# PHP2Shell: ចំណុចខ្សោយ PHP សំខាន់ពីរ ការបែកធ្លាយការហាមឃាត់ និងអ្វីដែលគេដឹងអំពីការទាញយកផលប្រយោជន៍ Published: 2026-10-22 PHP បានចេញផ្សាយការជួសជុលបន្ទាន់សម្រាប់កំហុសប្រតិបត្តិកូដពីចម្ងាយសំខាន់ពីរ គឺ CVE-2026-109618 និង CVE-2026-109619 ដែលត្រូវបានគេហៅថា PHP2Shell។ ការចេញផ្សាយនេះបានធ្វើឡើងនៅថ្ងៃទី 21 ខែតុលា ឆ្នាំ 2026។ វគ្គនេះពន្យល់អំពីកំហុសអង្គចងចាំទាំងពីរនេះជាពាក្យងាយៗ ហេតុអ្វីបានជាព័ត៌មានពីការត្រួតពិនិត្យឆ្នាំ 2024 រង់ចាំការជួសជុល របៀបដែលការហាមឃាត់បានលេចធ្លាយ និងប្រភពណាខ្លះបាននិយាយអ្វីអំពីការវាយប្រហារ។ វាក៏គ្របដណ្តប់លើការចេញផ្សាយបំណះសំខាន់របស់ GitLab នៅថ្ងៃតែមួយ និងការបញ្ជាទណ្ឌកម្ម Meta ចំនួន 25 ពាន់លានដុល្លារនៅ New Mexico ផងដែរ។ Canonical: https://thedailydiff.dev/km/video/2026-10-22-php2shell/ ## អ្វីដែលវីដេអូនេះគ្របដណ្ដប់ - ចំណុចខ្សោយទាំងពីរត្រូវបានវាយតម្លៃ 9.2 លើ CVSS v4.0 ដោយក្រុម PHP។ កំណែដែលបានជួសជុលគឺ PHP 8.2.35, 8.3.36, 8.4.27 និង 8.5.12; PHP 7.4, 8.0 និង 8.1 ទទួលបានបំណះប្រភពតែប៉ុណ្ណោះ។ PHP និយាយថាការអាប់ដេតគឺជាការកាត់បន្ថយទាំងស្រុងតែមួយគត់។ - ចំណុចខ្សោយទីមួយកើតចេញពី PHP ដែលទុកសំណើមិនទាន់បានបញ្ចប់នៅពេលដែលវាអស់អង្គចងចាំនៅពេលខុស។ ទីពីរមកពី pointer ដែលនៅសេសសល់ទៅកាន់អង្គចងចាំនៃសំណើមួយ ដែលសំណើក្រោយៗទៀតនៅក្នុង worker តែមួយអាចប្រើប្រាស់បាន។ នៅលើ Apache ជាមួយ mod\_php ផ្លូវទីមួយដំណើរការមុនលេខកូដកម្មវិធី។ - អ្នកអភិវឌ្ឍន៍ស្នូល PHP ម្នាក់បានរកឃើញសញ្ញាដំបូងនៃបញ្ហាអង្គចងចាំក្នុងអំឡុងពេលត្រួតពិនិត្យឆ្នាំ 2024។ មូលនិធិ PHP និយាយថាការជួសជុលដែលប្រកួតប្រជែងគ្នាមានការផ្លាស់ប្តូរ ហើយក្រុមសុវត្ថិភាពផ្អែកលើការយល់ស្របបានតស៊ូដើម្បីជ្រើសរើស ដែលវាហៅថាការបរាជ័យរចនាសម្ព័ន្ធ។ - មូលនិធិនិយាយថា CVE ID បានបែកធ្លាយនៅថ្ងៃទី 20 ខែតុលា Calif បានបោះពុម្ពវីដេអូបង្ហាញពីគំរូដើមដោយច្រឡំ ហើយ Chainguard បានបោះពុម្ពរូបភាពដែលបានបង្កើតឡើងជាមួយនឹងការជួសជុលជាងប្រាំមួយម៉ោងមុនការចេញផ្សាយ។ នាយកប្រតិបត្តិរបស់ Chainguard និយាយថាប្រជាជនត្រូវបានរងផលប៉ះពាល់រួចហើយ ហើយថាគាត់បានរកឃើញកំហុសដោយឯករាជ្យ។ - ប្រភពមិនយល់ស្របលើការទាញយកផលប្រយោជន៍ទេ។ Amazon បានកត់ត្រាការប៉ុនប៉ងមួយនៅថ្ងៃទី 17 ខែតុលា ហើយក្រោយមកបាននិយាយថា PHP2Shell ត្រូវបានទាញយកផលប្រយោជន៍យ៉ាងទូលំទូលាយ។ watchTowr បានរាយការណ៍ពីការទាញយកផលប្រយោជន៍នៅក្នុងធម្មជាតិ។ CISA មិនទាន់បានសង្កេតឃើញការទាញយកផលប្រយោជន៍នៅពេលបោះពុម្ពផ្សាយ ហើយក្រុម PHP មិនបានរកឃើញការទាញយកផលប្រយោជន៍ដែលដំណើរការនៅពេលចេញផ្សាយទេ។ ស្គ្រីបបង្ហាញពីគំរូដើមសាធារណៈជាច្រើនត្រូវបានគេរាយការណ៍ថាមិនដំណើរការ។ - ពិនិត្យមើលគ្រប់ទីកន្លែងដែល PHP ដំណើរការ រួមទាំងច្បាប់ចម្លងនៅខាងក្នុងកម្មវិធីផ្សេងទៀត អាប់ដេត ចាប់ផ្តើម worker ឡើងវិញ និងពិនិត្យមើលកំណត់ហេតុត្រឡប់ទៅថ្ងៃទី 17 ខែតុលា។ ## សំណួរ និងចម្លើយ ### តើចំណុចខ្សោយ PHP2Shell ទាំងពីរជាអ្វី? PHP2Shell ដាក់ឈ្មោះចំណុចខ្សោយ PHP សំខាន់ពីរគឺ CVE-2026-109618 និង CVE-2026-109619 ដែលទាំងពីរត្រូវបានវាយតម្លៃ 9.2 ដោយក្រុម PHP។ ទីមួយទុកសំណើមិនទាន់បានបញ្ចប់នៅពេលដែល PHP អស់អង្គចងចាំនៅពេលខុស ហើយការសម្អាតបន្ទាប់មកជឿទុកចិត្តវា។ ទីពីរទុក pointer ទៅកាន់អង្គចងចាំនៃសំណើមួយដែលសំណើក្រោយៗទៀតនៅក្នុង worker តែមួយអាចប្រើប្រាស់បាន។ ទាំងពីរអាចនាំឱ្យមានការប្រតិបត្តិលេខកូដដោយគ្មានការចូល។ ### តើ PHP កំណែណាខ្លះដែលមានការជួសជុលសម្រាប់ PHP2Shell ហើយចុះកំណែដែលមិនត្រូវបានគាំទ្រវិញ? គម្រោង PHP បានចេញផ្សាយការជួសជុលនៅក្នុង 8.2.35, 8.3.36, 8.4.27 និង 8.5.12 នៅថ្ងៃទី 21 ខែតុលា។ សម្រាប់ 7.4, 8.0 និង 8.1 វាបានបោះពុម្ពបំណះប្រភពតែប៉ុណ្ណោះ ហើយ BleepingComputer រាយការណ៍ថាការចែកចាយ និងអ្នកលក់ការគាំទ្ររយៈពេលវែងអាចផ្គត់ផ្គង់ការជួសជុលដែលបាន backport ។ PHP និយាយថាមិនមានដំណោះស្រាយពេញលេញទេ ដូច្នេះការអាប់ដេត ឬការសុំអ្នកលក់សម្រាប់កញ្ចប់ដែលបានបំណះគឺជាជម្រើសសុវត្ថិភាពតែមួយគត់។ ### ហេតុអ្វីបានជាកំហុសអង្គចងចាំ PHP ដែលគេស្គាល់ត្រូវការរហូតដល់ខែតុលា ឆ្នាំ 2026 ដើម្បីជួសជុល? មូលនិធិ PHP និយាយថាអ្នកអភិវឌ្ឍន៍ស្នូលម្នាក់បានរកឃើញសញ្ញាដំបូងនៃបញ្ហាអង្គចងចាំក្នុងអំឡុងពេលត្រួតពិនិត្យសុវត្ថិភាពឆ្នាំ 2024 ប៉ុន្តែមិនមានផ្លូវទាញយកផលប្រយោជន៍ត្រូវបានគេដឹងទេ ហើយរាល់ការជួសជុលបេក្ខជនមានការផ្លាស់ប្តូរដូចជាការបែកបាក់ភាពឆបគ្នា។ ក្រុមសុវត្ថិភាពសម្រេចចិត្តដោយការយល់ស្រប ហើយតស៊ូដើម្បីជ្រើសរើស ដែលមូលនិធិហៅថាការបរាជ័យរចនាសម្ព័ន្ធដែលបណ្តាលមកពីដំណើរការសម្រេចចិត្ត និងកង្វះធនធាន។ ### តើ PHP2Shell កំពុងត្រូវបានទាញយកផលប្រយោជន៍ហើយឬនៅ ហើយតើវាងាយស្រួលប៉ុណ្ណាក្នុងការទាញយកផលប្រយោជន៍? ប្រភពមិនយល់ស្រប។ Amazon