# PHP2Shell: dvije kritične PHP pogreške, embargo koji je procurio i što je zapravo poznato o eksploataciji

Published: 2026-10-22

PHP je objavio hitne popravke za dvije kritične ranjivosti daljinskog izvršavanja koda, CVE-2026-109618 i CVE-2026-109619, nazvane PHP2Shell. Izdanje je objavljeno 21. listopada 2026. Epizoda objašnjava dvije memorijske pogreške jednostavnim riječima, zašto je trag iz revizije iz 2024. čekao na popravak, kako je embargo procurio i koji izvori govore što o iskorištavanju. Također pokriva GitLabovo izdavanje kritične zakrpe istog dana i kaznu Meta od 25 milijardi dolara u Novom Meksiku.

Canonical: https://thedailydiff.dev/hr/video/2026-10-22-php2shell/

## Što ovaj video pokriva

- Obje pogreške PHP tim ocjenjuje 9,2 na CVSS v4.0. Popravljene verzije su PHP 8.2.35, 8.3.36, 8.4.27 i 8.5.12; PHP 7.4, 8.0 i 8.1 dobili su samo izvorne zakrpe. PHP kaže da je ažuriranje jedino potpuno ublažavanje.
- Prva pogreška proizlazi iz toga što PHP ostavlja zahtjev napola izgrađenim kada u krivom trenutku ponestane memorije. Druga proizlazi iz zaostalog pokazivača na memoriju jednog zahtjeva koju kasniji zahtjev u istom radniku može koristiti. Na Apacheu s mod\_php prvi put se pokreće prije koda aplikacije.
- PHP programer pronašao je prve znakove problema s memorijom tijekom revizije 2024. godine. PHP Foundation kaže da su konkurentni popravci imali kompromise i da se sigurnosni tim, koji se temelji na konsenzusu, mučio s odabirom, što nazivaju strukturnim propustom.
- Zaklada kaže da su CVE ID-ovi procurili 20. listopada, Calif je greškom objavio video dokaz koncepta, a Chainguard je objavio izgrađene slike s popravkom više od šest sati prije izlaska. Izvršni direktor Chainguarda kaže da su ljudi već bili pogođeni i da je samostalno pronašao pogreške.
- Izvori se ne slažu oko eksploatacije. Amazon je zabilježio pokušaj 17. listopada i kasnije rekao da je PHP2Shell široko eksploatiran. watchTowr je izvijestio o eksploataciji u divljini. CISA nije primijetila eksploataciju u vrijeme objavljivanja, a PHP tim nije pronašao funkcionalnu eksploataciju u vrijeme objave. Mnogi javni skripti dokaza koncepta navodno ne rade.
- Provjerite sva mjesta gdje se PHP pokreće, uključujući kopije unutar drugog softvera, ažurirajte, ponovno pokrenite radnike i pregledajte zapisnike unatrag do 17. listopada.

## Pitanja i odgovori

### Koje su dvije PHP2Shell ranjivosti?

PHP2Shell imenuje dvije kritične PHP pogreške, CVE-2026-109618 i CVE-2026-109619, obje ocijenjene 9.2 od strane PHP tima. Prva ostavlja zahtjev napola izgrađenim kada PHP-u u krivom trenutku ponestane memorije, a čišćenje mu tada vjeruje. Druga ostavlja pokazivač na memoriju jednog zahtjeva koju kasniji zahtjev u istom radniku može koristiti. Obje mogu dovesti do izvršavanja koda bez prijave.

### Koje PHP verzije imaju popravak za PHP2Shell, a što je s nepodržanim verzijama?

PHP projekt je 21. listopada objavio popravke u verzijama 8.2.35, 8.3.36, 8.4.27 i 8.5.12. Za verzije 7.4, 8.0 i 8.1 objavio je samo izvorne zakrpe, a BleepingComputer izvještava da distribucije i dobavljači dugoročne podrške mogu isporučiti zakrpe s povratnim portom. PHP kaže da nema potpunog zaobilaznog rješenja, pa je ažuriranje ili traženje zakrpljenog paketa od dobavljača jedini siguran izbor.

### Zašto je poznata PHP memorijska greška čekala do listopada 2026. na popravak?

PHP Foundation kaže da je core developer pronašao prve znakove problema s memorijom tijekom sigurnosne revizije 2024. godine, ali nije bio poznat put iskorištavanja i svaki kandidat za popravak imao je kompromise kao što su prekid kompatibilnosti. Sigurnosni tim odlučuje konsenzusom i mučio se s odabirom, što Zaklada naziva strukturnim neuspjehom uzrokovanim procesom odlučivanja i nedostatkom resursa.

