# PHP2Shell: PHP-ийн хоёр ноцтой алдаа, задарсан хориг, мөн ашиглалтын талаар бодитоор юу мэдэгдэж байгаа вэ

Published: 2026-10-22

PHP нь алсын зайнаас код гүйцэтгэх хоёр чухал алдаа болох CVE-2026-109618 болон CVE-2026-109619-д яаралтай засвар хийсэн бөгөөд үүнийг PHP2Shell гэж нэрлэдэг. Энэхүү хувилбар нь 2026 оны 10-р сарын 21-нд гарсан. Энэ анги нь хоёр санах ойн алдааг энгийн үгээр тайлбарлаж, 2024 оны аудитээс гарсан сэжүүр яагаад засварыг хүлээсэн, хэрхэн хориг алдагдсан, мөн ашиглалтын талаар ямар эх сурвалжууд юу хэлснийг тайлбарладаг. Мөн GitLab-ын тухайн өдрийн чухал нөхөөс хувилбар болон Нью-Мексикод Meta-д ногдуулсан 25 тэрбум долларын торгуулийн тухай өгүүлдэг.

Canonical: https://thedailydiff.dev/mn/video/2026-10-22-php2shell/

## Энэ видео юуг хамардаг

- Хоёр алдааг хоёуланг нь PHP баг CVSS v4.0-ийн дагуу 9.2 үнэлгээтэй гэж үзсэн. Засварласан хувилбарууд нь PHP 8.2.35, 8.3.36, 8.4.27 болон 8.5.12; PHP 7.4, 8.0, 8.1 хувилбарууд зөвхөн эх кодыг зассан. PHP нь шинэчлэх нь цорын ганц бүрэн хамгаалалт гэж мэдэгджээ.
- Эхний алдаа нь PHP буруу цагт санах ойгүй болсноор хүсэлтийг дутуу үлдээдгээс үүдэлтэй. Хоёр дахь нь ижил ажилчны дараагийн хүсэлт ашиглаж болох өмнөх хүсэлтийн санах ой руу чиглүүлсэн үлдэгдэл заагчаас үүдэлтэй. Apache дээр mod\_php-тэй үед эхний зам нь аппликейшн кодоос өмнө ажилладаг.
- PHP-ийн үндсэн хөгжүүлэгч 2024 оны аудитын үеэр санах ойн асуудлын эхний шинж тэмдгүүдийг олж илрүүлжээ. PHP Foundation нь өрсөлдөхүйц засваруудад худалдааны асуудлууд байсан бөгөөд зөвшилцөлд суурилсан аюулгүй байдлын баг сонгоход хүндрэлтэй байсан нь бүтцийн алдаа гэж нэрлэсэн.
- Foundation нь CVE ID-ууд 10-р сарын 20-нд задарсан, Calif санамсаргүйгээр нотлох баримтын видеог нийтэлсэн, мөн Chainguard засварыг агуулсан бэлэн зургуудыг гаргахаас зургаа гаруй цагийн өмнө нийтэлсэн гэж мэдэгджээ. Chainguard-ийн гүйцэтгэх захирал хүмүүс аль хэдийн өртөж эхэлсэн бөгөөд тэрээр алдааг бие даан олж илрүүлсэн гэж хэлсэн.
- Эх сурвалжууд ашиглалтын талаар санал зөрөлдөж байна. Amazon 10-р сарын 17-нд оролдлогыг бүртгэж, дараа нь PHP2Shell өргөн хүрээнд ашиглагдсан гэж мэдэгджээ. watchTowr бодит ашиглалтыг мэдээлсэн. CISA нийтлэл гарах үед ашиглалтыг ажиглаагүй бөгөөд PHP баг хувилбар гарах үед ажиллагаатай ашиглалтыг олоогүй. Олон нийтийн нотлох баримтын скриптүүд ажиллахгүй байна гэж мэдээлэгдсэн.
- PHP ажилладаг бүх газрыг, түүний дотор бусад программ хангамж доторх хуулбаруудыг шалгаж, шинэчилж, ажилчдыг дахин эхлүүлж, 10-р сарын 17-ноос хойших бүртгэлүүдийг хянана уу.

