# PHP2Shell: ສອງຂໍ້ບົກຜ່ອງ PHP ທີ່ສໍາຄັນ, ການຫ້າມເຜີຍແຜ່ທີ່ຮົ່ວໄຫລ, ແລະສິ່ງທີ່ຮູ້ກ່ຽວກັບການ exploit

Published: 2026-10-22

PHP ໄດ້ອອກການແກ້ໄຂສຸກເສີນສຳລັບສອງຊ່ອງໂຫວ່ການປະຕິບັດລະຫັດຈາກໄລຍະໄກທີ່ສຳຄັນ, CVE-2026-109618 ແລະ CVE-2026-109619, ເຊິ່ງເອີ້ນວ່າ PHP2Shell. ການປ່ອຍອອກມານັ້ນໄດ້ມີຂຶ້ນໃນວັນທີ 21 ຕຸລາ 2026. ຕອນນີ້ອະທິບາຍຂໍ້ຜິດພາດສອງຢ່າງຂອງໜ່ວຍຄວາມຈຳດ້ວຍຄຳເວົ້າທຳມະດາ, ເປັນຫຍັງຂໍ້ຄິດຈາກການກວດສອບປີ 2024 ຈຶ່ງລໍຖ້າການແກ້ໄຂ, ວິທີການທີ່ການຫ້າມເຜີຍແຜ່ຮົ່ວໄຫຼ, ແລະແຫຼ່ງໃດທີ່ເວົ້າຫຍັງກ່ຽວກັບການຂູດຮີດ. ມັນຍັງກວມເອົາການປ່ອຍການແກ້ໄຂທີ່ສຳຄັນໃນມື້ດຽວກັນຂອງ GitLab ແລະຄຳສັ່ງລົງໂທດ Meta ມູນຄ່າ 25 ຕື້ໂດລາໃນລັດ New Mexico.

Canonical: https://thedailydiff.dev/lo/video/2026-10-22-php2shell/

## ສິ່ງທີ່ວິດີໂອນີ້ກວມເອົາ

- ຂໍ້ບົກຜ່ອງທັງສອງຖືກຈັດອັນດັບ 9.2 ໃນ CVSS v4.0 ໂດຍທີມງານ PHP. ຮຸ່ນທີ່ຖືກແກ້ໄຂຄື PHP 8.2.35, 8.3.36, 8.4.27 ແລະ 8.5.12; PHP 7.4, 8.0 ແລະ 8.1 ໄດ້ຮັບພຽງແຕ່ source patches ເທົ່ານັ້ນ. PHP ກ່າວວ່າການອັບເດດແມ່ນການແກ້ໄຂທີ່ສົມບູນພຽງຢ່າງດຽວ.
- ຂໍ້ບົກຜ່ອງທໍາອິດມາຈາກ PHP ທີ່ປ່ອຍໃຫ້ຄໍາຮ້ອງຂໍຖືກສ້າງເຄິ່ງທາງໃນເວລາທີ່ມັນໝົດຄວາມຈໍາໃນຊ່ວງເວລາທີ່ຜິດພາດ. ຂໍ້ບົກຜ່ອງທີສອງມາຈາກຕົວຊີ້ທີ່ເຫຼືອຢູ່ທີ່ຊີ້ໄປຫາຄວາມຈໍາຂອງຄໍາຮ້ອງຂໍໜຶ່ງທີ່ຄໍາຮ້ອງຂໍຕໍ່ມາໃນ worker ດຽວກັນສາມາດນໍາໃຊ້ໄດ້. ໃນ Apache ທີ່ມີ mod\_php ເສັ້ນທາງທໍາອິດຈະເຮັດວຽກກ່ອນລະຫັດແອັບພລິເຄຊັນ.
- ນັກພັດທະນາຫຼັກຂອງ PHP ພົບເຫັນສັນຍານທໍາອິດຂອງບັນຫາຄວາມຈໍາໃນລະຫວ່າງການກວດສອບປີ 2024. PHP Foundation ກ່າວວ່າການແກ້ໄຂທີ່ແຂ່ງຂັນກັນມີຂໍ້ເສຍປຽບ ແລະທີມງານຄວາມປອດໄພທີ່ອີງໃສ່ຄວາມເຫັນດີເຫັນພ້ອມໄດ້ພະຍາຍາມເລືອກ, ເຊິ່ງມັນເອີ້ນວ່າຄວາມລົ້ມເຫຼວຂອງໂຄງສ້າງ.
- Foundation ກ່າວວ່າ CVE IDs ໄດ້ຮົ່ວໄຫລໃນວັນທີ 20 ຕຸລາ, Calif ໄດ້ເຜີຍແຜ່ວິດີໂອ proof-of-concept ໂດຍຜິດພາດ, ແລະ Chainguard ໄດ້ເຜີຍແຜ່ຮູບພາບທີ່ສ້າງຂຶ້ນພ້ອມກັບການແກ້ໄຂຫຼາຍກວ່າຫົກຊົ່ວໂມງກ່ອນການເປີດຕົວ. CEO ຂອງ Chainguard ກ່າວວ່າປະຊາຊົນກໍາລັງຖືກໂຈມຕີຢູ່ແລ້ວ ແລະລາວໄດ້ພົບບັນຫາຕ່າງໆດ້ວຍຕົນເອງ.
- ແຫຼ່ງຂໍ້ມູນບໍ່ເຫັນດີກ່ຽວກັບການ exploit. Amazon ໄດ້ບັນທຶກການພະຍາຍາມໃນວັນທີ 17 ຕຸລາ ແລະຕໍ່ມາກ່າວວ່າ PHP2Shell ຖືກ exploit ຢ່າງກວ້າງຂວາງ. watchTowr ລາຍງານການ exploit ໃນທໍາມະຊາດ. CISA ບໍ່ໄດ້ສັງເກດເຫັນການ exploit ໃນເວລາເຜີຍແຜ່, ແລະທີມງານ PHP ບໍ່ພົບ exploit ທີ່ເຮັດວຽກໄດ້ໃນເວລາເປີດຕົວ. scripts proof-of-concept ສາທາລະນະຫຼາຍອັນຖືກລາຍງານວ່າໃຊ້ບໍ່ໄດ້.
- ກວດເບິ່ງທຸກບ່ອນທີ່ PHP ເຮັດວຽກ, ລວມທັງສໍາເນົາທີ່ຢູ່ພາຍໃນຊອບແວອື່ນໆ, ອັບເດດ, restart workers ແລະກວດສອບບັນທຶກກັບຄືນໄປຫາວັນທີ 17 ຕຸລາ.