### Je li PHP2Shell eksploatiran i koliko ga je lako eksploatirati?

Izvori se ne slažu. Amazon je zabilježio pokušaj eksploatacije 17. listopada i kasnije je rekao da je PHP2Shell široko eksploatiran, a watchTowr je izvijestio o eksploataciji u divljini. CISA nije primijetila eksploataciju u vrijeme objavljivanja, a PHP tim nije vidio funkcionalnu eksploataciju u vrijeme objavljivanja. watchTowr kaže da većina javnih skripti za eksploataciju uzrokuje pad ili ne čini ništa, a VulnCheck je otkrio da izvršavanje koda radi samo u nekim postavkama.

### Koja je bila presuda The Daily Diffa o PHP2Shellu?

Presuda The Daily Diffa bila je SHIP IT: objavite PHP ažuriranje večeras, jer je nova verzija jedini potpuni popravak. CISA kaže da se inventarizira svaki sustav koji pokreće PHP, uključujući kopije unutar drugog softvera, primijeni zakrpa i da se PHP sustavi isključe ako se ne mogu ažurirati. Amazon savjetuje pregledavanje zapisnika unatrag do 17. listopada, kada je zabilježen prvi pokušaj.

## Poglavlja

- 0:00 Tko je pokušao PHP2Shell četiri dana ranije?
- 0:41 Koje su dvije PHP2Shell pogreške?
- 1:37 Zašto je poznata pogreška čekala dvije godine?
- 1:54 Tko je pronašao PHP2Shell i kako?
- 2:20 Kako je procurio embargo za PHP2Shell?
- 2:50 Je li PHP2Shell eksploatiran i od koga?
- 3:43 Što su vlade ugasile?
- 4:11 Koje PHP verzije dobivaju popravak?
- 4:30 Što učiniti s PHP2Shell večeras?
- 4:45 Što je još danas objavilo kritičnu RCE zakrpu?
- 5:01 Zašto je Meta naređeno da plati 25 milijardi dolara?
- 5:18 Koja je Chainguardova obrana za rani popravak?
- 5:38 Što dobiva pečat SHIP IT?

## Prevedeni transkript

Prevedeno iz izvornog engleskog pripovijedanja. Dostupni zvuk i titlovi kontroliraju se putem YouTubea.

### Tko je pokušao PHP2Shell četiri dana ranije?

0:00 Sigurnosni embargo trebao bi držati grešku tajnom dok se zakrpa ne objavi. Amazon je zabilježio pokušaj kritične PHP greške četiri dana ranije. U ovom videu, tko ga je pronašao? Kako je embargo procurio? I koliko je zapravo loš? A tvrtka okrivljena za curenje ima obranu koju nisam očekivao. Doći ću do toga. Četvrtak je, dvadeset drugi listopad, i ovo je The Daily Diff.

0:21 PHP je skriptni jezik koji gradi web stranice na poslužitelju neposredno prije nego što dođu do vas. Star je više od trideset godina i, prema jednoj procjeni, pokreće oko sedamdeset posto web stranica, uključujući WordPress i softver iza Wikipedije. Programeri ga vole ismijavati, obično sa stranice koju im PHP poslužuje. Njegovo održavanje je neprofitna organizacija s oko trinaest inženjera.

### Koje su dvije PHP2Shell pogreške?

0:41 U srijedu je PHP objavio hitne popravke za dvije kritične pogreške koje dopuštaju strancu pokretanje koda na poslužitelju bez prijave. Zajedno se zovu PHP2Shell, i sežu do PHP pet točka četiri. Evo prve greške jednostavnim riječima. PHP svakom zahtjevu dodjeljuje memorijski budžet. Ako zahtjev dostigne tu granicu u točno krivom trenutku, PHP se brzo isključi i ostavi zahtjev napola izgrađenim. Tada korak čišćenja vjeruje napola izgrađenoj stvari.

1:07 Druga greška je ostatak. Fatalna pogreška može ostaviti bilješku koja ukazuje na memoriju koja je pripadala prošlom zahtjevu. Isti radnik obrađuje sljedeći zahtjev i slijedi bilješku. Do tada netko drugi živi na toj adresi. Na Apacheu s mod PHP-om, šteta se događa prije nego što se vaš kod pokrene, tako da vaša stranica za prijavu nikada ne dobije glas. Wiz kaže da je čak i skripta "hello world" izložena. Popravak uklanja PHP-ov hitni izlaz zbog nedostatka memorije.

