# PHP2Shell: δύο κρίσιμα σφάλματα PHP, ένα εμπάργκο που διέρρευσε, και τι είναι πραγματικά γνωστό για την εκμετάλλευση

Published: 2026-10-22

Η PHP απέστειλε επείγουσες διορθώσεις για δύο κρίσιμα σφάλματα απομακρυσμένης εκτέλεσης κώδικα, τα CVE-2026-109618 και CVE-2026-109619, που ονομάστηκαν PHP2Shell. Η κυκλοφορία έγινε στις 21 Οκτωβρίου 2026. Το επεισόδιο εξηγεί τα δύο σφάλματα μνήμης με απλά λόγια, γιατί μια ένδειξη από έναν έλεγχο του 2024 περίμενε μια επιδιόρθωση, πώς διέρρευσε το εμπάργκο και ποιες πηγές λένε τι για την εκμετάλλευση. Καλύπτει επίσης την κρίσιμη έκδοση ενημέρωσης κώδικα της GitLab την ίδια ημέρα και μια εντολή ποινής 25 δισεκατομμυρίων δολαρίων της Meta στο Νέο Μεξικό.

Canonical: https://thedailydiff.dev/el/video/2026-10-22-php2shell/

## Τι καλύπτει αυτό το βίντεο

- Και τα δύο σφάλματα βαθμολογούνται με 9.2 στο CVSS v4.0 από την ομάδα PHP. Οι διορθωμένες εκδόσεις είναι PHP 8.2.35, 8.3.36, 8.4.27 και 8.5.12. Οι PHP 7.4, 8.0 και 8.1 έλαβαν μόνο διορθώσεις πηγαίου κώδικα. Η PHP δηλώνει ότι η ενημέρωση είναι η μόνη πλήρης άμβλυνση.
- Το πρώτο σφάλμα προκύπτει από το γεγονός ότι η PHP αφήνει μια αίτηση μισοτελειωμένη όταν ξεμένει από μνήμη τη λάθος στιγμή. Το δεύτερο προέρχεται από έναν υπολειπόμενο δείκτη στη μνήμη μιας αίτησης που μπορεί να χρησιμοποιήσει μια μεταγενέστερη αίτηση στον ίδιο worker. Στον Apache με mod\_php, η πρώτη διαδρομή εκτελείται πριν από τον κώδικα της εφαρμογής.
- Ένας βασικός προγραμματιστής της PHP βρήκε τα πρώτα σημάδια του προβλήματος μνήμης κατά τη διάρκεια ενός ελέγχου του 2024. Το Ίδρυμα PHP δηλώνει ότι οι ανταγωνιστικές διορθώσεις είχαν συμβιβασμούς και μια ομάδα ασφαλείας που βασίζεται σε συναίνεση αγωνίστηκε να επιλέξει, κάτι που χαρακτηρίζει ως δομική αποτυχία.
- Το Ίδρυμα δηλώνει ότι οι ταυτότητες CVE διέρρευσαν στις 20 Οκτωβρίου, η Calif δημοσίευσε κατά λάθος ένα βίντεο απόδειξης της ιδέας, και η Chainguard δημοσίευσε κατασκευασμένες εικόνες με τη διόρθωση περισσότερο από έξι ώρες πριν από την κυκλοφορία. Ο Διευθύνων Σύμβουλος της Chainguard δηλώνει ότι οι άνθρωποι είχαν ήδη πληγεί και ότι βρήκε τα σφάλματα ανεξάρτητα.
- Οι πηγές διαφωνούν σχετικά με την εκμετάλλευση. Η Amazon κατέγραψε μια προσπάθεια στις 17 Οκτωβρίου και αργότερα δήλωσε ότι το PHP2Shell εκμεταλλευόταν ευρέως. Η watchTowr ανέφερε εκμετάλλευση "στη φύση". Η CISA δεν είχε παρατηρήσει εκμετάλλευση κατά τη δημοσίευση, και η ομάδα PHP δεν βρήκε λειτουργική εκμετάλλευση κατά την κυκλοφορία. Πολλά δημόσια σενάρια απόδειξης της ιδέας αναφέρονται ότι δεν λειτουργούν.
- Ελέγξτε κάθε σημείο όπου εκτελείται PHP, συμπεριλαμβανομένων των αντιγράφων μέσα σε άλλο λογισμικό, ενημερώστε, επανεκκινήστε τους workers και ελέγξτε τα αρχεία καταγραφής από τις 17 Οκτωβρίου.