បានកត់ត្រាការប៉ុនប៉ងទាញយកផលប្រយោជន៍នៅថ្ងៃទី 17 ខែតុលា ហើយក្រោយមកបាននិយាយថា PHP2Shell ត្រូវបានទាញយកផលប្រយោជន៍យ៉ាងទូលំទូលាយ ហើយ watchTowr បានរាយការណ៍ពីការទាញយកផលប្រយោជន៍នៅក្នុងធម្មជាតិ។ CISA មិនទាន់បានសង្កេតឃើញការទាញយកផលប្រយោជន៍នៅពេលបោះពុម្ពផ្សាយ ហើយក្រុម PHP មិនបានឃើញការទាញយកផលប្រយោជន៍ដែលដំណើរការនៅពេលចេញផ្សាយទេ។ watchTowr និយាយថាស្គ្រីបទាញយកផលប្រយោជន៍សាធារណៈភាគច្រើនគាំង ឬមិនធ្វើអ្វីទាំងអស់ ហើយ VulnCheck បានរកឃើញថាការប្រតិបត្តិលេខកូដដំណើរការតែនៅក្នុងការរៀបចំមួយចំនួនប៉ុណ្ណោះ។ ### តើសាលក្រមរបស់ The Daily Diff ចំពោះ PHP2Shell ជាអ្វី? សាលក្រមរបស់ The Daily Diff គឺ SHIP IT: ចេញផ្សាយការអាប់ដេត PHP យប់នេះ ព្រោះកំណែថ្មីគឺជាការជួសជុលពេញលេញតែមួយគត់។ CISA និយាយថាត្រូវរាប់ប្រព័ន្ធទាំងអស់ដែលដំណើរការ PHP រួមទាំងច្បាប់ចម្លងនៅខាងក្នុងកម្មវិធីផ្សេងទៀត អនុវត្តបំណះ ហើយបិទប្រព័ន្ធ PHP ក្រៅបណ្តាញប្រសិនបើមិនអាចអាប់ដេតបាន។ Amazon ណែនាំឱ្យពិនិត្យមើលកំណត់ហេតុត្រឡប់ទៅថ្ងៃទី 17 ខែតុលា នៅពេលដែលវាបានឃើញការប៉ុនប៉ងដំបូង។ ## ជំពូក - 0:00 តើនរណាបានព្យាយាម PHP2Shell បួនថ្ងៃមុន? - 0:41 តើកំហុស PHP2Shell ទាំងពីរជាអ្វី? - 1:37 ហេតុអ្វីបានជាកំហុសដែលគេស្គាល់រង់ចាំពីរឆ្នាំ? - 1:54 តើនរណាបានរកឃើញ PHP2Shell និងដោយរបៀបណា? - 2:20 តើការហាមឃាត់ PHP2Shell បានបែកធ្លាយដោយរបៀបណា? - 2:50 តើ PHP2Shell កំពុងត្រូវបានទាញយកផលប្រយោជន៍ហើយឬនៅ និងដោយនរណា? - 3:43 តើរដ្ឋាភិបាលបានបិទអ្វីខ្លះ? - 4:11 តើ PHP កំណែណាខ្លះដែលទទួលបានការជួសជុល? - 4:30 តើអ្នកធ្វើអ្វីខ្លះអំពី PHP2Shell យប់នេះ? - 4:45 តើមានអ្វីទៀតដែលបានចេញផ្សាយបំណះ RCE សំខាន់នៅថ្ងៃនេះ? - 5:01 ហេតុអ្វីបានជា Meta ត្រូវបានបញ្ជាឱ្យបង់ប្រាក់ 25 ពាន់លានដុល្លារ? - 5:18 តើការការពាររបស់ Chainguard ចំពោះការជួសជុលដំបូងគឺជាអ្វី? - 5:38 តើអ្វីដែលទទួលបានត្រា SHIP IT? ## កំណត់ត្រាដែលបានបកប្រែ បកប្រែចេញពីការនិទានដើមជាភាសាអង់គ្លេស។ សំឡេង និងចំណងជើងរងដែលមានគឺស្ថិតនៅក្រោមការគ្រប់គ្រងរបស់ YouTube។ ### តើនរណាបានព្យាយាម PHP2Shell បួនថ្ងៃមុន? 0:00 ការហាមឃាត់សុវត្ថិភាពត្រូវបានសន្មត់ថាធ្វើឱ្យកំហុសនៅស្ងៀមរហូតដល់បំណះចេញផ្សាយ។ Amazon បានកត់ត្រាការប៉ុនប៉ងប្រឆាំងនឹងកំហុសសំខាន់របស់ PHP បួនថ្ងៃមុន។ នៅក្នុងវីដេអូនេះ តើនរណាបានរកឃើញវា? តើការហាមឃាត់បានបែកធ្លាយដោយរបៀបណា? ហើយតើវាអាក្រក់ប៉ុណ្ណាដែរ? ហើយក្រុមហ៊ុនដែលត្រូវបានស្តីបន្ទោសចំពោះការបែកធ្លាយមានការការពារដែលខ្ញុំមិនបានរំពឹងទុក។ ខ្ញុំនឹងទៅដល់វា។ វាគឺថ្ងៃព្រហស្បតិ៍ ទីម្ភៃពីរ ខែតុលា ហើយនេះគឺជា The Daily Diff។ 0:21 PHP គឺជាភាសាស្គ្រីបដែលបង្កើតទំព័រគេហទំព័រនៅលើ server មុនពេលដែលវា ទៅដល់អ្នក។ វាមានអាយុជាងសាមសិបឆ្នាំហើយ តាមការប៉ាន់ស្មានមួយ ដំណើរការប្រហែលចិតសិបភាគរយនៃគេហទំព័រ រួមទាំង WordPress និងកម្មវិធី នៅពីក្រោយ Wikipedia។ អ្នកអភិវឌ្ឍន៍ចូលចិត្តចំអកវា ជាធម្មតាពីទំព័រដែល PHP កំពុងបម្រើ ពួកគេ។ ការថែទាំរបស់វាគឺជាអង្គការមិនរកប្រាក់ចំណេញដែលមានវិស្វករប្រហែលដប់បីនាក់។ ### តើកំហុស PHP2Shell ទាំងពីរជាអ្វី? 0:41 នៅថ្ងៃពុធ PHP បានចេញផ្សាយការជួសជុលជាបន្ទាន់សម្រាប់ចំណុចខ្សោយសំខាន់ពីរដែលអនុញ្ញាតឱ្យ ជនបរទេសដំណើរការលេខកូដនៅលើ server ដោយគ្មានការចូល។ ពួកគេត្រូវបានគេហៅថា PHP2Shell ហើយពួកគេមានតាំងពី PHP ប្រាំ ចំណុចបួន។ នេះគឺជាកំហុសដំបូងជាភាសាធម្មតា។ PHP ផ្តល់ឱ្យគ្រប់សំណើនូវថវិកាអង្គចងចាំ។ ប្រសិនបើសំណើឈានដល់ដែនកំណត់នោះនៅពេលខុស PHP បរាជ័យក្នុងភាពប្រញាប់ប្រញាល់ហើយទុកសំណើមិនទាន់បានបញ្ចប់។ បន្ទាប់មកជំហានសម្អាតជឿទុកចិត្តលើអ្វីដែលមិនទាន់បានបញ្ចប់។ 1:07 កំហុសទីពីរគឺជាអ្វីដែលនៅសេសសល់។ កំហុសធ្ងន់ធ្ងរអាចបន្សល់ទុកកំណត់ចំណាំដែលចង្អុលទៅអង្គចងចាំដែលជាកម្មសិទ្ធិរបស់ សំណើចុងក្រោយ។ worker តែមួយដោះស្រាយសំណើបន្ទាប់ហើយធ្វើតាមកំណត់ចំណាំ។ នៅពេលនោះមាននរណាម្នាក់ផ្សេងទៀតរស់នៅអាសយដ្ឋាននោះ។ នៅលើ Apache ជាមួយ mod PHP ការខូចខាតកើតឡើងមុនពេលលេខកូដរបស់អ្នកដំណើរការ ដូច្នេះទំព័រចូលរបស់អ្នកមិនដែលទទួលបានសម្លេងទេ។ Wiz និយាយថា សូម្បីតែស្គ្រីប hello world ក៏ត្រូវបានលាតត្រដាងដែរ។ ការជួសជុលលុបចោលការចេញបន្ទាន់របស់ PHP ចំពោះការអស់អង្គចងចាំ។ 1:32 ជំនួសឱ្យការបរាជ័យពាក់កណ្តាលសំណើ PHP ឥឡូវនេះឈប់ដោយគួរសមនៅចំណុចសុវត្ថិភាពបន្ទាប់។ ផ្នែកចម្លែកគឺថាតើតម្រុយដំបូងមានអាយុប៉ុន្មាន។ ### ហេតុអ្វីបានជាកំហុសដែលគេស្គាល់រង់ចាំពីរឆ្នាំ? 1:39 ក្នុងឆ្នាំ 2024 ការត្រួតពិនិត្យសុវត្ថិភាពខាងក្រៅបាននាំអ្នកអភិវឌ្ឍន៍ស្នូល PHP ទៅកាន់ សញ្ញាដំបូងនៃបញ្ហាអង្គចងចាំ។ មិនមានការទាញយកផលប្រយោជន៍ត្រូវបានគេដឹងទេ ហើយរាល់ការជួសជុលបានធ្វើឱ្យខូចអ្វីមួយ។ ក្រុមដែលសម្រេចចិត្តដោយការយល់ស្របមិនអាចជ្រើសរើសបាន ដូច្នេះកំហុសបានរង់ចាំ។ បន្ទាប់មកនៅខែសីហា អ្នកស្វែងរកបានមកដល់ក្នុងរយៈពេលប៉ុន្មានថ្ងៃ។ ### តើនរណាបានរកឃើញ PHP2Shell និងដោយរបៀបណា? 