## ຄຳຖາມແລະຄຳຕອບ

### ຊ່ອງໂຫວ່ PHP2Shell ສອງຢ່າງແມ່ນຫຍັງ?

PHP2Shell ຕັ້ງຊື່ໃຫ້ຂໍ້ບົກຜ່ອງ PHP ທີ່ສໍາຄັນສອງຢ່າງຄື CVE-2026-109618 ແລະ CVE-2026-109619, ທັງສອງຖືກຈັດອັນດັບ 9.2 ໂດຍທີມງານ PHP. ອັນທໍາອິດປ່ອຍໃຫ້ຄໍາຮ້ອງຂໍຖືກສ້າງເຄິ່ງທາງໃນເວລາທີ່ PHP ໝົດຄວາມຈໍາໃນຊ່ວງເວລາທີ່ຜິດພາດ, ແລະການທໍາຄວາມສະອາດກໍເຊື່ອຖືມັນ. ອັນທີສອງປ່ອຍຕົວຊີ້ໄປຫາຄວາມຈໍາຂອງຄໍາຮ້ອງຂໍໜຶ່ງທີ່ຄໍາຮ້ອງຂໍຕໍ່ມາໃນ worker ດຽວກັນສາມາດນໍາໃຊ້ໄດ້. ທັງສອງສາມາດນໍາໄປສູ່ການປະຕິບັດລະຫັດໂດຍບໍ່ມີການເຂົ້າສູ່ລະບົບ.

### PHP ເວີຊັນໃດມີການແກ້ໄຂສໍາລັບ PHP2Shell, ແລະເວີຊັນທີ່ບໍ່ຮອງຮັບແມ່ນແນວໃດ?

ໂຄງການ PHP ໄດ້ອອກການແກ້ໄຂໃນ 8.2.35, 8.3.36, 8.4.27 ແລະ 8.5.12 ໃນວັນທີ 21 ຕຸລາ. ສໍາລັບ 7.4, 8.0 ແລະ 8.1 ມັນໄດ້ເຜີຍແຜ່ source patches ເທົ່ານັ້ນ, ແລະ BleepingComputer ລາຍງານວ່າ distributions ແລະຜູ້ຂາຍທີ່ຮອງຮັບໄລຍະຍາວອາດຈະສະໜອງ backported fixes. PHP ກ່າວວ່າບໍ່ມີ workaround ທີ່ສົມບູນ, ດັ່ງນັ້ນການອັບເດດຫຼືຂໍຊຸດທີ່ຖືກ patch ຈາກຜູ້ຂາຍແມ່ນທາງເລືອກທີ່ປອດໄພເທົ່ານັ້ນ.