## Ερωτήσεις και απαντήσεις

### Ποιες είναι οι δύο ευπάθειες PHP2Shell;

Το PHP2Shell ονομάζει δύο κρίσιμα σφάλματα PHP, CVE-2026-109618 και CVE-2026-109619, και τα δύο βαθμολογούνται με 9.2 από την ομάδα PHP. Το πρώτο αφήνει μια αίτηση μισοτελειωμένη όταν η PHP ξεμένει από μνήμη τη λάθος στιγμή, και ο καθαρισμός την εμπιστεύεται. Το δεύτερο αφήνει έναν δείκτη στη μνήμη μιας αίτησης που μπορεί να χρησιμοποιήσει μια μεταγενέστερη αίτηση στον ίδιο worker. Και τα δύο μπορούν να οδηγήσουν σε εκτέλεση κώδικα χωρίς σύνδεση.

### Ποιες εκδόσεις PHP έχουν διόρθωση για το PHP2Shell, και τι γίνεται με τις μη υποστηριζόμενες εκδόσεις;

Το έργο PHP κυκλοφόρησε διορθώσεις στις 8.2.35, 8.3.36, 8.4.27 και 8.5.12 στις 21 Οκτωβρίου. Για τις 7.4, 8.0 και 8.1 δημοσίευσε μόνο διορθώσεις πηγαίου κώδικα, και το BleepingComputer αναφέρει ότι οι διανομές και οι προμηθευτές μακροπρόθεσμης υποστήριξης ενδέχεται να παρέχουν διορθώσεις με backport. Η PHP δηλώνει ότι δεν υπάρχει πλήρης λύση, οπότε η ενημέρωση ή η ζήτηση από έναν προμηθευτή για ένα ενημερωμένο πακέτο είναι η μόνη ασφαλής επιλογή.

### Γιατί ένα γνωστό σφάλμα μνήμης PHP χρειάστηκε μέχρι τον Οκτώβριο του 2026 για να διορθωθεί;

Το Ίδρυμα PHP δηλώνει ότι ένας βασικός προγραμματιστής βρήκε τα πρώτα σημάδια του προβλήματος μνήμης κατά τη διάρκεια ενός ελέγχου ασφαλείας του 2024, αλλά δεν ήταν γνωστή καμία διαδρομή εκμετάλλευσης και κάθε υποψήφια διόρθωση είχε συμβιβασμούς όπως προβλήματα συμβατότητας. Η ομάδα ασφαλείας αποφασίζει με συναίνεση και δυσκολεύτηκε να επιλέξει, κάτι που το Ίδρυμα χαρακτηρίζει ως δομική αποτυχία που προκλήθηκε από τη διαδικασία λήψης αποφάσεων και την έλλειψη πόρων.

### Εκμεταλλεύεται το PHP2Shell, και πόσο εύκολο είναι να το εκμεταλλευτεί κανείς;

Οι πηγές διαφωνούν. Η Amazon κατέγραψε μια προσπάθεια εκμετάλλευσης στις 17 Οκτωβρίου και αργότερα δήλωσε ότι το PHP2Shell εκμεταλλεύτηκε ευρέως, και η watchTowr ανέφερε εκμετάλλευση στην άγρια φύση. Η CISA δεν είχε παρατηρήσει εκμετάλλευση κατά τη δημοσίευση, και η ομάδα PHP δεν είδε λειτουργική εκμετάλλευση κατά την κυκλοφορία. Η watchTowr λέει ότι τα περισσότερα δημόσια σενάρια εκμετάλλευσης καταρρέουν ή δεν κάνουν τίποτα, και η VulnCheck διαπίστωσε ότι η εκτέλεση κώδικα λειτουργεί μόνο σε ορισμένες ρυθμίσεις.

### Ποια ήταν η ετυμηγορία του The Daily Diff για το PHP2Shell;

Η ετυμηγορία του The Daily Diff ήταν SHIP IT: στείλτε την ενημέρωση PHP απόψε, γιατί η νέα έκδοση είναι η μόνη πλήρης διόρθωση. Η CISA λέει να καταγράψετε κάθε σύστημα που εκτελεί PHP, συμπεριλαμβανομένων των αντιγράφων μέσα σε άλλο λογισμικό, να εφαρμόσετε την ενημέρωση και να θέσετε τα συστήματα PHP εκτός σύνδεσης εάν δεν μπορούν να ενημερωθούν. Η Amazon συμβουλεύει να ελέγξετε τα αρχεία καταγραφής από τις 17 Οκτωβρίου, όταν είδε την πρώτη προσπάθεια.