## Түгээмэл асуултууд

### PHP2Shell-ийн хоёр эмзэг байдал юу вэ?

PHP2Shell нь PHP-ийн хоёр чухал алдааг, CVE-2026-109618 болон CVE-2026-109619-ийг нэрлэдэг бөгөөд PHP баг хоёуланг нь 9.2 үнэлгээтэй гэж үзсэн. Эхнийх нь PHP буруу цагт санах ойгүй болсноор хүсэлтийг дутуу үлдээдэг бөгөөд дараа нь цэвэрлэх үйл явц түүнд итгэдэг. Хоёр дахь нь ижил ажилчны дараагийн хүсэлт ашиглаж болох өмнөх хүсэлтийн санах ой руу чиглүүлсэн заагчийг үлдээдэг. Хоёуланг нь нэвтрэх эрхгүйгээр код гүйцэтгэхэд хүргэж болно.

### PHP2Shell-д PHP-ийн ямар хувилбарууд засвартай, мөн дэмжигддэггүй хувилбаруудын талаар юу вэ?

PHP төсөл 10-р сарын 21-нд 8.2.35, 8.3.36, 8.4.27 болон 8.5.12 хувилбаруудад засваруудыг гаргасан. 7.4, 8.0 болон 8.1-д зөвхөн эх кодыг зассан бөгөөд BleepingComputer нь түгээлт болон урт хугацааны дэмжлэг үзүүлэгчид буцаан порт хийсэн засваруудыг нийлүүлж магадгүй гэж мэдээлсэн. PHP нь бүрэн тойрох арга байхгүй тул шинэчлэх эсвэл борлуулагчаас засварласан багцыг асуух нь цорын ганц аюулгүй сонголт гэж хэлсэн.

### Яагаад мэдэгдэж байсан PHP-ийн санах ойн алдааг 2026 оны 10-р сар хүртэл засахад хугацаа зарцуулсан бэ?

PHP Foundation нь үндсэн хөгжүүлэгч 2024 оны аюулгүй байдлын аудитын үеэр санах ойн асуудлын эхний шинж тэмдгүүдийг олж илрүүлсэн боловч ашиглалтын зам мэдэгдээгүй, мөн нэр дэвшигч засвар бүр нь нийцэмжгүй байдал зэрэг худалдааны асуудлуудтай байсан гэж мэдэгджээ. Аюулгүй байдлын баг зөвшилцлөөр шийддэг бөгөөд сонгоход хүндрэлтэй байсан нь Foundation-ийн шийдвэр гаргах үйл явц болон нөөц дутагдлаас үүссэн бүтцийн алдаа гэж нэрлэсэн.

### PHP2Shell ашиглагдаж байгаа юу, мөн ашиглахад хэр хялбар вэ?

Эх сурвалжууд санал зөрөлдөж байна. Amazon 10-р сарын 17-нд ашиглалтын оролдлогыг бүртгэж, дараа нь PHP2Shell өргөн хүрээнд ашиглагдсан гэж мэдэгдсэн, мөн watchTowr бодит ашиглалтыг мэдээлсэн. CISA нийтлэл гарах үед ашиглалтыг ажиглаагүй, мөн PHP баг хувилбар гарах үед ажиллагаатай ашиглалтыг хараагүй. watchTowr олон нийтийн ашиглалтын скриптүүд ихэвчлэн уналтанд оруулдаг эсвэл юу ч хийдэггүй гэж хэлсэн, мөн VulnCheck код гүйцэтгэл зөвхөн зарим тохиргоонд ажилладаг болохыг тогтоосон.

### The Daily Diff PHP2Shell-ийн талаар ямар дүгнэлт гаргасан бэ?

The Daily Diff-ийн дүгнэлт нь SHIP IT байсан: PHP-ийн шинэчлэлтийг өнөө орой гарга, учир нь шинэ хувилбар нь цорын ганц бүрэн засвар юм. CISA PHP ажиллаж буй бүх системийг, түүний дотор бусад программ хангамж доторх хуулбаруудыг шалгаж, засварыг хийж, хэрэв шинэчлэх боломжгүй бол PHP системийг офлайн болгохыг зөвлөж байна. Amazon 10-р сарын 17-ноос хойших бүртгэлүүдийг хянаж үзэхийг зөвлөсөн, тэр үед анхны оролдлогыг харсан.

## Бүлгүүд

- 0:00 Хэн PHP2Shell-ийг дөрвөн өдрийн өмнө туршиж үзсэн бэ?
- 0:41 PHP2Shell-ийн хоёр алдаа юу вэ?
- 1:37 Яагаад мэдэгдэж байсан алдаа хоёр жил хүлээсэн бэ?
- 1:54 PHP2Shell-ийг хэн, хэрхэн олсон бэ?
- 2:20 PHP2Shell-ийн хориг хэрхэн задарсан бэ?
- 2:50 PHP2Shell ашиглагдаж байгаа юу, хэн ашиглаж байна вэ?
- 3:43 Засгийн газрууд юуг офлайн болгосон бэ?
- 4:11 PHP-ийн ямар хувилбарууд засвар авах вэ?
- 4:30 Та PHP2Shell-ийн талаар өнөө орой юу хийх вэ?
- 4:45 Өнөөдөр өөр юу ноцтой RCE засвартай гарсан бэ?
- 5:01 Яагаад Meta-д 25 тэрбум долларын торгууль ногдуулсан бэ?
- 5:18 Chainguard-ийн эрт засвар хийсэн хамгаалалт юу вэ?
- 5:38 Юу SHIP IT тамга авах вэ?

## Орчуулсан бичлэг

Англи хэл дээрх эх хувилбараас орчуулсан. Боломжтой дуу болон хадмал орчуулгыг YouTube хянадаг.

### Хэн PHP2Shell-ийг дөрвөн өдрийн өмнө туршиж үзсэн бэ?

0:00 Аюулгүй байдлын хориг нь засвар гарчих хүртэл алдааг нууц байлгах ёстой. Amazon PHP-ийн ноцтой алдааны эсрэг дөрвөн өдрийн өмнө оролдлогыг бүртгэсэн. Энэ видеонд хэн үүнийг олсон бэ? Хориг хэрхэн задарсан бэ? Тэгээд энэ үнэхээр хэр муу вэ? Мөн алдагдалд буруутгагдсан компани миний хүлээгээгүй хамгаалалттай байсан. Би түүнд хүрнэ. Өнөөдөр 10-р сарын 22-ны Пүрэв гараг, энэ бол The Daily Diff.

0:21 PHP нь танд хүрэхээс өмнө сервер дээр веб хуудас үүсгэдэг скрипт хэл юм. Энэ нь гучин гаруй настай бөгөөд нэг тооцоогоор, WordPress болон Wikipedia-ийн ард буй программ хангамж зэрэг вебсайтуудын далан хувь орчимд ажилладаг. Хөгжүүлэгчид ихэвчлэн PHP-ийн үйлчилж буй хуудаснаас үүнийг шоолох дуртай байдаг. Түүний засвар үйлчилгээ нь арван гурван орчим инженерээс бүрдсэн ашгийн бус байгууллага юм.

