# PHP2Shell: PHP मा दुई गम्भीर त्रुटि, चुहावट भएको प्रतिबन्ध, र शोषणको बारेमा वास्तवमा के थाहा छ

Published: 2026-10-22

PHP ले CVE-2026-109618 र CVE-2026-109619 नामक दुईवटा महत्वपूर्ण रिमोट कोड कार्यान्वयन त्रुटिहरू, जसलाई PHP2Shell भनिन्छ, को लागि आपतकालीन समाधानहरू जारी गर्‍यो। यो अक्टोबर २१, २०२६ मा जारी गरिएको थियो। यस भागमा दुईवटा मेमोरी त्रुटिहरू, सन् २०२४ को अडिटबाट प्राप्त सुरागले किन समाधानको लागि पर्खियो, कसरी प्रतिबन्ध चुहियो, र कुन स्रोतहरूले शोषणको बारेमा के भन्छन् भन्ने बारेमा सरल शब्दमा व्याख्या गरिएको छ। यसले GitLab को सोही दिनको महत्वपूर्ण प्याच रिलीज र न्यू मेक्सिकोमा $२५ बिलियन मेटा जरिवाना आदेशलाई पनि समेट्छ।

Canonical: https://thedailydiff.dev/ne/video/2026-10-22-php2shell/

## यो भिडियोले के समेट्छ

- दुवै त्रुटिहरूलाई PHP टोलीले CVSS v4.0 मा 9.2 रेट गरेको छ। फिक्स गरिएका संस्करणहरू PHP 8.2.35, 8.3.36, 8.4.27 र 8.5.12 हुन्; PHP 7.4, 8.0 र 8.1 ले स्रोत प्याचहरू मात्र प्राप्त गरे। PHP भन्छ कि अद्यावधिक गर्नु मात्र पूर्ण समाधान हो।
- पहिलो त्रुटि PHP ले गलत समयमा मेमोरी सकिँदा अनुरोधलाई आधा बनाइएको अवस्थामा छोड्दा आउँछ। दोस्रो त्रुटि एउटै कार्यकर्तामा पछि आएको अनुरोधले प्रयोग गर्न सक्ने अघिल्लो अनुरोधको मेमोरीमा छोडिएको पोइन्टरबाट आउँछ। mod\_php सँग Apache मा पहिलो मार्ग अनुप्रयोग कोड भन्दा पहिले चल्छ।
- एक PHP कोर विकासकर्ताले 2024 को अडिटको क्रममा मेमोरी समस्याको पहिलो संकेत फेला पारे। PHP फाउन्डेशन भन्छ कि प्रतिस्पर्धात्मक समाधानहरूमा trade-offs थिए र सहमतिमा आधारित सुरक्षा टोलीले छनौट गर्न संघर्ष गर्यो, जसलाई यसले संरचनात्मक असफलता भन्छ।
- फाउन्डेशन भन्छ कि CVE ID हरू अक्टोबर 20 मा चुहिए, Calif ले गल्तीले एक प्रमाण-अवधारणा भिडियो प्रकाशित गर्यो, र Chainguard ले रिलीज हुनु भन्दा छ घण्टा भन्दा बढी अगाडि फिक्सको साथ निर्मित छविहरू प्रकाशित गर्यो। Chainguard को सीईओ भन्छ कि मानिसहरू पहिले नै प्रभावित भइरहेका थिए र उनले बगहरू स्वतन्त्र रूपमा फेला पारे।
- शोषणको बारेमा स्रोतहरू असहमत छन्। अमेजनले अक्टोबर 17 मा एक प्रयास लग गर्यो र पछि भन्यो कि PHP2Shell व्यापक रूपमा शोषण गरिएको थियो। watchTowr ले जंगलीमा शोषण रिपोर्ट गर्यो। CISA ले प्रकाशनको समयमा शोषण अवलोकन गरेको थिएन, र PHP टोलीले रिलीजमा कुनै कार्यात्मक शोषण फेला पारेन। धेरै सार्वजनिक प्रमाण-अवधारणा स्क्रिप्टहरूले काम नगरेको रिपोर्ट गरिएको छ।
- PHP चल्ने हरेक स्थान जाँच गर्नुहोस्, अन्य सफ्टवेयर भित्रका प्रतिलिपिहरू सहित, अद्यावधिक गर्नुहोस्, कार्यकर्ताहरू पुन: सुरु गर्नुहोस् र अक्टोबर 17 सम्मका लगहरू समीक्षा गर्नुहोस्।