1:32 Umjesto da se isključi usred zahtjeva, PHP sada pristojno staje na sljedećoj sigurnoj točki. Čudno je koliko je star prvi trag.

### Zašto je poznata pogreška čekala dvije godine?

1:39 Godine 2024., vanjska sigurnosna revizija dovela je PHP core developera do prvih znakova problema s memorijom. Nije bila poznata eksploatacija, a svaki popravak nešto je pokvario. Tim koji odlučuje konsenzusom nije se mogao odlučiti, pa je greška čekala. Zatim su u kolovozu, pronalazači stigli u roku od nekoliko dana.

### Tko je pronašao PHP2Shell i kako?

1:56 Ryan Austin, istraživač iz Califa, pronašao ju je prvog kolovoza, radeći kroz OpenAI-jev program Patch the Planet. OpenAI je neovisno izvijestio o istom korijenskom uzroku. Wiz je pronašao varijante nekoliko tjedana kasnije s Gemini i GPT modelima. Austin kaže da je koristio modele koje svatko može dobiti, plus teoriju o tome gdje se skrivaju PHP-ove stare greške. OpenAI kaže da je ključ bio granična umjetna inteligencija. Greška se skrivala više od desetljeća. Objavljivanje je bilo planirano za četvrtak.

### Kako je procurio embargo za PHP2Shell?

2:21 U utorak su se dva CVE broja počela širiti internetom, s pogrešnim vremenom objave i pogrešnom ocjenom od deset. PHP je objavljivanje pomaknuo za dan ranije. Te večeri, Calif je slučajno objavio video svog dokaza koncepta koji radi, a kopije su preživjele brisanje. U srijedu ujutro, više od šest sati prije objavljivanja, Chainguard je objavio izgrađene slike koje sadrže popravak. PHP kaže da je svaki napadač mogao proučavati taj popravak dok su svi ostali čekali.

2:46 Zakrpa je također diff, a napadači čitaju diffove.

### Je li PHP2Shell eksploatiran i od koga?

2:50 Dakle, tko je zapravo pogođen? Amazonov honeypot zabilježio je pokušaj 17. listopada i kasnije rekao da je PHP2Shell široko eksploatiran. watchTowr izvještava o eksploataciji u divljini. CISA je rekla da nije primijetila nikakvu eksploataciju kada je objavljena, a PHP tim nije vidio funkcionalnu eksploataciju u vrijeme objavljivanja. Izvršni direktor Cloudflarea rekao je da su vidjeli tisuće pokušaja u deset sati prije objave, i milijune do četvrtka ujutro.

3:13 Amazon je oprezan u jednoj točki. Ne zna bi li njegovi najraniji pokušaji uspjeli na stvarnom sustavu. Pokušaj je samo kucanje na vrata. Dakle, koliko je to zapravo loše? watchTowr kaže da javne eksploatacije koje kruže uglavnom uzrokuju pad ili ne čine ništa. VulnCheck kaže da izvršavanje koda radi u nekim postavkama, a nijedan od javnih ne pobjeđuje memorijsku randomizaciju na standardnim x86 poslužiteljima. Istraživač Elias Taylor kaže da nije ni približno tako jednostavno kao Log4Shell.

3:40 Svi još uvijek kažu zakrpa. Vlade nisu čekale presudu.

### Što su vlade ugasile?

3:44 NSA je organizacijama koje nisu mogle zakrpati rekla da isključe PHP sustave, a britanski Nacionalni centar za kibernetičku sigurnost dao je sličan savjet. Nizozemske stranice, uključujući nacionalnu uslugu digitalnog identiteta, ugašene su, zajedno sa stranicom pariške policije. Wikimedia je iz predostrožnosti ugasila nekoliko sustava. Palo Alto Networks prebrojao je više od dvadeset i dva milijuna izloženih instanci. A australski profesor je iznio najoštriju poantu. Stranice zbog kojih se treba brinuti su one koje danas nisu ugašene.