### PHP2Shell-ийн хоёр алдаа юу вэ?

0:41 Лхагва гарагт PHP нэвтрэх эрхгүй харийн хүнд сервер дээр код ажиллуулах боломж олгодог хоёр ноцтой алдааг засах яаралтай засваруудыг гаргасан. Энэ нь PHP тавдугаар хувилбараас хойшхи асуудал юм. Тэднийг PHP2Shell гэж нэрлэдэг бөгөөд PHP тавдугаар хувилбараас хойшхи асуудал юм. Энд эхний алдааг энгийн үгээр тайлбарлая. PHP хүсэлт бүрт санах ойн төсвийг өгдөг. Хэрэв хүсэлт яг буруу цагт тэр хязгаарт хүрвэл, PHP яаран цуцалж, хүсэлтийг дутуу үлдээдэг. Дараа нь цэвэрлэх алхам дутуу баригдсан зүйлд итгэдэг.

1:07 Хоёр дахь алдаа нь үлдэгдэл юм. Амь насанд аюултай алдаа нь өмнөх хүсэлтийн санах ойг заасан тэмдэглэлийг үлдээж болно. Ижил ажилчин дараагийн хүсэлтийг зохицуулж, тэмдэглэлийг дагадаг. Тэр үед өөр хэн нэгэн тэр хаяг дээр амьдардаг. Apache дээр mod PHP-тэй бол хохирол таны өөрийн код ажиллахаас өмнө болдог, тиймээс таны нэвтрэх хуудас хэзээ ч санал өгөхгүй. Wiz бүр "hello world" скрипт ч өртөх боломжтой гэж хэлсэн. Засвар нь PHP-ийн санах ойгүй болох үед гардаг яаралтай гарахыг арилгадаг.

1:32 Хүсэлтийн дундуур гарахын оронд PHP одоо дараагийн аюулгүй цэгт эелдэгээр зогсдог. Сонин нь эхний мөрөөдөл хэр хуучин болох явдал юм.

### Яагаад мэдэгдэж байсан алдаа хоёр жил хүлээсэн бэ?

1:39 2024 онд гадны аюулгүй байдлын аудит PHP-ийн үндсэн хөгжүүлэгчийг санах ойн асуудлын эхний шинж тэмдгүүдэд хүргэсэн. Ямар ч ашиглалт мэдэгдээгүй, мөн засвар бүхэн ямар нэг зүйлийг эвдсэн. Зөвшилцлөөр шийддэг баг сонгож чадаагүй тул алдаа хүлээсэн. Тэгээд наймдугаар сард илрүүлэгчид хэдхэн хоногийн дотор ирсэн.

### PHP2Shell-ийг хэн, хэрхэн олсон бэ?

1:56 Calif-ийн судлаач Ryan Austin наймдугаар сарын нэгэнд үүнийг олсон, OpenAI-ийн Patch the Planet программын хүрээнд ажиллаж байсан. OpenAI ижил үндсэн шалтгааныг бие даан мэдээлсэн. Wiz хэдхэн долоо хоногийн дараа Gemini болон GPT загваруудыг ашиглан хувилбаруудыг олж илрүүлсэн. Austin хэн ч авах боломжтой загваруудыг, мөн PHP-ийн хуучин алдаанууд хаана нуугддаг талаарх онолыг ашигласан гэж хэлсэн. OpenAI хилийн AI гол зүйл байсан гэж хэлсэн. Austin хэн ч авах боломжтой загваруудыг, мөн PHP-ийн хуучин алдаанууд хаана нуугддаг талаарх онолыг ашигласан гэж хэлсэн. Алдаа нь арваад жил нуугдаж байжээ. Хувилбарыг Пүрэв гарагт гаргахаар төлөвлөж байсан.

### PHP2Shell-ийн хориг хэрхэн задарсан бэ?

2:21 Мягмар гарагт хоёр CVE дугаар онлайнаар тархаж эхэлсэн, буруу гаргах хугацаа болон буруу оноо арван оноотойгоор. PHP гаргалтыг нэг өдрөөр урагшлуулсан. Тэр орой Calif санамсаргүйгээр нотлох баримтын видеог нийтэлсэн, мөн хуулбарууд устгаснаас хойш ч үлдсэн. Лхагва гарагийн өглөө, хувилбар гарахаас зургаа гаруй цагийн өмнө, Chainguard засварыг агуулсан бэлэн зургуудыг нийтэлсэн. PHP бусад бүх хүн хүлээж байхад ямар ч халдагч тэр засварыг судлах боломжтой байсан гэж хэлсэн.