1:56 អ្នកស្រាវជ្រាវ Calif លោក Ryan Austin បានរកឃើញវានៅថ្ងៃទី 1 ខែសីហា ធ្វើការតាមរយៈកម្មវិធី Patch the Planet របស់ OpenAI។ OpenAI បានរាយការណ៍ពីមូលហេតុឫសគល់ដូចគ្នាដោយឯករាជ្យ។ Wiz បានរកឃើញប្រភេទផ្សេងៗគ្នាប៉ុន្មានសប្តាហ៍ក្រោយមកជាមួយម៉ូដែល Gemini និង GPT។ Austin និយាយថាគាត់បានប្រើម៉ូដែលដែលអ្នកណាក៏អាចទទួលបាន រួមជាមួយនឹងទ្រឹស្តីអំពីកន្លែងដែលកំហុសចាស់របស់ PHP លាក់ខ្លួន។ OpenAI និយាយថា AI ជឿនលឿនគឺជាគន្លឹះ។ កំហុសបានលាក់ខ្លួនអស់រយៈពេលជាងមួយទសវត្សរ៍។ ការចេញផ្សាយត្រូវបានគ្រោងទុកសម្រាប់ថ្ងៃព្រហស្បតិ៍។ ### តើការហាមឃាត់ PHP2Shell បានបែកធ្លាយដោយរបៀបណា? 2:21 នៅថ្ងៃអង្គារ លេខ CVE ទាំងពីរបានចាប់ផ្តើមផ្សព្វផ្សាយតាមអ៊ីនធឺណិត ជាមួយនឹងពេលវេលាចេញផ្សាយខុស និងពិន្ទុខុសនៃដប់។ PHP បានទាញការចេញផ្សាយទៅមុខមួយថ្ងៃ។ ល្ងាចនោះ Calif បានបោះពុម្ពវីដេអូនៃគំរូដើមរបស់ខ្លួនដោយចៃដន្យ ដំណើរការ ហើយច្បាប់ចម្លងបានរស់រានមានជីវិតពីការលុបបំបាត់។ នៅព្រឹកថ្ងៃពុធ ជាងប្រាំមួយម៉ោងមុនការចេញផ្សាយ Chainguard បានបោះពុម្ពរូបភាពដែលបានបង្កើតឡើងដែលមានការជួសជុល។ PHP និយាយថា ជនវាយប្រហារណាម្នាក់អាចសិក្សាការជួសជុលនោះ ខណៈពេលដែលអ្នកផ្សេងទៀតរង់ចាំ។ 2:46 បំណះក៏ជា diff មួយដែរ ហើយអ្នកវាយប្រហារអាន diffs។ ### តើ PHP2Shell កំពុងត្រូវបានទាញយកផលប្រយោជន៍ហើយឬនៅ និងដោយនរណា? 2:50 ដូច្នេះ តើនរណាពិតជាត្រូវបានរងផលប៉ះពាល់? honeypot របស់ Amazon បានកត់ត្រាការប៉ុនប៉ងមួយនៅថ្ងៃទី 17 ខែតុលា ហើយក្រោយមកបាននិយាយថា PHP2Shell ត្រូវបានទាញយកផលប្រយោជន៍យ៉ាងទូលំទូលាយ។ watchTowr រាយការណ៍ពីការទាញយកផលប្រយោជន៍នៅក្នុងធម្មជាតិ។ Cisa បាននិយាយថាខ្លួនមិនបានសង្កេតឃើញអ្វីទេនៅពេលបោះពុម្ពផ្សាយ ហើយក្រុម PHP មិនបានឃើញ ការទាញយកផលប្រយោជន៍ដែលដំណើរការនៅពេលចេញផ្សាយ។ នាយកប្រតិបត្តិរបស់ Cloudflare បាននិយាយថាខ្លួនបានឃើញការប៉ុនប៉ងរាប់ពាន់ដងក្នុងរយៈពេលដប់ម៉ោងមុន សេចក្តីប្រកាស និងរាប់លានដងនៅព្រឹកថ្ងៃព្រហស្បតិ៍។ 3:13 Amazon មានការប្រុងប្រយ័ត្នលើចំណុចមួយ។ វាមិនដឹងថាការប៉ុនប៉ងដំបូងបំផុតរបស់វានឹងដំណើរការលើប្រព័ន្ធពិតប្រាកដឬអត់នោះទេ។ ការប៉ុនប៉ងគ្រាន់តែជាការគោះទ្វារប៉ុណ្ណោះ។ ដូច្នេះ តើវាអាក្រក់ប៉ុណ្ណាដែរ? watchTowr