## Κεφάλαια

- 0:00 Ποιος δοκίμασε το PHP2Shell τέσσερις μέρες νωρίτερα;
- 0:41 Ποια είναι τα δύο σφάλματα του PHP2Shell;
- 1:37 Γιατί ένα γνωστό σφάλμα περίμενε δύο χρόνια;
- 1:54 Ποιος βρήκε το PHP2Shell, και πώς;
- 2:20 Πώς διέρρευσε το εμπάργκο του PHP2Shell;
- 2:50 Εκμεταλλεύεται το PHP2Shell, και από ποιον;
- 3:43 Τι έθεσαν εκτός λειτουργίας οι κυβερνήσεις;
- 4:11 Ποιες εκδόσεις PHP λαμβάνουν διόρθωση;
- 4:30 Τι κάνετε για το PHP2Shell απόψε;
- 4:45 Τι άλλο κυκλοφόρησε μια κρίσιμη ενημέρωση RCE σήμερα;
- 5:01 Γιατί η Meta διατάχθηκε να πληρώσει 25 δισεκατομμύρια δολάρια;
- 5:18 Ποια είναι η άμυνα της Chainguard για την πρώιμη διόρθωση;
- 5:38 Τι παίρνει τη σφραγίδα SHIP IT;

## Μεταφρασμένη μεταγραφή

Μεταφράστηκε από την πρωτότυπη αγγλική αφήγηση. Ο διαθέσιμος ήχος και οι υπότιτλοι ελέγχονται από το YouTube.

### Ποιος δοκίμασε το PHP2Shell τέσσερις μέρες νωρίτερα;

0:00 Ένα εμπάργκο ασφαλείας υποτίθεται ότι κρατάει ένα σφάλμα μυστικό μέχρι να κυκλοφορήσει η ενημέρωση. Η Amazon κατέγραψε μια προσπάθεια ενάντια στο κρίσιμο σφάλμα της PHP τέσσερις ημέρες νωρίτερα. Σε αυτό το βίντεο, ποιος το βρήκε; Πώς διέρρευσε το εμπάργκο; Και πόσο άσχημο είναι, πραγματικά; Και η εταιρεία που κατηγορήθηκε για τη διαρροή έχει μια άμυνα που δεν περίμενα. Θα φτάσω σε αυτό. Είναι Πέμπτη, είκοσι δύο Οκτωβρίου, και αυτό είναι το The Daily Diff.

0:21 Η PHP είναι μια γλώσσα σεναρίων που δημιουργεί ιστοσελίδες στον διακομιστή λίγο πριν σας φτάσουν. Είναι πάνω από τριάντα ετών και, σύμφωνα με μια εκτίμηση, λειτουργεί περίπου το εβδομήντα τοις εκατό των ιστοσελίδων, συμπεριλαμβανομένων του WordPress και του λογισμικού πίσω από τη Wikipedia. Οι προγραμματιστές λατρεύουν να την χλευάζουν, συνήθως από μια σελίδα που τους παρέχει η PHP. Η συντήρησή της είναι μια μη κερδοσκοπική οργάνωση με περίπου δεκατρείς μηχανικούς.

### Ποια είναι τα δύο σφάλματα του PHP2Shell;

0:41 Την Τετάρτη, η PHP κυκλοφόρησε επείγουσες διορθώσεις για δύο κρίσιμα σφάλματα που επιτρέπουν σε έναν άγνωστο να εκτελέσει κώδικα σε διακομιστή χωρίς σύνδεση. Μαζί ονομάζονται PHP2Shell, και φτάνουν πίσω στην PHP πέντε σημείο τέσσερα. Εδώ είναι το πρώτο σφάλμα με απλά λόγια. Η PHP δίνει σε κάθε αίτημα έναν προϋπολογισμό μνήμης. Εάν ένα αίτημα χτυπήσει αυτό το όριο ακριβώς τη λάθος στιγμή, Η PHP εγκαταλείπει βιαστικά και αφήνει την αίτηση μισοτελειωμένη. Στη συνέχεια, το βήμα καθαρισμού εμπιστεύεται το μισοτελειωμένο πράγμα.