### ເປັນຫຍັງຂໍ້ບົກຜ່ອງຄວາມຈໍາ PHP ທີ່ຮູ້ແລ້ວຈຶ່ງໃຊ້ເວລາຈົນເຖິງເດືອນຕຸລາ 2026 ເພື່ອແກ້ໄຂ?

PHP Foundation ກ່າວວ່ານັກພັດທະນາຫຼັກພົບເຫັນສັນຍານທໍາອິດຂອງບັນຫາຄວາມຈໍາໃນລະຫວ່າງການກວດສອບຄວາມປອດໄພປີ 2024, ແຕ່ບໍ່ມີເສັ້ນທາງ exploit ໃດທີ່ຮູ້ຈັກ ແລະທຸກການແກ້ໄຂທີ່ເປັນໄປໄດ້ມີຂໍ້ເສຍປຽບເຊັ່ນ: ບັນຫາຄວາມເຂົ້າກັນໄດ້. ທີມງານຄວາມປອດໄພຕັດສິນໃຈໂດຍຄວາມເຫັນດີເຫັນພ້ອມ ແລະພະຍາຍາມເລືອກ, ເຊິ່ງ Foundation ເອີ້ນວ່າຄວາມລົ້ມເຫຼວຂອງໂຄງສ້າງທີ່ເກີດຈາກຂະບວນການຕັດສິນໃຈແລະການຂາດຊັບພະຍາກອນ.

### PHP2Shell ຖືກ exploit ຢູ່ບໍ, ແລະ exploit ງ່າຍສໍ່າໃດ?

ແຫຼ່ງຂໍ້ມູນບໍ່ເຫັນດີກັນ. Amazon ໄດ້ບັນທຶກການພະຍາຍາມ exploit ໃນວັນທີ 17 ຕຸລາ ແລະຕໍ່ມາກ່າວວ່າ PHP2Shell ຖືກ exploit ຢ່າງກວ້າງຂວາງ, ແລະ watchTowr ລາຍງານການ exploit ໃນທໍາມະຊາດ. CISA ບໍ່ໄດ້ສັງເກດເຫັນການ exploit ໃນເວລາເຜີຍແຜ່, ແລະທີມງານ PHP ບໍ່ເຫັນ exploit ທີ່ເຮັດວຽກໄດ້ໃນເວລາເປີດຕົວ. watchTowr ກ່າວວ່າ scripts exploit ສາທາລະນະສ່ວນໃຫຍ່ແມ່ນ crash ຫຼືບໍ່ເຮັດຫຍັງເລີຍ, ແລະ VulnCheck ພົບວ່າການປະຕິບັດລະຫັດເຮັດວຽກພຽງແຕ່ໃນບາງການຕັ້ງຄ່າ.

### ຄໍາຕັດສິນຂອງ The Daily Diff ກ່ຽວກັບ PHP2Shell ແມ່ນຫຍັງ?

ຄໍາຕັດສິນຂອງ The Daily Diff ແມ່ນ SHIP IT: ship ການອັບເດດ PHP ຄືນນີ້, ເພາະວ່າເວີຊັນໃໝ່ແມ່ນການແກ້ໄຂທີ່ສົມບູນພຽງຢ່າງດຽວ. CISA ກ່າວໃຫ້ສັງລວມທຸກລະບົບທີ່ເຮັດວຽກ PHP, ລວມທັງສໍາເນົາທີ່ຢູ່ພາຍໃນຊອບແວອື່ນໆ, ນໍາໃຊ້ patch, ແລະເອົາລະບົບ PHP offline ຖ້າມັນບໍ່ສາມາດອັບເດດໄດ້. Amazon ແນະນໍາໃຫ້ກວດສອບ logs ກັບຄືນໄປຫາວັນທີ 17 ຕຸລາ, ໃນເວລາທີ່ມັນເຫັນການພະຍາຍາມທໍາອິດ.

## ບົດ

- 0:00 ໃຜພະຍາຍາມ PHP2Shell ສີ່ມື້ກ່ອນກໍານົດ?
- 0:41 ຂໍ້ບົກຜ່ອງ PHP2Shell ສອງຢ່າງແມ່ນຫຍັງ?
- 1:37 ເປັນຫຍັງຂໍ້ບົກຜ່ອງຄວາມຈໍາທີ່ຮູ້ແລ້ວຈຶ່ງລໍຖ້າສອງປີ?
- 1:54 ໃຜພົບ PHP2Shell, ແລະແນວໃດ?
- 2:20 ການຫ້າມເຜີຍແຜ່ PHP2Shell ຮົ່ວໄຫລໄດ້ແນວໃດ?
- 2:50 PHP2Shell ຖືກ exploit ຢູ່ບໍ, ແລະໂດຍໃຜ?
- 3:43 ລັດຖະບານໄດ້ເອົາຫຍັງ offline?
- 4:11 PHP ເວີຊັນໃດໄດ້ຮັບການແກ້ໄຂ?
- 4:30 ເຈົ້າຈະເຮັດແນວໃດກັບ PHP2Shell ຄືນນີ້?
- 4:45 ມື້ນີ້ມີຫຍັງອີກທີ່ໄດ້ອອກ patch RCE ທີ່ສໍາຄັນ?
- 5:01 ເປັນຫຍັງ Meta ຈຶ່ງຖືກສັ່ງໃຫ້ຈ່າຍ 25 ຕື້ໂດລາ?
- 5:18 Chainguard ປ້ອງກັນແນວໃດສໍາລັບການແກ້ໄຂກ່ອນກໍານົດ?
- 5:38 ຫຍັງໄດ້ຮັບສະແຕມ SHIP IT?