និយាយថា ការទាញយកផលប្រយោជន៍សាធារណៈដែលកំពុងរីករាលដាលភាគច្រើនគាំង ឬមិនធ្វើអ្វីទាំងអស់។ VulnCheck និយាយថា ការប្រតិបត្តិលេខកូដដំណើរការនៅក្នុងការរៀបចំមួយចំនួន ហើយគ្មាននរណាម្នាក់ក្នុងចំណោមការ សាធារណៈទាំងនោះវាយលុកការ randomization អង្គចងចាំនៅលើ server x86 ស្តង់ដារនោះទេ។ អ្នកស្រាវជ្រាវ Elias Taylor និយាយថា វាមិនងាយស្រួលដូច Log4Shell នោះទេ។ 3:40 អ្នករាល់គ្នានៅតែនិយាយថាបំណះ។ រដ្ឋាភិបាលមិនបានរង់ចាំសាលក្រមនោះទេ។ ### តើរដ្ឋាភិបាលបានបិទអ្វីខ្លះ? 3:44 NSA បានប្រាប់អង្គការនានាដែលមិនអាចបំណះបានឱ្យបិទប្រព័ន្ធ PHP ក្រៅបណ្តាញ ហើយមជ្ឈមណ្ឌលសន្តិសុខតាមអ៊ីនធឺណិតជាតិរបស់ចក្រភពអង់គ្លេសបានផ្តល់ដំបូន្មានស្រដៀងគ្នា។ គេហទំព័រហូឡង់ រួមទាំងសេវាអត្តសញ្ញាណឌីជីថលជាតិ បានងងឹត រួមជាមួយគេហទំព័រប៉ូលីសប៉ារីស។ Wikimedia បានបិទប្រព័ន្ធជាច្រើនជាការប្រុងប្រយ័ត្ន។ Palo Alto Networks បានរាប់ករណីដែលត្រូវបានលាតត្រដាងជាងម្ភៃពីរលាន។ ហើយសាស្រ្តាចារ្យអូស្ត្រាលីម្នាក់បានលើកឡើងនូវចំណុចសំខាន់បំផុត។ គេហទំព័រដែលត្រូវព្រួយបារម្ភគឺគេហទំព័រដែលមិនបានបិទថ្ងៃនេះ។ ### តើ PHP កំណែណាខ្លះដែលទទួលបានការជួសជុល? 4:11 ការជួសជុលមានសម្រាប់ PHP ប្រាំបីចំណុចពីរ ដល់ប្រាំបីចំណុចប្រាំ។ សម្រាប់ប្រាំពីរចំណុចបួន ប្រាំបីចំណុចសូន្យ និងប្រាំបីចំណុចមួយ PHP បានបោះពុម្ពបំណះប្រភពតែប៉ុណ្ណោះ។ កំណែចាស់ៗមិនទទួលបានអ្វីពីគម្រោង PHP ទេ ដូច្នេះសូមសួរការចែកចាយរបស់អ្នក។ ដំណោះស្រាយកាត់បន្ថយឱកាស ប៉ុន្តែ PHP និយាយថាការអាប់ដេតគឺជាការ ជួសជុលពេញលេញតែមួយគត់។ វាគឺជាមេរៀនដូចវគ្គ eMudhra កាលពីម្សិលមិញ ### តើអ្នកធ្វើអ្វីខ្លះអំពី PHP2Shell យប់នេះ? 4:32 ព្រោះការជួសជុលដែលមានស្រាប់មិនដូចដំណើរការដែលកំពុងដំណើរការដែលមានវានោះទេ។ ស្វែងរក PHP ទាំងអស់នៅក្នុង stack របស់អ្នក សូម្បីតែច្បាប់ចម្លងដែលលាក់នៅខាងក្នុងកម្មវិធីផ្សេងទៀតក៏ដោយ។ អាប់ដេត ចាប់ផ្តើម worker ឡើងវិញ និងពិនិត្យមើលកំណត់ហេតុត្រឡប់ទៅថ្ងៃទី 17 ខែតុលា។ នៅថ្ងៃដដែល GitLab បានចេញផ្សាយបំណះសំខាន់ ### តើមានអ្វីទៀតដែលបានចេញផ្សាយបំណះ RCE សំខាន់នៅថ្ងៃនេះ? 