## प्रश्न र उत्तर

### PHP2Shell का दुई कमजोरीहरू के हुन्?

PHP2Shell ले दुई महत्वपूर्ण PHP त्रुटिहरू, CVE-2026-109618 र CVE-2026-109619 लाई नामकरण गर्दछ, दुवैलाई PHP टोलीले 9.2 रेट गरेको छ। पहिलोले PHP गलत समयमा मेमोरी सकिँदा अनुरोधलाई आधा बनाइएको अवस्थामा छोड्छ, र सफाईले त्यसपछि यसलाई विश्वास गर्छ। दोस्रोले एउटै कार्यकर्तामा पछि आएको अनुरोधले प्रयोग गर्न सक्ने अघिल्लो अनुरोधको मेमोरीमा पोइन्टर छोड्छ। दुवैले लगइन बिना कोड कार्यान्वयनमा नेतृत्व गर्न सक्छन्।

### PHP2Shell को लागि कुन PHP संस्करणहरूमा समाधान छ, र असमर्थित संस्करणहरूको बारेमा के छ?

PHP परियोजनाले अक्टोबर 21 मा 8.2.35, 8.3.36, 8.4.27 र 8.5.12 मा समाधानहरू जारी गर्यो। 7.4, 8.0 र 8.1 को लागि यसले स्रोत प्याचहरू मात्र प्रकाशित गर्यो, र BleepingComputer ले रिपोर्ट गर्छ कि वितरण र दीर्घकालीन समर्थन विक्रेताहरूले ब्याकपोर्टेड समाधानहरू आपूर्ति गर्न सक्छन्। PHP भन्छ कि कुनै पूर्ण कार्यविधि छैन, त्यसैले अद्यावधिक गर्नु वा विक्रेतासँग प्याच गरिएको प्याकेजको लागि सोध्नु मात्र सुरक्षित विकल्प हो।

### एक ज्ञात PHP मेमोरी बगलाई अक्टोबर 2026 सम्म समाधान गर्न किन लाग्यो?

PHP फाउन्डेशन भन्छ कि एक कोर विकासकर्ताले 2024 को सुरक्षा अडिटको क्रममा मेमोरी समस्याको पहिलो संकेत फेला पारे, तर कुनै शोषण मार्ग ज्ञात थिएन र हरेक उम्मेदवार समाधानमा अनुकूलता बिग्रने जस्ता trade-offs थिए। सुरक्षा टोलीले सहमतिले निर्णय गर्छ र छनौट गर्न संघर्ष गर्यो, जसलाई फाउन्डेशनले यसको निर्णय प्रक्रिया र स्रोतहरूको अभावले गर्दा संरचनात्मक असफलता भन्छ।

### के PHP2Shell को शोषण भइरहेको छ, र यसलाई शोषण गर्न कति सजिलो छ?

स्रोतहरू असहमत छन्। अमेजनले अक्टोबर 17 मा एक शोषण प्रयास लग गर्यो र पछि भन्यो कि PHP2Shell व्यापक रूपमा शोषण गरिएको थियो, र watchTowr ले जंगलीमा शोषण रिपोर्ट गर्यो। CISA ले प्रकाशनको समयमा शोषण अवलोकन गरेको थिएन, र PHP टोलीले रिलीजमा कुनै कार्यात्मक शोषण देखेको थिएन। watchTowr भन्छ कि धेरैजसो सार्वजनिक शोषण स्क्रिप्टहरू क्र्यास हुन्छन् वा केही गर्दैनन्, र VulnCheck ले कोड कार्यान्वयन केही सेटअपहरूमा मात्र काम गर्छ भनेर फेला पार्यो।

### PHP2Shell मा The Daily Diff को फैसला के थियो?

The Daily Diff को फैसला SHIP IT थियो: PHP अपडेट आज राती पठाउनुहोस्, किनभने नयाँ संस्करण नै एक मात्र पूर्ण समाधान हो। CISA ले अन्य सफ्टवेयर भित्रका प्रतिलिपिहरू सहित PHP चलाउने हरेक प्रणालीको सूची लिन, प्याच लागू गर्न, र अद्यावधिक गर्न नसकिने PHP प्रणालीहरूलाई अफलाइन गर्न भन्छ। अमेजनले अक्टोबर 17 सम्मका लगहरू समीक्षा गर्न सल्लाह दिन्छ, जब यसले पहिलो प्रयास देख्यो।