## ບົດບັນທຶກທີ່ແປແລ້ວ

ແປຈາກຄຳບັນຍາຍຕົ້ນສະບັບພາສາອັງກິດ. ສຽງ ແລະ ຄຳບັນຍາຍທີ່ມີໃຫ້ແມ່ນຄວບຄຸມໂດຍ YouTube.

### ໃຜພະຍາຍາມ PHP2Shell ສີ່ມື້ກ່ອນກໍານົດ?

0:00 ການຫ້າມເຜີຍແຜ່ຄວາມປອດໄພຄວນຈະຮັກສາຂໍ້ບົກຜ່ອງໄວ້ເປັນຄວາມລັບຈົນກວ່າ patch ຈະອອກ. Amazon ໄດ້ບັນທຶກການພະຍາຍາມຕໍ່ກັບຂໍ້ບົກຜ່ອງທີ່ສໍາຄັນຂອງ PHP ສີ່ມື້ກ່ອນກໍານົດ. ໃນວິດີໂອນີ້, ໃຜພົບມັນ? ການຫ້າມເຜີຍແຜ່ຮົ່ວໄຫລໄດ້ແນວໃດ? ແລະມັນຮ້າຍແຮງສໍ່າໃດ, ແທ້ຈິງແລ້ວ? ແລະບໍລິສັດທີ່ຖືກຕໍານິຕິຕຽນສໍາລັບການຮົ່ວໄຫລມີການປ້ອງກັນທີ່ຂ້ອຍບໍ່ໄດ້ຄາດຫວັງ. ຂ້ອຍຈະໄປເຖິງມັນ. ມັນແມ່ນວັນພະຫັດ, ວັນທີ 22 ຕຸລາ, ແລະນີ້ແມ່ນ The Daily Diff.

0:21 PHP ແມ່ນພາສາ scripting ທີ່ສ້າງເວັບເພຈຢູ່ໃນເຊີບເວີກ່ອນທີ່ພວກມັນ ຈະເຖິງທ່ານ. ມັນມີອາຍຸຫຼາຍກວ່າສາມສິບປີແລ້ວ ແລະ, ໂດຍການຄາດຄະເນໜຶ່ງ, ເຮັດວຽກປະມານເຈັດສິບເປີເຊັນຂອງເວັບໄຊຕ໌, ລວມທັງ WordPress ແລະຊອບແວ ທີ່ຢູ່ເບື້ອງຫຼັງ Wikipedia. ນັກພັດທະນາມັກຈະເຍາະເຍີ້ຍມັນ, ປົກກະຕິແລ້ວຈາກໜ້າເວັບທີ່ PHP ໃຫ້ບໍລິການ ພວກເຂົາ. ການບໍາລຸງຮັກສາຂອງມັນແມ່ນອົງການບໍ່ຫວັງຜົນກໍາໄລທີ່ມີວິສະວະກອນປະມານສິບສາມຄົນ.

### ຂໍ້ບົກຜ່ອງ PHP2Shell ສອງຢ່າງແມ່ນຫຍັງ?

0:41 ໃນວັນພຸດ, PHP ໄດ້ອອກການແກ້ໄຂສຸກເສີນສໍາລັບສອງຂໍ້ບົກຜ່ອງທີ່ສໍາຄັນທີ່ອະນຸຍາດໃຫ້ ຄົນແປກໜ້າສາມາດດໍາເນີນການລະຫັດໃນເຊີບເວີໂດຍບໍ່ມີການເຂົ້າສູ່ລະບົບ. ພວກມັນຖືກເອີ້ນວ່າ PHP2Shell, ແລະພວກມັນກັບຄືນໄປຫາ PHP ຫ້າ ຈຸດສີ່. ນີ້ແມ່ນຂໍ້ບົກຜ່ອງທໍາອິດໃນຄໍາເວົ້າທີ່ງ່າຍດາຍ. PHP ໃຫ້ທຸກຄໍາຮ້ອງຂໍມີງົບປະມານຄວາມຈໍາ. ຖ້າຄໍາຮ້ອງຂໍບັນລຸຂີດຈໍາກັດນັ້ນໃນຊ່ວງເວລາທີ່ຜິດພາດພໍດີ, PHP ຈະອອກໄປຢ່າງໄວວາແລະປ່ອຍໃຫ້ຄໍາຮ້ອງຂໍຖືກສ້າງເຄິ່ງທາງ. ຫຼັງຈາກນັ້ນຂັ້ນຕອນການທໍາຄວາມສະອາດຈະເຊື່ອຖືສິ່ງທີ່ຖືກສ້າງເຄິ່ງທາງ.