1:07 Το δεύτερο σφάλμα είναι ένα υπόλειμμα. Ένα θανατηφόρο σφάλμα μπορεί να αφήσει μια σημείωση που δείχνει σε μνήμη που ανήκε στο τελευταίο αίτημα. Ο ίδιος εργάτης χειρίζεται το επόμενο αίτημα και ακολουθεί τη σημείωση. Μέχρι τότε κάποιος άλλος ζει σε αυτή τη διεύθυνση. Στον Apache με mod PHP, η ζημιά συμβαίνει πριν εκτελεστεί ο δικός σας κώδικας, οπότε η σελίδα σύνδεσής σας δεν λαμβάνει ποτέ ψήφο. Η Wiz λέει ότι ακόμη και ένα σενάριο "hello world" είναι εκτεθειμένο. Η διόρθωση αφαιρεί την επείγουσα έξοδο της PHP για εξάντληση μνήμης.

1:32 Αντί να εγκαταλείπει στη μέση της αίτησης, η PHP σταματά πλέον ευγενικά στο επόμενο ασφαλές σημείο. Το περίεργο είναι πόσο παλιά είναι η πρώτη ένδειξη.

### Γιατί ένα γνωστό σφάλμα περίμενε δύο χρόνια;

1:39 Το 2024, ένας εξωτερικός έλεγχος ασφαλείας οδήγησε έναν βασικό προγραμματιστή της PHP στα πρώτα σημάδια του προβλήματος μνήμης. Δεν ήταν γνωστό κανένα exploit, και κάθε διόρθωση χαλούσε κάτι. Μια ομάδα που αποφασίζει με συναίνεση δεν μπορούσε να επιλέξει, οπότε το σφάλμα περίμενε. Τότε τον Αύγουστο, οι ανιχνευτές έφτασαν μέσα σε λίγες μέρες.

### Ποιος βρήκε το PHP2Shell, και πώς;

1:56 Ο ερευνητής της Calif, Ryan Austin, το βρήκε την πρώτη Αυγούστου, εργαζόμενος μέσω του προγράμματος Patch the Planet της OpenAI. Η OpenAI ανέφερε την ίδια βασική αιτία ανεξάρτητα. Η Wiz βρήκε παραλλαγές λίγες εβδομάδες αργότερα με μοντέλα Gemini και GPT. Ο Austin λέει ότι χρησιμοποίησε μοντέλα που μπορεί να αποκτήσει ο καθένας, συν μια θεωρία για το πού κρύβονται τα παλιά σφάλματα της PHP σφάλματα. Η OpenAI λέει ότι η προηγμένη τεχνητή νοημοσύνη ήταν το κλειδί. Το σφάλμα κρυβόταν για περισσότερο από μια δεκαετία. Η κυκλοφορία είχε προγραμματιστεί για την Πέμπτη.

### Πώς διέρρευσε το εμπάργκο του PHP2Shell;

2:21 Την Τρίτη, οι δύο αριθμοί CVE άρχισαν να κυκλοφορούν στο διαδίκτυο, με λάθος χρόνο κυκλοφορίας και λάθος βαθμολογία δέκα. Η PHP προχώρησε την κυκλοφορία μία ημέρα νωρίτερα. Εκείνο το βράδυ, η Calif δημοσίευσε κατά λάθος ένα βίντεο απόδειξης της ιδέας της που λειτουργούσε, και τα αντίγραφα επέζησαν της διαγραφής. Το πρωί της Τετάρτης, περισσότερο από έξι ώρες πριν από την κυκλοφορία, η Chainguard δημοσίευσε κατασκευασμένες εικόνες που περιείχαν τη διόρθωση. Η PHP λέει ότι οποιοσδήποτε επιτιθέμενος θα μπορούσε να μελετήσει αυτή τη διόρθωση ενώ όλοι οι άλλοι περίμεναν.

2:46 Ένα patch είναι επίσης ένα diff, και οι επιτιθέμενοι διαβάζουν diffs.

### Εκμεταλλεύεται το PHP2Shell, και από ποιον;

2:50 Λοιπόν, ποιος επηρεάζεται πραγματικά; Η honeypot της Amazon κατέγραψε μια προσπάθεια στις δεκαεπτά Οκτωβρίου και αργότερα δήλωσε ότι το PHP2Shell εκμεταλλεύεται ευρέως. Η watchTowr αναφέρει εκμετάλλευση στην άγρια φύση. Η Cisa δήλωσε ότι δεν είχε παρατηρήσει καμία όταν δημοσίευσε, και η ομάδα της PHP δεν είδε καμία λειτουργική εκμετάλλευση κατά την κυκλοφορία. Ο Διευθύνων Σύμβουλος της Cloudflare δήλωσε ότι είδε χιλιάδες προσπάθειες τις δέκα ώρες πριν από την ανακοίνωση, και εκατομμύρια μέχρι το πρωί της Πέμπτης.

