ ማታ ይልኩ፣ ምክንያቱም አዲሱ ስሪት ብቸኛው ሙሉ ጥገና ነው። CISA በPHP የሚሰሩ እያንዳንዱን ስርዓት፣ በሌሎች ሶፍትዌሮች ውስጥ ያሉ ቅጂዎችን ጨምሮ፣ እንዲዘረዝሩ፣ ጥገናውን እንዲተገብሩ እና ማዘመን ካልቻሉ የPHP ስርዓቶችን ከመስመር ውጭ እንዲያደርጉ ይናገራል። አማዞን በጥቅምት 17፣ የመጀመሪያውን ሙከራ ሲያይ፣ ምዝግብ ማስታወሻዎችን እንዲገመግሙ ይመክራል።

## ምዕራፎች

- 0:00 PHP2Shellን አራት ቀን ቀድሞ የሞከረው ማን ነው?
- 0:41 ሁለቱ የPHP2Shell ስህተቶች ምንድናቸው?
- 1:37 የታወቀ ስህተት ለምን ሁለት ዓመታት ጠበቀ?
- 1:54 PHP2Shellን ያገኘው ማን ነው፣ እና እንዴት?
- 2:20 የPHP2Shell እገዳ እንዴት ፈሰሰ?
- 2:50 PHP2Shell እየተበዘበዘ ነው ወይስ ማን ነው የሚጠቀመው?
- 3:43 መንግስታት ምን አሰናከሉ?
- 4:11 የትኞቹ የPHP ስሪቶች ጥገና ያገኛሉ?
- 4:30 ዛሬ ማታ ስለ PHP2Shell ምን ታደርጋለህ?
- 4:45 ዛሬ ሌላ ወሳኝ RCE ጥገና የለቀቀው ምንድን ነው?
- 5:01 ሜታ 25 ቢሊዮን ዶላር እንዲከፍል የታዘዘው ለምንድን ነው?
- 5:18 የChainguard ለቅድመ ጥገና ያለው መከላከያ ምንድን ነው?
- 5:38 የSHIP IT ማህተም የሚያገኘው ምንድን ነው?

## የተተረጎመ ግልባጭ

ከዋናው የእንግሊዝኛ ትረካ የተተረጎመ። የሚገኙ ኦዲዮ እና መግለጫ ጽሑፎች በYouTube ቁጥጥር ስር ናቸው።

### PHP2Shellን አራት ቀን ቀድሞ የሞከረው ማን ነው?

0:00 የደህንነት እገዳው ጥገናው እስኪለቀቅ ድረስ ስህተትን ዝም ብሎ መያዝ አለበት። አማዞን የPHPን ወሳኝ ስህተት አራት ቀን ቀድሞ የተደረገ ሙከራን መዝግቧል። በዚህ ቪዲዮ ውስጥ ማን አገኘው? እገዳው እንዴት ፈሰሰ? እና በእርግጥ ምን ያህል መጥፎ ነው? እና ለመፍሰሱ የተከሰሰችው ኩባንያ ያልጠበኩት መከላከያ አላት። እደርስበታለሁ። ሐሙስ፣ ጥቅምት ሃያ ሁለት ነው፣ እና ይህ The Daily Diff ነው።

0:21 PHP የድረ-ገጾችን በአገልጋዩ ላይ ከመድረሳቸው በፊት የሚገነባ የስክሪፕት ቋንቋ ነው። ከሠላሳ ዓመታት በላይ ሆኖታል እና በአንድ ግምት መሠረት ወደ ሰባ በመቶ የሚሆኑ ድር ጣቢያዎችን ያንቀሳቅሳል፣ ዎርድፕረስን እና የዊኪፔዲያ ጀርባ ያለውን ሶፍትዌር ጨምሮ። ገንቢዎች ብዙውን ጊዜ PHP በሚያገለግላቸው ገጽ ላይ ሆነው ያፌዛሉ። የጥገናው ሥራ አስራ ሦስት መሐንዲሶች ያሉት ለትርፍ ያልተቋቋመ ድርጅት ነው።