1:07 ຂໍ້ບົກຜ່ອງທີສອງແມ່ນສິ່ງທີ່ເຫຼືອ. ຂໍ້ຜິດພາດທີ່ຮ້າຍແຮງສາມາດປ່ອຍໃຫ້ບັນທຶກທີ່ຊີ້ໄປຫາຄວາມຈໍາທີ່ເປັນຂອງ ຄໍາຮ້ອງຂໍສຸດທ້າຍ. worker ດຽວກັນຈະຈັດການຄໍາຮ້ອງຂໍຕໍ່ໄປແລະປະຕິບັດຕາມບັນທຶກ. ໃນເວລານັ້ນມີຄົນອື່ນອາໄສຢູ່ໃນທີ່ຢູ່ນັ້ນແລ້ວ. ໃນ Apache ທີ່ມີ mod PHP, ຄວາມເສຍຫາຍເກີດຂຶ້ນກ່ອນທີ່ລະຫັດຂອງທ່ານເອງຈະເຮັດວຽກ, ດັ່ງນັ້ນໜ້າເຂົ້າສູ່ລະບົບຂອງທ່ານຈຶ່ງບໍ່ເຄີຍໄດ້ຮັບສຽງລົງຄະແນນ. Wiz ກ່າວວ່າແມ້ແຕ່ script hello world ກໍຖືກເປີດເຜີຍ. ການແກ້ໄຂແມ່ນການລຶບທາງອອກສຸກເສີນຂອງ PHP ສໍາລັບການໝົດຄວາມຈໍາ.

1:32 ແທນທີ່ຈະອອກກາງຄໍາຮ້ອງຂໍ, PHP ຕອນນີ້ຢຸດຢ່າງສຸພາບຢູ່ໃນຈຸດທີ່ປອດໄພຕໍ່ໄປ. ສ່ວນທີ່ແປກຄືຂໍ້ຄຶດທໍາອິດເກົ່າແກ່ສໍ່າໃດ.

### ເປັນຫຍັງຂໍ້ບົກຜ່ອງຄວາມຈໍາທີ່ຮູ້ແລ້ວຈຶ່ງລໍຖ້າສອງປີ?

1:39 ໃນປີ 2024, ການກວດສອບຄວາມປອດໄພພາຍນອກໄດ້ນໍານັກພັດທະນາຫຼັກຂອງ PHP ໄປສູ່ ສັນຍານທໍາອິດຂອງບັນຫາຄວາມຈໍາ. ບໍ່ມີ exploit ໃດທີ່ຮູ້ຈັກ, ແລະທຸກການແກ້ໄຂກໍເຮັດໃຫ້ບາງຢ່າງແຕກ. ທີມງານທີ່ຕັດສິນໃຈໂດຍຄວາມເຫັນດີເຫັນພ້ອມບໍ່ສາມາດເລືອກໄດ້, ດັ່ງນັ້ນຂໍ້ບົກຜ່ອງຈຶ່ງລໍຖ້າ. ຈາກນັ້ນໃນເດືອນສິງຫາ, ຜູ້ຄົ້ນພົບໄດ້ມາເຖິງພາຍໃນສອງສາມມື້.

### ໃຜພົບ PHP2Shell, ແລະແນວໃດ?

1:56 ນັກຄົ້ນຄວ້າ Calif Ryan Austin ພົບມັນໃນວັນທີ 1 ສິງຫາ, ເຮັດວຽກຜ່ານໂຄງການ Patch the Planet ຂອງ OpenAI. OpenAI ລາຍງານສາເຫດຮາກດຽວກັນໂດຍເອກະລາດ. Wiz ພົບ variants ສອງສາມອາທິດຕໍ່ມາກັບ Gemini ແລະ GPT models. Austin ກ່າວວ່າລາວໃຊ້ models ທີ່ໃຜໆກໍສາມາດໄດ້ຮັບ, ບວກກັບທິດສະດີກ່ຽວກັບບ່ອນທີ່ຂໍ້ບົກຜ່ອງເກົ່າຂອງ PHP ເຊື່ອງໄວ້. OpenAI ກ່າວວ່າ frontier AI ແມ່ນກຸນແຈ. ຂໍ້ບົກຜ່ອງໄດ້ເຊື່ອງໄວ້ຫຼາຍກວ່າໜຶ່ງທົດສະວັດ. ການເປີດຕົວໄດ້ຖືກວາງແຜນໄວ້ສໍາລັບວັນພະຫັດ.