4:47 ដប់ប្រាំបួនចំណុចប្រាំចំណុចមួយ។ ការហៀរចំនួនគត់នៅក្នុង regular expression compiler អនុញ្ញាតឱ្យអ្នកប្រើដែលមិនបានផ្ទៀងផ្ទាត់ ដំណើរការលេខកូដនៅលើ server ហើយវាទទួលបានពិន្ទុដប់ក្នុងចំណោមដប់។ GitLab dot com ត្រូវបានបំណះរួចហើយ។ ការដំឡើងដែលគ្រប់គ្រងដោយខ្លួនឯងត្រូវការការអាប់ដេត។ ### ហេតុអ្វីបានជា Meta ត្រូវបានបញ្ជាឱ្យបង់ប្រាក់ 25 ពាន់លានដុល្លារ? 5:01 ទន្ទឹមនឹងនេះនៅ New Mexico ចៅក្រមម្នាក់បានបញ្ជាឱ្យ Meta បង់ប្រាក់ម្ភៃប្រាំពាន់លានដុល្លារ ជាការផាកពិន័យលើ Cambridge Analytica។ គណៈវិនិច្ឆ័យបានរាប់ការបំពានជាងសែសិបបីលានករណី ដែលមានតម្លៃរហូតដល់ប្រាំពាន់ ដុល្លារក្នុងមួយករណី ដែលមានប្រហែលពីររយម្ភៃពាន់លានមុនពេលចៅក្រម កាត់បន្ថយវា។ Meta និយាយថាខ្លួននឹងឈ្នះលើបណ្តឹងឧទ្ធរណ៍។ ឥឡូវនេះ ការការពារដែលខ្ញុំបានសន្យា។ ### តើការការពាររបស់ Chainguard ចំពោះការជួសជុលដំបូងគឺជាអ្វី? 5:19 នាយកប្រតិបត្តិរបស់ Chainguard បានប្រាប់ The Register ថាគាត់បានរកឃើញកំហុសដូចគ្នាដោយខ្លួនឯងនៅថ្ងៃសុក្រ មួយយប់ បន្ទាប់ពីដឹងថាមានអ្វីមួយកំពុងមកនៅក្នុង PHP ជាមួយនឹងការជំរុញជាមូលដ្ឋានដើម្បីស្វែងរក ចំណុចខ្សោយអាក្រក់។ គាត់និយាយថាគាត់បានចេញផ្សាយមុនព្រោះមនុស្សត្រូវបានរងផលប៉ះពាល់រួចហើយ។ ប្រសិនបើអ្នកចង់អាននេះជាជាងស្តាប់ខ្ញុំនិយាយវា diff មកដល់ប្រអប់សំបុត្ររបស់អ្នករៀងរាល់ព្រឹក ដោយឥតគិតថ្លៃនៅ the daily diff dot dev តំណភ្ជាប់ខាងក្រោម។ ដូច្នេះសាលក្រមថ្ងៃនេះគឺ SHIP IT។ ### តើអ្វីដែលទទួលបានត្រា SHIP IT? 5:39 ចេញផ្សាយការអាប់ដេត PHP យប់នេះ ព្រោះលេខកំណែថ្មីគឺជាការ ជួសជុលពេញលេញតែមួយគត់។ ហើយនោះគឺជា diff សម្រាប់ថ្ងៃនេះ។ ខ្ញុំឈ្មោះ Niko មកពី Axrisi។ បញ្ចូលគ្នាយ៉ាងមានទំនួលខុសត្រូវ។ ## ប្រភព - [Today's PHP Security Release, and How We're Strengthening PHP Security](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/) — The PHP Foundation - [RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w) — PHP security advisory - [RCE via stale global state (GHSA-6wmf-4rv5-p3rp)](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp) — PHP security advisory - [Upcoming Critical PHP Security Release](https://www.php.net/archive/2026.php) — php.net - [php2shell](https://calif.io/php2shell/) — Calif - [PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet](https://www.wiz.io/blog/php2shell-php-rce) — Wiz Research - [Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot](https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/) — AWS