### ሁለቱ የPHP2Shell ስህተቶች ምንድናቸው?

0:41 እሮብ እለት፣ PHP እንግዳ ያለ መግቢያ በአገልጋይ ላይ ኮድ እንዲያሂድ የሚያስችሉ ሁለት ወሳኝ ጉድለቶች የአደጋ ጊዜ ጥገናዎችን ልኳል። በአንድ ላይ PHP2Shell ይባላሉ፣ እና ወደ PHP አምስት ነጥብ አራት ይመለሳሉ። የመጀመሪያው ስህተት በቀላል ቃላት ይህ ነው። PHP ለእያንዳንዱ ጥያቄ የማህደረ ትውስታ በጀት ይሰጣል። አንድ ጥያቄ በትክክል በተሳሳተ ጊዜ ያንን ገደብ ከደረሰ፣ PHP በችኮላ ወጥቶ ጥያቄውን በግማሽ ይተወዋል። ከዚያ የጽዳት ደረጃው በግማሽ የተሰራውን ነገር ያምናል።

1:07 ሁለተኛው ስህተት የተረፈ ነው። አንድ ገዳይ ስህተት ባለፈው ጥያቄ የነበረውን ማህደረ ትውስታ የሚያመለክት ማስታወሻ ሊተው ይችላል። ተመሳሳይ ሰራተኛ ቀጣዩን ጥያቄ ይይዛል እና ማስታወሻውን ይከተላል። በዚያን ጊዜ ሌላ ሰው በዚያ አድራሻ ይኖራል። በአፓቼ ከmod PHP ጋር፣ ጉዳቱ የእርስዎ ኮድ ከመጀመሩ በፊት ይከሰታል፣ ስለዚህ የመግቢያ ገጽዎ ድምጽ አያገኝም። ዊዝ የhello world ስክሪፕት እንኳን የተጋለጠ ነው ይላል። ጥገናው PHP ማህደረ ትውስታ ስላላለቀበት የአደጋ ጊዜ መውጫን ያስወግዳል።

1:32 በጥያቄ መካከል ከማቋረጥ ይልቅ፣ PHP አሁን በሚቀጥለው አስተማማኝ ቦታ በጨዋነት ይቆማል። እንግዳው ክፍል የመጀመሪያው ፍንጭ ምን ያህል ያረጀ ነው የሚለው ነው።

### የታወቀ ስህተት ለምን ሁለት ዓመታት ጠበቀ?

1:39 በ2024፣ የውጭ የደህንነት ኦዲት የPHP ዋና ገንቢን ወደ የማህደረ ትውስታ ችግር የመጀመሪያ ምልክቶች መርቷል። ምንም ብዝበዛ አልታወቀም ነበር፣ እና እያንዳንዱ ጥገና አንድ ነገር ይሰበር ነበር። በስምምነት የሚወስነው ቡድን መምረጥ አልቻለም፣ ስለዚህ ስህተቱ ጠበቀ። ከዚያም በነሐሴ ወር፣ አግኚዎች በጥቂት ቀናት ውስጥ ደረሱ።

### PHP2Shellን ያገኘው ማን ነው፣ እና እንዴት?

1:56 የCalif ተመራማሪ ራያን ኦስቲን በነሐሴ ወር በመጀመሪያ አግኝቶታል፣ በOpenAI የPatch the Planet ፕሮግራም እየሰራ። OpenAI ተመሳሳይውን የስር መንስኤ በተናጥል ዘግቧል። ዊዝ ከጥቂት ሳምንታት በኋላ ከጀሚኒ እና GPT ሞዴሎች ጋር ልዩነቶችን አግኝቷል። ኦስቲን ማንም ሊያገኛቸው የሚችላቸውን ሞዴሎችን እንደተጠቀመ ይናገራል፣ በተጨማሪም የPHP የቆዩ ስህተቶች የሚደበቁበትን ንድፈ ሃሳብ። OpenAI የድንበር AI ቁልፍ ነበር ይላል። ስህተቱ ከአስር ዓመት በላይ ተደብቆ ነበር። መውጣቱ ለሐሙስ ታቅዶ ነበር።