## अध्यायहरू

- 0:00 PHP2Shell कसले चार दिन अगाडि प्रयास गर्यो?
- 0:41 दुई PHP2Shell बगहरू के हुन्?
- 1:37 एक ज्ञात बग किन दुई वर्ष कुर्यो?
- 1:54 PHP2Shell कसले फेला पार्यो, र कसरी?
- 2:20 PHP2Shell को प्रतिबन्ध कसरी चुहियो?
- 2:50 के PHP2Shell को शोषण भइरहेको छ, र कसद्वारा?
- 3:43 सरकारहरूले के अफलाइन गरे?
- 4:11 कुन PHP संस्करणहरूले फिक्स पाउँछन्?
- 4:30 आज राती PHP2Shell को बारेमा के गर्ने?
- 4:45 आज अरू केही महत्वपूर्ण RCE प्याच पठाइयो?
- 5:01 मेटालाई $25 बिलियन तिर्न किन आदेश दिइयो?
- 5:18 चाईंगार्डको प्रारम्भिक समाधानको लागि रक्षा के हो?
- 5:38 के SHIP IT स्ट्याम्प पाउँछ?

## अनुवादित ट्रान्सक्रिप्ट

मूल अंग्रेजी कथाबाट अनुवादित। उपलब्ध अडियो र क्याप्सनहरू YouTube द्वारा नियन्त्रित हुन्छन्।

### PHP2Shell कसले चार दिन अगाडि प्रयास गर्यो?

0:00 एउटा सुरक्षा प्रतिबन्धले प्याच नपठाएसम्म बगलाई शान्त राख्नुपर्छ। अमेजनले PHP को महत्वपूर्ण बग विरुद्ध चार दिन अगाडि एक प्रयास लग गर्यो। यो भिडियोमा, कसले यसलाई फेला पार्यो? प्रतिबन्ध कसरी चुहियो? र यो वास्तवमा कति खराब छ? र चुहावटको लागि जिम्मेवार कम्पनीको मेरो अपेक्षा नगरेको रक्षा छ। म त्यहाँ पुग्नेछु। यो बिहीबार, अक्टोबर बाईस तारिख हो, र यो The Daily Diff हो।

0:21 PHP एउटा स्क्रिप्टिङ भाषा हो जसले वेब पृष्ठहरू सर्भरमा बनाउँछन् तपाईंकहाँ पुग्नु भन्दा ठिक अगाडि। यो तीस वर्ष भन्दा पुरानो छ र, एक अनुमान अनुसार, WordPress र Wikipedia पछाडिको सफ्टवेयर सहित लगभग सत्तरी प्रतिशत वेबसाइटहरू चलाउँछ। विकासकर्ताहरू यसलाई मजाक गर्न मन पराउँछन्, प्रायः PHP ले तिनीहरूलाई सेवा गरिरहेको पृष्ठबाट। यसको मर्मतसम्भार लगभग तेह्र इन्जिनियरहरूसँगको एक गैर-लाभकारी संस्था हो।

### दुई PHP2Shell बगहरू के हुन्?

0:41 बुधबार, PHP ले दुई महत्वपूर्ण त्रुटिहरूको लागि आपत्कालीन समाधानहरू पठायो जसले एक अपरिचित व्यक्तिलाई लगइन बिना सर्भरमा कोड चलाउन दिन्छ। तिनीहरूलाई सामूहिक रूपमा PHP2Shell भनिन्छ, र तिनीहरू PHP पाँच दशमलव चारमा फर्कन्छन्। यहाँ पहिलो बगलाई साधारण शब्दमा प्रस्तुत गरिएको छ। PHP ले हरेक अनुरोधलाई मेमोरी बजेट दिन्छ। यदि एक अनुरोधले त्यो सीमामा ठ्याक्कै गलत क्षणमा हिट गर्यो भने, PHP हतारमा बाहिर निस्कन्छ र अनुरोधलाई आधा बनाइएको छोड्छ। त्यसपछि सफाई चरणले आधा बनाइएको चीजलाई विश्वास गर्छ।