### ການຫ້າມເຜີຍແຜ່ PHP2Shell ຮົ່ວໄຫລໄດ້ແນວໃດ?

2:21 ໃນວັນອັງຄານ, ຕົວເລກ CVE ສອງຕົວເລກໄດ້ເລີ່ມໄຫຼວຽນອອນລາຍ, ດ້ວຍເວລາເປີດຕົວທີ່ຜິດພາດແລະຄະແນນທີ່ຜິດພາດຂອງສິບ. PHP ໄດ້ເລື່ອນການເປີດຕົວຂຶ້ນມາໜຶ່ງມື້. ໃນຕອນແລງນັ້ນ, Calif ໄດ້ເຜີຍແຜ່ວິດີໂອ proof of concept ຂອງມັນໂດຍບັງເອີນ ທີ່ເຮັດວຽກ, ແລະສໍາເນົາໄດ້ຢູ່ລອດການລຶບ. ໃນຕອນເຊົ້າວັນພຸດ, ຫຼາຍກວ່າຫົກຊົ່ວໂມງກ່ອນການເປີດຕົວ, Chainguard ໄດ້ເຜີຍແຜ່ຮູບພາບທີ່ສ້າງຂຶ້ນທີ່ມີການແກ້ໄຂ. PHP ກ່າວວ່າຜູ້ໂຈມຕີຄົນໃດກໍສາມາດສຶກສາການແກ້ໄຂນັ້ນໃນຂະນະທີ່ຄົນອື່ນລໍຖ້າ.

2:46 patch ຍັງເປັນ diff, ແລະຜູ້ໂຈມຕີອ່ານ diffs.

### PHP2Shell ຖືກ exploit ຢູ່ບໍ, ແລະໂດຍໃຜ?

2:50 ສະນັ້ນໃຜກໍາລັງຖືກໂຈມຕີແທ້ໆ? honeypot ຂອງ Amazon ໄດ້ບັນທຶກການພະຍາຍາມໃນວັນທີ 17 ຕຸລາ ແລະຕໍ່ມາກ່າວວ່າ PHP2Shell ຖືກ exploit ຢ່າງກວ້າງຂວາງ. watchTowr ລາຍງານການ exploit ໃນທໍາມະຊາດ. Cisa ກ່າວວ່າມັນບໍ່ໄດ້ສັງເກດເຫັນຫຍັງໃນເວລາທີ່ມັນເຜີຍແຜ່, ແລະທີມງານຂອງ PHP ບໍ່ເຫັນ exploit ທີ່ເຮັດວຽກໄດ້ໃນເວລາເປີດຕົວ. CEO ຂອງ Cloudflare ກ່າວວ່າມັນເຫັນການພະຍາຍາມຫຼາຍພັນຄັ້ງໃນສິບຊົ່ວໂມງກ່ອນການ ປະກາດ, ແລະຫຼາຍລ້ານຄັ້ງໃນເຊົ້າວັນພະຫັດ.

3:13 Amazon ລະມັດລະວັງໃນຈຸດໜຶ່ງ. ມັນບໍ່ຮູ້ວ່າການພະຍາຍາມຕົ້ນໆຂອງມັນຈະເຮັດວຽກຢູ່ໃນລະບົບຈິງຫຼືບໍ່. ການພະຍາຍາມແມ່ນພຽງແຕ່ການເຄາະປະຕູ. ສະນັ້ນມັນຮ້າຍແຮງສໍ່າໃດ, ແທ້ຈິງແລ້ວ? watchTowr ກ່າວວ່າ exploits ສາທາລະນະທີ່ໄຫຼວຽນຢູ່ສ່ວນໃຫຍ່ແມ່ນ crash ຫຼືບໍ່ເຮັດຫຍັງເລີຍ. VulnCheck ກ່າວວ່າການປະຕິບັດລະຫັດເຮັດວຽກໃນບາງການຕັ້ງຄ່າ, ແລະບໍ່ມີ exploit ສາທາລະນະໃດ ທີ່ສາມາດເອົາຊະນະ memory randomization ໃນ x86 servers ມາດຕະຖານໄດ້. ນັກຄົ້ນຄວ້າ Elias Taylor ກ່າວວ່າມັນບໍ່ໄດ້ງ່າຍປານ Log4Shell.

3:40 ທຸກຄົນຍັງບອກໃຫ້ patch. ລັດຖະບານບໍ່ໄດ້ລໍຖ້າຄໍາຕັດສິນ.