### የPHP2Shell እገዳ እንዴት ፈሰሰ?

2:21 ማክሰኞ፣ ሁለቱ የCVE ቁጥሮች በመስመር ላይ መሰራጨት ጀመሩ፣ በተሳሳተ የመልቀቂያ ጊዜ እና የተሳሳተ አስር ነጥብ። PHP መውጣቱን በአንድ ቀን አሳልፎታል። በዚያ ምሽት፣ Calif በአጋጣሚ የፅንሰ-ሀሳቡን ማረጋገጫ ቪዲዮ እንዲሰራ አሳትሞ ነበር፣ እና ቅጂዎች ከሰረዙ በኋላ ቀርተዋል። እሮብ ጠዋት፣ ከመውጣቱ ከስድስት ሰዓት በላይ ቀደም ብሎ፣ Chainguard ጥገናውን የያዙ የተገነቡ ምስሎችን አሳተመ። PHP ማንኛውም አጥቂ ሁሉም ሰው እየጠበቀ እያለ ያንን ጥገና ማጥናት ይችላል ይላል።

2:46 አንድ ጥገና ደግሞ ልዩነት ነው፣ እና አጥቂዎች ልዩነቶችን ያነባሉ።

### PHP2Shell እየተበዘበዘ ነው ወይስ ማን ነው የሚጠቀመው?

2:50 ታዲያ በእርግጥ እየተመታ ያለው ማን ነው? የአማዞን honeypot በጥቅምት አሥራ ሰባት ላይ ሙከራ መዝግቧል እና በኋላ PHP2Shell በሰፊው እንደተበዘበዘ ተናግሯል። watchTowr በዱር ውስጥ ብዝበዛን ሪፖርት ያደርጋል። Cisa ሲያትም ምንም አላስተዋለም ነበር አለ፣ እና የPHP ቡድን በሚለቀቅበት ጊዜ ምንም የሚሰራ ብዝበዛ አላየም። የCloudflare ዋና ስራ አስፈፃሚ ከመግለጫው በፊት ባሉት አስር ሰአታት ውስጥ በሺዎች የሚቆጠሩ ሙከራዎችን እና ሐሙስ ጠዋት በሚሊዮን የሚቆጠሩ ሙከራዎችን እንዳየ ተናግሯል።

3:13 አማዞን በአንድ ነጥብ ላይ ጥንቃቄ ያደርጋል። የመጀመሪያዎቹ ሙከራዎቹ በእውነተኛ ስርዓት ላይ ይሰራሉ ​​አይሰሩ አያውቅም። ሙከራ የበር ማንኳኳት ብቻ ነው። ታዲያ በእርግጥ ምን ያህል መጥፎ ነው? watchTowr በየቦታው የሚበሩ የህዝብ ብዝበዛዎች በአብዛኛው ይበላሻሉ ወይም ምንም አያደርጉም ይላል። VulnCheck ኮድ ማስፈጸሚያ በአንዳንድ ቅንብሮች ውስጥ ይሰራል ይላል፣ እና ከህዝብዎቹ ውስጥ አንዳቸውም ቢሆኑ በመደበኛ x86 አገልጋዮች ላይ የማህደረ ትውስታ የዘፈቀደነትን አያሸንፉም። ተመራማሪው ኤልያስ ቴይለር እንደ Log4Shell ቀላል አይደለም ይላል።