1:07 दोस्रो बग एउटा बाँकी रहेको हो। एक घातक त्रुटिले अघिल्लो अनुरोधको मेमोरीमा पोइन्ट गर्ने नोट छोड्न सक्छ। सोही कार्यकर्ताले अर्को अनुरोध ह्यान्डल गर्छ र नोटलाई पछ्याउँछ। त्यसबेलासम्म अरू कोही त्यो ठेगानामा बस्छ। mod PHP सँग Apache मा, क्षति तपाईंको आफ्नै कोड चल्नु अघि हुन्छ, त्यसैले तपाईंको लगइन पृष्ठले कहिल्यै मतदान पाउँदैन। Wiz भन्छ कि एक hello world स्क्रिप्ट पनि उजागर हुन्छ। समाधानले मेमोरी सकिएका लागि PHP को आपत्कालीन निकास हटाउँछ।

1:32 अनुरोधको बीचमा बाहिर निस्कनुको सट्टा, PHP अब अर्को सुरक्षित बिन्दुमा शिष्टतापूर्वक रोकिन्छ। अनौठो कुरा पहिलो सुराग कति पुरानो छ।

### एक ज्ञात बग किन दुई वर्ष कुर्यो?

1:39 2024 मा, एक बाहिरी सुरक्षा अडिटले एक PHP कोर विकासकर्तालाई मेमोरी समस्याको पहिलो संकेतमा पुर्यायो। कुनै शोषण ज्ञात थिएन, र हरेक समाधानले केहि बिगार्यो। सहमतिले निर्णय गर्ने टोलीले छनौट गर्न सकेन, त्यसैले बग पर्खियो। त्यसपछि अगस्तमा, खोजकर्ताहरू केही दिनभित्र आइपुगे।

### PHP2Shell कसले फेला पार्यो, र कसरी?

1:56 Calif अनुसन्धानकर्ता रायन अस्टिनले अगस्त एकमा यसलाई फेला पारे, OpenAI को Patch the Planet कार्यक्रम मार्फत काम गर्दै। OpenAI ले सोही मूल कारण स्वतन्त्र रूपमा रिपोर्ट गर्यो। Wiz ले केही हप्ता पछि Gemini र GPT मोडेलहरूसँग भिन्नताहरू फेला पार्यो। अस्टिन भन्छन् कि उनले जो कोहीले पनि प्राप्त गर्न सक्ने मोडेलहरू प्रयोग गरे, साथै PHP को पुरानो बगहरू कहाँ लुकेका छन् भन्ने बारे एक सिद्धान्त। OpenAI भन्छ कि फ्रन्टियर AI नै मुख्य थियो। बग एक दशक भन्दा बढी समयदेखि लुकेको थियो। रिलिज बिहीबारको लागि योजना गरिएको थियो।

### PHP2Shell को प्रतिबन्ध कसरी चुहियो?

2:21 मंगलबार, दुई CVE नम्बरहरू अनलाइन प्रसारित हुन थाले, गलत रिलिज समय र दसको गलत स्कोरको साथ। PHP ले रिलिजलाई एक दिन अगाडि सार्यो। त्यो साँझ, Calif ले गल्तीले आफ्नो प्रमाण-अवधारणाको काम गरिरहेको भिडियो प्रकाशित गर्यो, र प्रतिलिपिहरू मेटाउनु भन्दा लामो समयसम्म जीवित रहे। बुधबार बिहान, रिलिज हुनु भन्दा छ घण्टा भन्दा बढी अगाडि, Chainguard ले समाधान सहितका निर्मित छविहरू प्रकाशित गर्यो। PHP भन्छ कि कुनै पनि आक्रमणकारीले त्यो समाधान अध्ययन गर्न सक्थे जबकि अरू सबैले पर्खिरहेका थिए।

2:46 एक प्याच पनि एउटा डिफ हो, र आक्रमणकारीहरूले डिफ पढ्छन्।

### के PHP2Shell को शोषण भइरहेको छ, र कसद्वारा?

2:50 त्यसोभए वास्तवमा कसलाई प्रभावित भइरहेको छ? अमेजनको honeypot ले अक्टोबर सत्र तारिखमा एक प्रयास लग गर्यो र पछि भन्यो कि PHP2Shell व्यापक रूपमा शोषण गरिएको छ। watchTowr ले जंगलीमा शोषण रिपोर्ट गर्छ। Cisa ले प्रकाशित गर्दा कुनै अवलोकन नगरेको भन्यो, र PHP को टोलीले रिलिजमा कुनै काम गरिरहेको शोषण देखेको थिएन। क्लाउडफ्लेयरका सीईओले घोषणा हुनु भन्दा दश घण्टा अगाडि हजारौं प्रयासहरू देखेको बताए, र बिहीबार बिहानसम्म लाखौं।