### Koje PHP verzije dobivaju popravak?

4:11 Popravci postoje za PHP osam točka dva do osam točka pet. Za sedam točka četiri, osam točka nula i osam točka jedan, PHP je objavio samo izvorne zakrpe. Starije verzije ne dobivaju ništa od PHP projekta, pa pitajte svoju distribuciju. Rješenja smanjuju šanse, ali PHP kaže da je ažuriranje jedino potpuno rješenje. To je ista lekcija kao i jučerašnja eMudhra epizoda,

### Što učiniti s PHP2Shell večeras?

4:32 jer postojanje popravka nije isto što i pokrenuti proces koji ga ima. Pronađite svaki PHP u svom stacku, čak i kopije skrivene unutar drugog softvera. Ažurirajte, ponovno pokrenite radnike i provjerite logove unatrag do sedamnaestog listopada. Istog dana, GitLab je objavio kritičnu zakrpu,

### Što je još danas objavilo kritičnu RCE zakrpu?

4:47 devetnaest točka pet točka jedan. Prelijevanje cijelog broja u njegovom kompilatoru regularnih izraza omogućuje neautenticiranom korisniku pokretanje koda na poslužitelju, a ocjenjuje se deset od deset. GitLab.com je već zakrpljen. Samostalno instalirane instance trebaju ažuriranje.

### Zašto je Meta naređeno da plati 25 milijardi dolara?

5:01 U međuvremenu u Novom Meksiku, sudac je naredio Meti da plati dvadeset i pet milijardi dolara kazne zbog Cambridge Analytice. Porota je prebrojala više od četrdeset i tri milijuna prekršaja po pet tisuća dolara svaki, što je iznosilo oko dvjesto dvadeset milijardi prije nego što ga je sudac smanjio. Meta kaže da će pobijediti na žalbi. Sada obrana koju sam obećao.

### Koja je Chainguardova obrana za rani popravak?

5:19 Izvršni direktor Chainguarda rekao je The Registeru da je sam pronašao iste greške u petak navečer, nakon što je saznao da nešto dolazi u PHP, s osnovnim upitom da pronađe loše ranjivosti. Kaže da je rano objavio jer su ljudi već bili pogođeni. Ako radije čitate ovo nego da me čujete kako to govorim, diff stiže u vaš inbox svako jutro, besplatno na the daily diff dot dev, link ispod. Dakle, današnja presuda je SHIP IT.

### Što dobiva pečat SHIP IT?

5:39 Objavite PHP ažuriranje večeras, jer je novi broj verzije jedini potpuni popravak. I to je diff za danas. Ja sam Niko iz Axrisija. Spajajte odgovorno.

## Izvori

- [Today's PHP Security Release, and How We're Strengthening PHP Security](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/) — The PHP Foundation
- [RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w) — PHP security advisory
- [RCE via stale global state (GHSA-6wmf-4rv5-p3rp)](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp) — PHP security advisory
- [Upcoming Critical PHP Security Release](https://www.php.net/archive/2026.php) — php.net
- [php2shell](https://calif.io/php2shell/) — Calif
- [PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet](https://www.wiz.io/blog/php2shell-php-rce) — Wiz Research
- [Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot](https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/) — AWS Security Blog
- [Critical Vulnerabilities in PHP Require Immediate Patching](https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching) — CISA
- [Flaw in PHP computer language leads to shutdown of websites around world](https://www.theguardian.com/technology/2026/oct/21/flaw-in-php-computer-language-leads-to-shutdown-of-websites-around-world) — The Guardian
- [What is PHP, and how bad is the computer language flaw causing website shutdowns globally?](https://www.theguardian.com/technology/2026/oct/22/what-is-php-computer-language-flaw-causing-global-website-shutdowns) — The Guardian
- [PHP2Shell Exploitation Started Days Before Patches](https://www.securityweek.com/php2shell-exploitation-started-days-before-patches/) — SecurityWeek
- [PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619](https://www.tanium.com/blog/php2shell-responding-to-cve-2026-109618-and-cve-2026-109619) — Tanium
- [There isn't an easy exploit for this PHP vulnerability](https://eliastaylor.com/noexploit/) — Elias Taylor
- [PHP blames supply chain security biz Chainguard for putting entire web at risk](https://www.theregister.com/security/2026/10/22/php-blames-supply-chain-security-biz-chainguard-for-putting-entire-web-at-risk/5304611) — The Register
- [PHP2Shell: 22M exposed servers at risk as emergency patches released](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released) — TechTarget
- [PHP ships emergency patches for critical PHP2Shell flaws](https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/) — BleepingComputer
- [GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/) — GitLab
- [Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica case](https://www.cnbc.com/2026/10/21/meta-new-mexico-cambridge-analytica-penalty.html) — CNBC
- [Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming](https://news.ycombinator.com/item?id=50167754) — Hacker News