2:46 Засвар нь мөн diff бөгөөд халдагчид diff-ийг уншдаг.

### PHP2Shell ашиглагдаж байгаа юу, хэн ашиглаж байна вэ?

2:50 Тэгэхээр хэнд үнэндээ халдлага учирч байна вэ? Amazon-ийн "honeypot" 10-р сарын 17-нд оролдлогыг бүртгэж, дараа нь PHP2Shell өргөн хүрээнд ашиглагдсан гэж мэдэгджээ. Amazon-ийн "honeypot" 10-р сарын 17-нд оролдлогыг бүртгэж, дараа нь PHP2Shell өргөн хүрээнд ашиглагдсан гэж мэдэгджээ. watchTowr бодит ашиглалтыг мэдээлсэн. Cisa нийтлэл гаргахдаа ямар ч ажиглалт хийгээгүй гэж хэлсэн, мөн PHP-ийн баг хувилбар гарах үед ажиллагаатай ашиглалтыг хараагүй. Cisa нийтлэл гаргахдаа ямар ч ажиглалт хийгээгүй гэж хэлсэн, мөн PHP-ийн баг хувилбар гарах үед ажиллагаатай ашиглалтыг хараагүй. Cloudflare-ийн гүйцэтгэх захирал зарлахаас өмнөх арван цагийн дотор хэдэн мянган оролдлого, Пүрэв гарагийн өглөө гэхэд сая сая оролдлого хийгдсэн гэж хэлсэн. Cloudflare-ийн гүйцэтгэх захирал зарлахаас өмнөх арван цагийн дотор хэдэн мянган оролдлого, Пүрэв гарагийн өглөө гэхэд сая сая оролдлого хийгдсэн гэж хэлсэн.

3:13 Amazon нэг зүйл дээр болгоомжтой байдаг. Түүний хамгийн эртний оролдлогууд бодит систем дээр ажиллах байсан эсэхийг мэдэхгүй. Оролдлого бол зөвхөн хаалгыг тогших юм. Тэгэхээр энэ үнэхээр хэр муу вэ? watchTowr тархаж буй олон нийтийн ашиглалтууд ихэвчлэн уналтанд оруулдаг эсвэл юу ч хийдэггүй гэж хэлсэн. VulnCheck зарим тохиргоонд код гүйцэтгэл ажилладаг бөгөөд олон нийтийнх нь ердийн x86 серверүүд дээрх санах ойн санамсаргүй байдлыг ялдаггүй гэж хэлсэн. VulnCheck зарим тохиргоонд код гүйцэтгэл ажилладаг бөгөөд олон нийтийнх нь ердийн x86 серверүүд дээрх санах ойн санамсаргүй байдлыг ялдаггүй гэж хэлсэн. Судлаач Elias Taylor энэ нь Log4Shell шиг хялбар биш гэж хэлсэн.

3:40 Бүгд одоо ч гэсэн засварлахыг хэлдэг. Засгийн газрууд шүүхийн шийдвэрийг хүлээгээгүй.

### Засгийн газрууд юуг офлайн болгосон бэ?

3:44 NSA засвар хийх боломжгүй байгууллагуудад PHP системийг офлайн болгохыг хэлсэн, мөн Их Британийн Үндэсний Кибер Аюулгүй Байдлын Төв ижил зөвлөгөө өгсөн. Голландын сайтууд, түүний дотор үндэсний дижитал таних үйлчилгээ, Парисын цагдаагийн сайттай хамт харанхуй болсон. Wikimedia урьдчилан сэргийлэх зорилгоор хэд хэдэн системийг унтраасан. Palo Alto Networks хорин хоёр сая гаруй ил задгай хувилбарыг тоолсон. Мөн Австралийн профессор хамгийн хурц зүйлийг хэлсэн. Санаа зовох ёстой сайтууд бол өнөөдөр унтраагүй байгаа сайтууд юм.