3:13 अमेजन एक बिन्दुमा सावधान छ। यसलाई थाहा छैन कि यसको प्रारम्भिक प्रयासहरू वास्तविक प्रणालीमा काम गर्थे वा गर्थेनन्। एक प्रयास मात्र ढोकामा ढकढक हो। त्यसोभए यो वास्तवमा कति खराब छ? watchTowr भन्छ कि सार्वजनिक शोषणहरू प्रायः क्र्यास हुन्छन् वा केही गर्दैनन्। VulnCheck भन्छ कि कोड कार्यान्वयन केही सेटअपहरूमा काम गर्दछ, र कुनै पनि सार्वजनिक x86 सर्भरहरूमा मेमोरी र्यान्डमाइजेसनलाई हराउँदैनन्। अनुसन्धानकर्ता इलियास टेलर भन्छन् कि यो Log4Shell जत्तिकै सजिलो छैन।

3:40 सबैले अझै पनि प्याच भन्छन्। सरकारहरूले फैसलाको लागि कुर्नु परेन।

### सरकारहरूले के अफलाइन गरे?

3:44 NSA ले प्याच गर्न नसक्ने संस्थाहरूलाई PHP प्रणालीहरू अफलाइन गर्न भन्यो, र UK को राष्ट्रिय साइबर सुरक्षा केन्द्रले समान सल्लाह दियो। डच साइटहरू, राष्ट्रिय डिजिटल पहिचान सेवा सहित, पेरिस पुलिस साइटसँगै बन्द भए। Wikimedia ले सावधानीका रूपमा धेरै प्रणालीहरू बन्द गर्यो। Palo Alto Networks ले बाईस मिलियन भन्दा बढी उजागर गरिएका उदाहरणहरू गणना गर्यो। र एक अष्ट्रेलियाई प्रोफेसरले सबैभन्दा तीखो कुरा गरे। चिन्ता गर्नुपर्ने साइटहरू आज बन्द नभएका हुन्।

### कुन PHP संस्करणहरूले फिक्स पाउँछन्?

4:11 PHP आठ दशमलव दुई देखि आठ दशमलव पाँचका लागि समाधानहरू अवस्थित छन्। सात दशमलव चार, आठ दशमलव ओह र आठ दशमलव एकका लागि, PHP ले स्रोत प्याचहरू मात्र प्रकाशित गर्यो। पुरानो संस्करणहरूले PHP परियोजनाबाट केही पनि पाउँदैनन्, त्यसैले तपाईंको वितरणलाई सोध्नुहोस्। कार्यविधिहरूले सम्भावना घटाउँछन्, तर PHP भन्छ कि अद्यावधिक गर्नु मात्र पूर्ण समाधान हो। यो हिजोको eMudhra एपिसोड जस्तै पाठ हो,

### आज राती PHP2Shell को बारेमा के गर्ने?

4:32 किनभने समाधान अवस्थित हुनु भनेको चलिरहेको प्रक्रियामा त्यो हुनु जस्तो होइन। तपाईंको स्ट्याकमा हरेक PHP फेला पार्नुहोस्, अन्य सफ्टवेयर भित्र लुकेका प्रतिलिपिहरू सहित। अद्यावधिक गर्नुहोस्, कार्यकर्ताहरू पुन: सुरु गर्नुहोस्, र अक्टोबर सत्र तारिखसम्मका लगहरू जाँच गर्नुहोस्। सोही दिन, GitLab ले एक महत्वपूर्ण प्याच रिलीज पठायो,

### आज अरू केही महत्वपूर्ण RCE प्याच पठाइयो?

4:47 उनाईस दशमलव पाँच दशमलव एक। यसको नियमित अभिव्यक्ति कम्पाइलरमा एक पूर्णांक ओभरफ्लोले एक अनाधिकृत प्रयोगकर्तालाई सर्भरमा कोड चलाउन दिन्छ, र यसले दश मध्ये दश अंक प्राप्त गर्दछ। GitLab डट कम पहिले नै प्याच गरिएको छ। स्व-व्यवस्थित स्थापनाहरूलाई अद्यावधिक चाहिन्छ। यसबीच न्यू मेक्सिकोमा, एक न्यायाधीशले मेटालाई क्याम्ब्रिज एनालिटिकाको कारणले पच्चीस बिलियन डलर