Security Blog - [Critical Vulnerabilities in PHP Require Immediate Patching](https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching) — CISA - [Flaw in PHP computer language leads to shutdown of websites around world](https://www.theguardian.com/technology/2026/oct/21/flaw-in-php-computer-language-leads-to-shutdown-of-websites-around-world) — The Guardian - [What is PHP, and how bad is the computer language flaw causing website shutdowns globally?](https://www.theguardian.com/technology/2026/oct/22/what-is-php-computer-language-flaw-causing-global-website-shutdowns) — The Guardian - [PHP2Shell Exploitation Started Days Before Patches](https://www.securityweek.com/php2shell-exploitation-started-days-before-patches/) — SecurityWeek - [PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619](https://www.tanium.com/blog/php2shell-responding-to-cve-2026-109618-and-cve-2026-109619) — Tanium - [There isn't an easy exploit for this PHP vulnerability](https://eliastaylor.com/noexploit/) — Elias Taylor - [PHP blames supply chain security biz Chainguard for putting entire web at risk](https://www.theregister.com/security/2026/10/22/php-blames-supply-chain-security-biz-chainguard-for-putting-entire-web-at-risk/5304611) — The Register - [PHP2Shell: 22M exposed servers at risk as emergency patches released](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released) — TechTarget - [PHP ships emergency patches for critical PHP2Shell flaws](https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/) — BleepingComputer - [GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/) — GitLab - [Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica case](https://www.cnbc.com/2026/10/21/meta-new-mexico-cambridge-analytica-penalty.html) — CNBC - [Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming](https://news.ycombinator.com/item?id=50167754) — Hacker News