### PHP-ийн ямар хувилбарууд засвар авах вэ?

4:11 PHP найман цэг хоёроос найман цэг тав хүртэлх засварууд байдаг. Долоон цэг дөрөв, найман цэг тэг болон найман цэг нэгд, PHP зөвхөн эх кодыг зассан. Хуучин хувилбарууд PHP төслөөс юу ч авахгүй, тиймээс таны түгээлтээс асуугаарай. Зайлуулах аргууд боломжийг багасгадаг ч PHP шинэчлэх нь цорын ганц бүрэн засвар гэж хэлсэн. Энэ бол өчигдрийн eMudhra-ийн хэсэгтэй ижил сургамж юм.

### Та PHP2Shell-ийн талаар өнөө орой юу хийх вэ?

4:32 Учир нь засвар байгаа гэдэг нь ажиллаж буй процесс түүнийг агуулж байна гэсэн үг биш юм. Таны стек дэх бүх PHP-ийг, тэр ч байтугай бусад программ хангамж дотор нуугдаж буй хуулбаруудыг олоорой. Шинэчилж, ажилчдыг дахин эхлүүлж, 10-р сарын 17-ноос хойших бүртгэлүүдийг шалгаарай. Ижил өдөр GitLab чухал засварын хувилбарыг гаргасан,

### Өнөөдөр өөр юу ноцтой RCE засвартай гарсан бэ?

4:47 арван есөн цэг таван цэг нэг. Түүний тогтмол илэрхийллийн компайлер дэх бүхэл тооны хальсан алдаа нь нэгжгүй хэрэглэгчид сервер дээр код ажиллуулах боломж олгодог бөгөөд энэ нь арван онооноос арван оноо авдаг. нэгжгүй хэрэглэгчид сервер дээр код ажиллуулах боломж олгодог бөгөөд энэ нь арван онооноос арван оноо авдаг. GitLab.com аль хэдийн засварлагдсан. Өөрөө удирддаг суулгалтууд шинэчлэлтийг шаарддаг.

### Яагаад Meta-д 25 тэрбум долларын торгууль ногдуулсан бэ?

5:01 Үүний зэрэгцээ Нью-Мексикод шүүгч Meta-д Cambridge Analytica-ийн хэргээр хорин таван тэрбум долларын торгууль төлөхийг захирамжилсан. Үүний зэрэгцээ Нью-Мексикод шүүгч Meta-д Cambridge Analytica-ийн хэргээр хорин таван тэрбум долларын торгууль төлөхийг захирамжилсан. Шүүгчийн шийдвэр гаргахаас өмнө нийт хоёр зуун хорин тэрбум орчим доллар болсон нь дөчин гурван сая гаруй зөрчил, тус бүр таван мянган доллараар тооцогдсон. Шүүгчийн шийдвэр гаргахаас өмнө нийт хоёр зуун хорин тэрбум орчим доллар болсон нь дөчин гурван сая гаруй зөрчил, тус бүр таван мянган доллараар тооцогдсон. Meta давж заалдах шатанд ялна гэж хэлсэн. Одоо миний амласан хамгаалалт.