### मेटालाई $25 बिलियन तिर्न किन आदेश दिइयो?

5:01 जरिवाना तिर्न आदेश दिए। जुरीले चालीस मिलियन भन्दा बढी उल्लंघनहरू प्रत्येक पाँच हजार डलरसम्म गणना गर्यो, जुन न्यायाधीशले काट्नु अघि लगभग दुई सय बीस बिलियनमा पुग्यो। मेटा भन्छ कि यसले पुनरावेदनमा जित्नेछ। अब मैले वाचा गरेको रक्षा। Chainguard का सीईओले The Register लाई बताए कि उनले सोही बगहरू आफैंले एक शुक्रबार

### चाईंगार्डको प्रारम्भिक समाधानको लागि रक्षा के हो?

5:19 राती फेला पारे, PHP मा केहि आउँदैछ भनेर थाहा पाएपछि, खराब कमजोरीहरू फेला पार्न एक आधारभूत प्रम्प्टको साथ। उनी भन्छन् कि मानिसहरू पहिले नै प्रभावित भइरहेकाले उनले चाँडै पठाए। यदि तपाईं यो सुन्नुको सट्टा पढ्न चाहनुहुन्छ भने, diff हरेक बिहान तपाईंको इनबक्समा आउँछ, the daily diff dot dev मा निःशुल्क, तल लिङ्क। त्यसैले आजको फैसला SHIP IT हो। PHP अपडेट आज राती पठाउनुहोस्, किनभने नयाँ संस्करण नम्बर मात्र पूर्ण

### के SHIP IT स्ट्याम्प पाउँछ?

5:39 समाधान हो। र आजको लागि यो नै diff हो। म Axrisi बाट Niko हुँ। जिम्मेवारीपूर्वक मर्ज गर्नुहोस्। जिम्मेवारीपूर्वक मर्ज गर्नुहोस्।

## स्रोतहरू

- [Today's PHP Security Release, and How We're Strengthening PHP Security](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/) — The PHP Foundation
- [RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w) — PHP security advisory
- [RCE via stale global state (GHSA-6wmf-4rv5-p3rp)](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp) — PHP security advisory
- [Upcoming Critical PHP Security Release](https://www.php.net/archive/2026.php) — php.net
- [php2shell](https://calif.io/php2shell/) — Calif
- [PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet](https://www.wiz.io/blog/php2shell-php-rce) — Wiz Research
- [Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot](https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/) — AWS Security Blog
- [Critical Vulnerabilities in PHP Require Immediate Patching](https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching) — CISA
- [Flaw in PHP computer language leads to shutdown of websites around world](https://www.theguardian.com/technology/2026/oct/21/flaw-in-php-computer-language-leads-to-shutdown-of-websites-around-world) — The Guardian
- [What is PHP, and how bad is the computer language flaw causing website shutdowns globally?](https://www.theguardian.com/technology/2026/oct/22/what-is-php-computer-language-flaw-causing-global-website-shutdowns) — The Guardian
- [PHP2Shell Exploitation Started Days Before Patches](https://www.securityweek.com/php2shell-exploitation-started-days-before-patches/) — SecurityWeek
- [PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619](https://www.tanium.com/blog/php2shell-responding-to-cve-2026-109618-and-cve-2026-109619) — Tanium
- [There isn't an easy exploit for this PHP vulnerability](https://eliastaylor.com/noexploit/) — Elias Taylor
- [PHP blames supply chain security biz Chainguard for putting entire web at risk](https://www.theregister.com/security/2026/10/22/php-blames-supply-chain-security-biz-chainguard-for-putting-entire-web-at-risk/5304611) — The Register
- [PHP2Shell: 22M exposed servers at risk as emergency patches released](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released) — TechTarget
- [PHP ships emergency patches for critical PHP2Shell flaws](https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/) — BleepingComputer
- [GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/) — GitLab
- [Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica case](https://www.cnbc.com/2026/10/21/meta-new-mexico-cambridge-analytica-penalty.html) — CNBC
- [Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming](https://news.ycombinator.com/item?id=50167754) — Hacker News