3:40 ሁሉም ሰው አሁንም ጥገና ይላል። መንግስታት ፍርዱን አልጠበቁም።

### መንግስታት ምን አሰናከሉ?

3:44 NSA ጥገና ማድረግ የማይችሉ ድርጅቶችን የPHP ስርዓቶችን ከመስመር ውጭ እንዲያደርጉ እና የዩኬ ብሔራዊ የሳይበር ደህንነት ማዕከል ተመሳሳይ ምክር ሰጥቷል። የደች ጣቢያዎች፣ የብሔራዊ ዲጂታል መታወቂያ አገልግሎትን ጨምሮ፣ ከፓሪስ የፖሊስ ጣቢያ ጋር አብረው ጨለሙ። Wikimedia እንደ ጥንቃቄ ብዙ ስርዓቶችን አሰናክሏል። Palo Alto Networks ከሃያ ሁለት ሚሊዮን በላይ የተጋለጡ ምሳሌዎችን ቆጥሯል። እና አንድ የአውስትራሊያ ፕሮፌሰር በጣም የተሳለውን ነጥብ አቀረበ። ሊጨነቁባቸው የሚገቡት ጣቢያዎች ዛሬ ያልተሰናከሉ ናቸው።

### የትኞቹ የPHP ስሪቶች ጥገና ያገኛሉ?

4:11 ጥገናዎች ለPHP ስምንት ነጥብ ሁለት እስከ ስምንት ነጥብ አምስት አሉ። ለሰባት ነጥብ አራት፣ ስምንት ነጥብ ኦህ እና ስምንት ነጥብ አንድ፣ PHP የምንጭ ጥገናዎችን ብቻ አሳተመ። የቆዩ ስሪቶች ከPHP ፕሮጀክት ምንም አያገኙም፣ ስለዚህ ስርጭትዎን ይጠይቁ። የመፍትሄ መንገዶች ዕድሎችን ይቀንሳሉ፣ ነገር ግን PHP ማዘመን ብቸኛው ሙሉ ጥገና ነው ይላል። ይህ እንደ ትላንትናው የeMudhra ክፍል ተመሳሳይ ትምህርት ነው፣

### ዛሬ ማታ ስለ PHP2Shell ምን ታደርጋለህ?

4:32 ምክንያቱም ጥገና መኖሩ ከሚሰራው ሂደት ጋር መኖሩ አንድ አይነት ስላልሆነ። በእርስዎ ስታክ ውስጥ ያለውን እያንዳንዱን PHP ይፈልጉ፣ በሌሎች ሶፍትዌሮች ውስጥ የተደበቁ ቅጂዎችንም ጨምሮ። ያዘምኑ፣ ሰራተኞችን እንደገና ያስጀምሩ እና ምዝግብ ማስታወሻዎችን እስከ ጥቅምት አሥራ ሰባት ድረስ ያረጋግጡ። በዚያው ቀን፣ GitLab ወሳኝ የጥገና ስሪት አሳተመ፣

### ዛሬ ሌላ ወሳኝ RCE ጥገና የለቀቀው ምንድን ነው?

4:47 አሥራ ዘጠኝ ነጥብ አምስት ነጥብ አንድ። በእሱ መደበኛ አገላለጽ ማጠናቀቂያ ውስጥ ያለ የሙሉ ቁጥር መብዛት ያልተረጋገጠ ተጠቃሚ በአገልጋዩ ላይ ኮድ እንዲያሄድ ያስችለዋል፣ እና አስር ከስራ አስር ነጥብ ይሰጣል። GitLab dot com አስቀድሞ ተስተካክሏል። ራስን የሚያስተዳድሩ ጭነቶች ማዘመን ያስፈልጋቸዋል።

### ሜታ 25 ቢሊዮን ዶላር እንዲከፍል የታዘዘው ለምንድን ነው?

5:01 በዚሁ ጊዜ በኒው ሜክሲኮ፣ አንድ ዳኛ ሜታ ለኬምብሪጅ አናሊቲካ ሃያ አምስት ቢሊዮን ዶላር ቅጣት እንዲከፍል አዘዘ። ዳኞች ከአርባ ሶስት ሚሊዮን በላይ ጥሰቶችን በእያንዳንዱ እስከ አምስት ሺህ ዶላር ቆጥረዋል፣ ይህም ዳኛው ከመቀነሱ በፊት ወደ ሁለት መቶ ሃያ ቢሊዮን ደርሷል። ሜታ በይግባኝ እንደሚያሸንፍ ይናገራል። አሁን ቃል የገባሁት መከላከያ።