### ລັດຖະບານໄດ້ເອົາຫຍັງ offline?

3:44 NSA ບອກອົງການຈັດຕັ້ງທີ່ບໍ່ສາມາດ patch ໄດ້ໃຫ້ເອົາລະບົບ PHP offline, ແລະສູນຄວາມປອດໄພທາງໄຊເບີແຫ່ງຊາດຂອງອັງກິດກໍໃຫ້ຄໍາແນະນໍາທີ່ຄ້າຍຄືກັນ. ເວັບໄຊຕ໌ຂອງໂຮນລັງ, ລວມທັງບໍລິການລະບຸຕົວຕົນດິຈິຕອນແຫ່ງຊາດ, ໄດ້ປິດລົງ, ພ້ອມກັບເວັບໄຊຕ໌ຕໍາຫຼວດປາຣີ. Wikimedia ໄດ້ປິດລະບົບຫຼາຍອັນເພື່ອເປັນການປ້ອງກັນ. Palo Alto Networks ໄດ້ນັບຫຼາຍກວ່າຊາວສອງລ້ານ instances ທີ່ຖືກເປີດເຜີຍ. ແລະສາດສະດາຈານຊາວອົດສະຕຣາລີໄດ້ໃຫ້ຄໍາເວົ້າທີ່ຄົມຊັດທີ່ສຸດ. ເວັບໄຊຕ໌ທີ່ຕ້ອງເປັນຫ່ວງແມ່ນເວັບໄຊຕ໌ທີ່ບໍ່ໄດ້ປິດລົງໃນມື້ນີ້.

### PHP ເວີຊັນໃດໄດ້ຮັບການແກ້ໄຂ?

4:11 ມີການແກ້ໄຂສໍາລັບ PHP ແປດຈຸດສອງເຖິງແປດຈຸດຫ້າ. ສໍາລັບເຈັດຈຸດສີ່, ແປດຈຸດໂອ ແລະແປດຈຸດໜຶ່ງ, PHP ໄດ້ເຜີຍແຜ່ source patches ເທົ່ານັ້ນ. ເວີຊັນເກົ່າກວ່າບໍ່ໄດ້ຮັບຫຍັງຈາກໂຄງການ PHP, ສະນັ້ນໃຫ້ຖາມ distribution ຂອງທ່ານ. Workarounds ຫຼຸດຜ່ອນໂອກາດ, ແຕ່ PHP ກ່າວວ່າການອັບເດດແມ່ນການແກ້ໄຂທີ່ສົມບູນ ພຽງຢ່າງດຽວ. ມັນແມ່ນບົດຮຽນດຽວກັນກັບຕອນ eMudhra ຂອງມື້ວານນີ້,

### ເຈົ້າຈະເຮັດແນວໃດກັບ PHP2Shell ຄືນນີ້?

4:32 ເພາະວ່າການມີການແກ້ໄຂບໍ່ຄືກັນກັບ process ທີ່ກໍາລັງເຮັດວຽກມີມັນ. ຊອກຫາທຸກ PHP ໃນ stack ຂອງທ່ານ, ແມ້ແຕ່ສໍາເນົາທີ່ເຊື່ອງໄວ້ພາຍໃນຊອບແວອື່ນໆ. ອັບເດດ, restart the workers, ແລະກວດສອບ logs ກັບຄືນໄປຫາວັນທີ 17 ຕຸລາ. ໃນມື້ດຽວກັນ, GitLab ໄດ້ອອກ patch release ທີ່ສໍາຄັນ,

### ມື້ນີ້ມີຫຍັງອີກທີ່ໄດ້ອອກ patch RCE ທີ່ສໍາຄັນ?

4:47 ສິບເກົ້າຈຸດຫ້າຈຸດໜຶ່ງ. integer overflow ໃນ compiler regular expression ຂອງມັນອະນຸຍາດໃຫ້ຜູ້ໃຊ້ທີ່ບໍ່ໄດ້ຮັບການຢືນຢັນ ສາມາດດໍາເນີນການລະຫັດໃນເຊີບເວີໄດ້, ແລະມັນໄດ້ຄະແນນສິບໃນສິບ. GitLab.com ໄດ້ຖືກ patch ແລ້ວ. ການຕິດຕັ້ງ self-managed ຕ້ອງການການອັບເດດ.

### ເປັນຫຍັງ Meta ຈຶ່ງຖືກສັ່ງໃຫ້ຈ່າຍ 25 ຕື້ໂດລາ?

5:01 ໃນຂະນະດຽວກັນໃນ New Mexico, ຜູ້ພິພາກສາໄດ້ສັ່ງໃຫ້ Meta ຈ່າຍ 25 ຕື້ໂດລາ ໃນການປັບໃໝກ່ຽວກັບ Cambridge Analytica. ຄະນະລູກຂຸນໄດ້ນັບການລະເມີດຫຼາຍກວ່າສີ່ສິບສາມລ້ານຄັ້ງໃນລາຄາສູງເຖິງຫ້າພັນ ໂດລາຕໍ່ຄັ້ງ, ເຊິ່ງລວມເປັນປະມານສອງຮ້ອຍຊາວຕື້ກ່ອນທີ່ຜູ້ພິພາກສາ ຈະຕັດມັນ. Meta ກ່າວວ່າມັນຈະຊະນະການອຸທອນ. ຕອນນີ້ການປ້ອງກັນທີ່ຂ້ອຍໄດ້ສັນຍາໄວ້.