### Chainguard-ийн эрт засвар хийсэн хамгаалалт юу вэ?

5:19 Chainguard-ийн гүйцэтгэх захирал The Register-д PHP-д ямар нэг зүйл ирж байгааг мэдсэний дараа Баасан гарагийн орой өөрөө ижил алдаануудыг олж, муу эмзэг байдлыг олох энгийн хүсэлтийг ашигласан гэж хэлсэн. Chainguard-ийн гүйцэтгэх захирал The Register-д PHP-д ямар нэг зүйл ирж байгааг мэдсэний дараа Баасан гарагийн орой өөрөө ижил алдаануудыг олж, муу эмзэг байдлыг олох энгийн хүсэлтийг ашигласан гэж хэлсэн. Тэрээр хүмүүс аль хэдийн өртөж байсан тул эрт гаргасан гэж хэлсэн. Хэрэв та үүнийг миний хэлэхийг сонсохоос илүү уншихыг хүсвэл, Тэрээр хүмүүс аль хэдийн өртөж байсан тул эрт гаргасан гэж хэлсэн. Хэрэв та үүнийг миний хэлэхийг сонсохоос илүү уншихыг хүсвэл, diff өдөр бүр өглөө таны и-мэйл хайрцагт үнэ төлбөргүй daily diff dot dev хаягаар очно, холбоос доор байна. Тиймээс өнөөдрийн шүүхийн шийдвэр SHIP IT. diff өдөр бүр өглөө таны и-мэйл хайрцагт үнэ төлбөргүй daily diff dot dev хаягаар очно, холбоос доор байна. Тиймээс өнөөдрийн шүүхийн шийдвэр SHIP IT.

### Юу SHIP IT тамга авах вэ?

5:39 PHP-ийн шинэчлэлтийг өнөө орой гарга, учир нь шинэ хувилбарын дугаар нь цорын ганц бүрэн засвар юм. Мөн энэ бол өнөөдрийн diff. Би Axrisi-ийн Niko байна. Хариуцлагатай нэгтгэнэ үү.

## Эх сурвалжууд

- [Today's PHP Security Release, and How We're Strengthening PHP Security](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/) — The PHP Foundation
- [RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w) — PHP security advisory
- [RCE via stale global state (GHSA-6wmf-4rv5-p3rp)](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp) — PHP security advisory
- [Upcoming Critical PHP Security Release](https://www.php.net/archive/2026.php) — php.net
- [php2shell](https://calif.io/php2shell/) — Calif
- [PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet](https://www.wiz.io/blog/php2shell-php-rce) — Wiz Research
- [Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot](https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/) — AWS Security Blog
- [Critical Vulnerabilities in PHP Require Immediate Patching](https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching) — CISA
- [Flaw in PHP computer language leads to shutdown of websites around world](https://www.theguardian.com/technology/2026/oct/21/flaw-in-php-computer-language-leads-to-shutdown-of-websites-around-world) — The Guardian
- [What is PHP, and how bad is the computer language flaw causing website shutdowns globally?](https://www.theguardian.com/technology/2026/oct/22/what-is-php-computer-language-flaw-causing-global-website-shutdowns) — The Guardian
- [PHP2Shell Exploitation Started Days Before Patches](https://www.securityweek.com/php2shell-exploitation-started-days-before-patches/) — SecurityWeek
- [PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619](https://www.tanium.com/blog/php2shell-responding-to-cve-2026-109618-and-cve-2026-109619) — Tanium
- [There isn't an easy exploit for this PHP vulnerability](https://eliastaylor.com/noexploit/) — Elias Taylor
- [PHP blames supply chain security biz Chainguard for putting entire web at risk](https://www.theregister.com/security/2026/10/22/php-blames-supply-chain-security-biz-chainguard-for-putting-entire-web-at-risk/5304611) — The Register
- [PHP2Shell: 22M exposed servers at risk as emergency patches released](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released) — TechTarget
- [PHP ships emergency patches for critical PHP2Shell flaws](https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/) — BleepingComputer
- [GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/) — GitLab
- [Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica case](https://www.cnbc.com/2026/10/21/meta-new-mexico-cambridge-analytica-penalty.html) — CNBC
- [Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming](https://news.ycombinator.com/item?id=50167754) — Hacker News