### የChainguard ለቅድመ ጥገና ያለው መከላከያ ምንድን ነው?

5:19 የChainguard ዋና ስራ አስፈፃሚ ለThe Register እንደተናገሩት አርብ ምሽት ላይ በPHP ውስጥ አንድ ነገር እየመጣ መሆኑን ካወቀ በኋላ ተመሳሳይ ስህተቶችን ራሱ እንዳገኛቸው፣ መጥፎ ተጋላጭነቶችን ለማግኘት መሰረታዊ ጥያቄ በመጠቀም። ሰዎች አስቀድመው እየተመቱ ስለነበር ቀድሞ እንደላከ ይናገራል። ይህንን ከመስማት ይልቅ ማንበብ ከፈለጉ፣ ልዩነቱ በየማለዳው ወደ የገቢ መልዕክት ሳጥንዎ ይደርሳል፣ በdaily diff dot dev በነጻ፣ ከታች ያለው አገናኝ። ስለዚህ የዛሬው ፍርድ SHIP IT ነው።

### የSHIP IT ማህተም የሚያገኘው ምንድን ነው?

5:39 የPHP ዝመናውን ዛሬ ማታ ይልኩ፣ ምክንያቱም አዲሱ ስሪት ቁጥር ብቸኛው ሙሉ ጥገና ነው። እና የዛሬው ልዩነት ይሄ ነው። እኔ ኒኮ ከAxrisi ነኝ። በኃላፊነት ያዋህዱ።

## ምንጮች

- [Today's PHP Security Release, and How We're Strengthening PHP Security](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/) — The PHP Foundation
- [RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w) — PHP security advisory
- [RCE via stale global state (GHSA-6wmf-4rv5-p3rp)](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp) — PHP security advisory
- [Upcoming Critical PHP Security Release](https://www.php.net/archive/2026.php) — php.net
- [php2shell](https://calif.io/php2shell/) — Calif
- [PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet](https://www.wiz.io/blog/php2shell-php-rce) — Wiz Research
- [Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot](https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/) — AWS Security Blog
- [Critical Vulnerabilities in PHP Require Immediate Patching](https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching) — CISA
- [Flaw in PHP computer language leads to shutdown of websites around world](https://www.theguardian.com/technology/2026/oct/21/flaw-in-php-computer-language-leads-to-shutdown-of-websites-around-world) — The Guardian
- [What is PHP, and how bad is the computer language flaw causing website shutdowns globally?](https://www.theguardian.com/technology/2026/oct/22/what-is-php-computer-language-flaw-causing-global-website-shutdowns) — The Guardian
- [PHP2Shell Exploitation Started Days Before Patches](https://www.securityweek.com/php2shell-exploitation-started-days-before-patches/) — SecurityWeek
- [PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619](https://www.tanium.com/blog/php2shell-responding-to-cve-2026-109618-and-cve-2026-109619) — Tanium
- [There isn't an easy exploit for this PHP vulnerability](https://eliastaylor.com/noexploit/) — Elias Taylor
- [PHP blames supply chain security biz Chainguard for putting entire web at risk](https://www.theregister.com/security/2026/10/22/php-blames-supply-chain-security-biz-chainguard-for-putting-entire-web-at-risk/5304611) — The Register
- [PHP2Shell: 22M exposed servers at risk as emergency patches released](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released) — TechTarget
- [PHP ships emergency patches for critical PHP2Shell flaws](https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/) — BleepingComputer
- [GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/) — GitLab
- [Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica case](https://www.cnbc.com/2026/10/21/meta-new-mexico-cambridge-analytica-penalty.html) — CNBC
- [Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming](https://news.ycombinator.com/item?id=50167754) — Hacker News