### Chainguard ປ້ອງກັນແນວໃດສໍາລັບການແກ້ໄຂກ່ອນກໍານົດ?

5:19 CEO ຂອງ Chainguard ບອກ The Register ວ່າລາວພົບບັນຫາເຫຼົ່ານີ້ດ້ວຍຕົນເອງໃນຄືນວັນສຸກ, ຫຼັງຈາກຮູ້ວ່າຈະມີຫຍັງມາໃນ PHP, ດ້ວຍຄໍາສັ່ງພື້ນຖານເພື່ອຊອກຫາ ຊ່ອງໂຫວ່ທີ່ບໍ່ດີ. ລາວກ່າວວ່າລາວໄດ້ເປີດຕົວກ່ອນກໍານົດເພາະວ່າປະຊາຊົນກໍາລັງຖືກ ໂຈມຕີຢູ່ແລ້ວ. ຖ້າທ່ານຕ້ອງການອ່ານສິ່ງນີ້ຫຼາຍກວ່າທີ່ຈະໄດ້ຍິນຂ້ອຍເວົ້າ, diff ຈະຖືກສົ່ງໄປຍັງ inbox ຂອງທ່ານທຸກເຊົ້າ, ຟຣີທີ່ daily diff dot dev, ລິ້ງຢູ່ລຸ່ມນີ້. ດັ່ງນັ້ນຄໍາຕັດສິນຂອງມື້ນີ້ແມ່ນ SHIP IT.

### ຫຍັງໄດ້ຮັບສະແຕມ SHIP IT?

5:39 Ship ການອັບເດດ PHP ຄືນນີ້, ເພາະວ່າໝາຍເລກເວີຊັນໃໝ່ແມ່ນການແກ້ໄຂທີ່ສົມບູນ ພຽງຢ່າງດຽວ. ແລະນັ້ນຄື diff ສໍາລັບມື້ນີ້. ຂ້ອຍຄື Niko ຈາກ Axrisi. Merge ຢ່າງຮັບຜິດຊອບ.

## ແຫຼ່ງຂໍ້ມູນ

- [Today's PHP Security Release, and How We're Strengthening PHP Security](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/) — The PHP Foundation
- [RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w) — PHP security advisory
- [RCE via stale global state (GHSA-6wmf-4rv5-p3rp)](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp) — PHP security advisory
- [Upcoming Critical PHP Security Release](https://www.php.net/archive/2026.php) — php.net
- [php2shell](https://calif.io/php2shell/) — Calif
- [PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet](https://www.wiz.io/blog/php2shell-php-rce) — Wiz Research
- [Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot](https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/) — AWS Security Blog
- [Critical Vulnerabilities in PHP Require Immediate Patching](https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching) — CISA
- [Flaw in PHP computer language leads to shutdown of websites around world](https://www.theguardian.com/technology/2026/oct/21/flaw-in-php-computer-language-leads-to-shutdown-of-websites-around-world) — The Guardian
- [What is PHP, and how bad is the computer language flaw causing website shutdowns globally?](https://www.theguardian.com/technology/2026/oct/22/what-is-php-computer-language-flaw-causing-global-website-shutdowns) — The Guardian
- [PHP2Shell Exploitation Started Days Before Patches](https://www.securityweek.com/php2shell-exploitation-started-days-before-patches/) — SecurityWeek
- [PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619](https://www.tanium.com/blog/php2shell-responding-to-cve-2026-109618-and-cve-2026-109619) — Tanium
- [There isn't an easy exploit for this PHP vulnerability](https://eliastaylor.com/noexploit/) — Elias Taylor
- [PHP blames supply chain security biz Chainguard for putting entire web at risk](https://www.theregister.com/security/2026/10/22/php-blames-supply-chain-security-biz-chainguard-for-putting-entire-web-at-risk/5304611) — The Register
- [PHP2Shell: 22M exposed servers at risk as emergency patches released](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released) — TechTarget
- [PHP ships emergency patches for critical PHP2Shell flaws](https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/) — BleepingComputer
- [GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/) — GitLab
- [Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica case](https://www.cnbc.com/2026/10/21/meta-new-mexico-cambridge-analytica-penalty.html) — CNBC
- [Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming](https://news.ycombinator.com/item?id=50167754) — Hacker News