3:13 Η Amazon είναι προσεκτική σε ένα σημείο. Δεν γνωρίζει αν οι πρώτες της προσπάθειες θα είχαν λειτουργήσει σε ένα πραγματικό σύστημα. Μια προσπάθεια είναι μόνο ένα χτύπημα στην πόρτα. Λοιπόν, πόσο άσχημο είναι, πραγματικά; Η watchTowr λέει ότι τα δημόσια exploits που κυκλοφορούν κυρίως καταρρέουν ή δεν κάνουν τίποτα. Η VulnCheck λέει ότι η εκτέλεση κώδικα λειτουργεί σε ορισμένες ρυθμίσεις, και κανένα από τα δημόσια δεν νικάει την τυχαιοποίηση μνήμης σε τυπικούς διακομιστές x86. Ο ερευνητής Elias Taylor λέει ότι δεν είναι καθόλου τόσο εύκολο όσο το Log4Shell.

3:40 Όλοι εξακολουθούν να λένε ενημέρωση. Οι κυβερνήσεις δεν περίμεναν την ετυμηγορία.

### Τι έθεσαν εκτός λειτουργίας οι κυβερνήσεις;

3:44 Η NSA είπε σε οργανισμούς που δεν μπορούσαν να επιδιορθώσουν να θέσουν τα συστήματα PHP εκτός σύνδεσης, και το Εθνικό Κέντρο Κυβερνοασφάλειας του Ηνωμένου Βασιλείου έδωσε παρόμοιες συμβουλές. Ολλανδικοί ιστότοποι, συμπεριλαμβανομένης της εθνικής υπηρεσίας ψηφιακής ταυτότητας, σκοτείνιασαν, μαζί με έναν ιστότοπο της αστυνομίας του Παρισιού. Η Wikimedia έθεσε εκτός λειτουργίας πολλά συστήματα ως προληπτικό μέτρο. Η Palo Alto Networks μέτρησε περισσότερες από είκοσι δύο εκατομμύρια εκτεθειμένες περιπτώσεις. Και ένας Αυστραλός καθηγητής έκανε την πιο εύστοχη παρατήρηση. Οι ιστότοποι για τους οποίους πρέπει να ανησυχούμε είναι αυτοί που δεν έχουν πέσει σήμερα.

### Ποιες εκδόσεις PHP λαμβάνουν διόρθωση;

4:11 Υπάρχουν διορθώσεις για την PHP οκτώ σημείο δύο έως οκτώ σημείο πέντε. Για τις επτά σημείο τέσσερα, οκτώ σημείο μηδέν και οκτώ σημείο ένα, η PHP δημοσίευσε μόνο διορθώσεις πηγαίου κώδικα. Οι παλαιότερες εκδόσεις δεν λαμβάνουν τίποτα από το έργο PHP, οπότε ρωτήστε τη διανομή σας. Οι λύσεις μειώνουν τις πιθανότητες, αλλά η PHP λέει ότι η ενημέρωση είναι η μόνη πλήρης διόρθωση. Είναι το ίδιο μάθημα με το χθεσινό επεισόδιο eMudhra,

### Τι κάνετε για το PHP2Shell απόψε;

4:32 επειδή το να υπάρχει μια διόρθωση δεν είναι το ίδιο με το να την έχει η τρέχουσα διεργασία. Βρείτε κάθε PHP στη στοίβα σας, ακόμα και τα αντίγραφα που κρύβονται μέσα σε άλλο λογισμικό. Ενημερώστε, επανεκκινήστε τους εργάτες και ελέγξτε τα αρχεία καταγραφής από τις δεκαεπτά Οκτωβρίου. Την ίδια μέρα, η GitLab κυκλοφόρησε μια κρίσιμη ενημέρωση κώδικα,

### Τι άλλο κυκλοφόρησε μια κρίσιμη ενημέρωση RCE σήμερα;

4:47 δεκαεννέα σημείο πέντε σημείο ένα. Μια υπερχείλιση ακέραιου στον μεταγλωττιστή κανονικών εκφράσεων επιτρέπει σε έναν μη πιστοποιημένο χρήστη να εκτελέσει κώδικα στον διακομιστή, και βαθμολογείται δέκα στα δέκα. Το GitLab dot com έχει ήδη επιδιορθωθεί. Οι αυτόνομα διαχειριζόμενες εγκαταστάσεις χρειάζονται την ενημέρωση.

### Γιατί η Meta διατάχθηκε να πληρώσει 25 δισεκατομμύρια δολάρια;

5:01 Εν τω μεταξύ στο Νέο Μεξικό, ένας δικαστής διέταξε τη Meta να πληρώσει είκοσι πέντε δισεκατομμύρια δολάρια σε κυρώσεις για την Cambridge Analytica. Η κριτική επιτροπή κατέγραψε περισσότερες από σαράντα τρία εκατομμύρια παραβιάσεις με έως πέντε χιλιάδες δολάρια η καθεμία, οι οποίες ανήλθαν σε περίπου διακόσια είκοσι δισεκατομμύρια πριν τις μειώσει ο δικαστής μεγαλύτερο ποσό. Η Meta λέει ότι θα κερδίσει στην έφεση. Τώρα η άμυνα που υποσχέθηκα.

### Ποια είναι η άμυνα της Chainguard για την πρώιμη διόρθωση;

5:19 Ο Διευθύνων Σύμβουλος της Chainguard είπε στο The Register ότι βρήκε τα ίδια σφάλματα μόνος του μια Παρασκευή βράδυ, αφού έμαθε ότι κάτι ερχόταν στην PHP, με μια βασική εντολή για να βρει κακές ευπάθειες. Λέει ότι το κυκλοφόρησε νωρίς επειδή οι άνθρωποι ήδη υπέστησαν επίθεση. Αν προτιμάτε να το διαβάσετε αυτό παρά να με ακούσετε να το λέω, το diff φτάνει στα εισερχόμενά σας κάθε πρωί, δωρεάν στο the daily diff dot dev, σύνδεσμος παρακάτω. Έτσι η σημερινή ετυμηγορία είναι SHIP IT.

### Τι παίρνει τη σφραγίδα SHIP IT;

5:39 Στείλτε την ενημέρωση PHP απόψε, γιατί ο νέος αριθμός έκδοσης είναι η μόνη πλήρης διόρθωση. Και αυτό είναι το diff για σήμερα. Είμαι ο Νίκος από την Axrisi. Συγχωνεύστε υπεύθυνα.

## Πηγές

- [Today's PHP Security Release, and How We're Strengthening PHP Security](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/) — The PHP Foundation
- [RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w) — PHP security advisory
- [RCE via stale global state (GHSA-6wmf-4rv5-p3rp)](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp) — PHP security advisory
- [Upcoming Critical PHP Security Release](https://www.php.net/archive/2026.php) — php.net
- [php2shell](https://calif.io/php2shell/) — Calif
- [PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet](https://www.wiz.io/blog/php2shell-php-rce) — Wiz Research
- [Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot](https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/) — AWS Security Blog
- [Critical Vulnerabilities in PHP Require Immediate Patching](https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching) — CISA
- [Flaw in PHP computer language leads to shutdown of websites around world](https://www.theguardian.com/technology/2026/oct/21/flaw-in-php-computer-language-leads-to-shutdown-of-websites-around-world) — The Guardian
- [What is PHP, and how bad is the computer language flaw causing website shutdowns globally?](https://www.theguardian.com/technology/2026/oct/22/what-is-php-computer-language-flaw-causing-global-website-shutdowns) — The Guardian
- [PHP2Shell Exploitation Started Days Before Patches](https://www.securityweek.com/php2shell-exploitation-started-days-before-patches/) — SecurityWeek
- [PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619](https://www.tanium.com/blog/php2shell-responding-to-cve-2026-109618-and-cve-2026-109619) — Tanium
- [There isn't an easy exploit for this PHP vulnerability](https://eliastaylor.com/noexploit/) — Elias Taylor
- [PHP blames supply chain security biz Chainguard for putting entire web at risk](https://www.theregister.com/security/2026/10/22/php-blames-supply-chain-security-biz-chainguard-for-putting-entire-web-at-risk/5304611) — The Register
- [PHP2Shell: 22M exposed servers at risk as emergency patches released](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released) — TechTarget
- [PHP ships emergency patches for critical PHP2Shell flaws](https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/) — BleepingComputer
- [GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/) — GitLab
- [Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica case](https://www.cnbc.com/2026/10/21/meta-new-mexico-cambridge-analytica-penalty.html) — CNBC
- [Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming](https://news.ycombinator.com/item?id=50167754) — Hacker News