# PHP2Shell: PHP හි බරපතල අඩුපාඩු දෙකක්, කාන්දු වූ තහනමක් සහ සූරාකෑම ගැන ඇත්ත වශයෙන්ම දන්නා දේ

Published: 2026-10-22

PHP විසින් CVE-2026-109618 සහ CVE-2026-109619 ලෙස හඳුන්වන PHP2Shell නම් වූ දුරස්ථ කේත ක්‍රියාත්මක කිරීමේ දෝෂ දෙකක් සඳහා හදිසි නිවැරදි කිරීම් නිකුත් කරන ලදී. මෙම නිකුතුව 2026 ඔක්තෝබර් 21 දින නිකුත් කරන ලදී. මෙම කථාංගය මගින් මතක දෝෂ දෙක සරල වචන වලින් පැහැදිලි කරයි, 2024 විගණනයකින් ලැබුණු ඉඟියක් නිවැරදි කිරීමක් සඳහා බලා සිටියේ ඇයි, තහනම කාන්දු වූයේ කෙසේද, සහ සූරාකෑම පිළිබඳව කුමන මූලාශ්‍ර මොනවාදැයි කියනු ලැබේ. එය GitLab හි එකම දින විවේචනාත්මක පැච් නිකුතුවක් සහ නිව් මෙක්සිකෝවේ ඩොලර් බිලියන 25 ක Meta දඩ නියෝගයක් ද ආවරණය කරයි.

Canonical: https://thedailydiff.dev/si/video/2026-10-22-php2shell/

## මෙම වීඩියෝවෙන් ආවරණය වන දේ

- දෝෂ දෙකම PHP කණ්ඩායම විසින් CVSS v4.0 මත 9.2 ලෙස ශ්‍රේණිගත කර ඇත. ස්ථාවර නිකුතු වන්නේ PHP 8.2.35, 8.3.36, 8.4.27 සහ 8.5.12; PHP 7.4, 8.0 සහ 8.1 සඳහා මූලාශ්‍ර පැච් පමණක් ලැබුණි. PHP පවසන්නේ යාවත්කාලීන කිරීම එකම සම්පූර්ණ අවම කිරීම බවයි.
- පළමු දෝෂය වන්නේ වැරදි මොහොතක මතකය අවසන් වූ විට PHP ඉල්ලීමක් අඩක් ගොඩනඟා තිබීමෙනි. දෙවැන්න පැමිණෙන්නේ එක් ඉල්ලීමක මතකයට ඉතිරි වූ දර්ශකයකින් වන අතර එය එකම සේවකයාගේ පසුකාලීන ඉල්ලීමකට භාවිතා කළ හැකිය. mod\_php සමඟ Apache මත පළමු මාර්ගය යෙදුම් කේතයට පෙර ක්‍රියාත්මක වේ.
- 2024 විගණනයක් අතරතුර PHP මූලික සංවර්ධකයෙකු මතක ගැටලුවේ පළමු සලකුණු සොයා ගත්තේය. PHP පදනම පවසන්නේ තරඟකාරී නිවැරදි කිරීම්වලට අවාසි ඇති බවත්, එකඟතාවය මත පදනම් වූ ආරක්ෂක කණ්ඩායමකට තෝරා ගැනීමට අපහසු වූ බවත්, එය ව්‍යුහාත්මක අසාර්ථකත්වයක් ලෙස හඳුන්වන බවත්ය.
- පදනම පවසන්නේ CVE හැඳුනුම්පත් ඔක්තෝබර් 20 දින කාන්දු වූ බවත්, Calif විසින් අහම්බෙන් proof-of-concept වීඩියෝවක් ප්‍රකාශයට පත් කළ බවත්, Chainguard විසින් නිකුත් කිරීමට පැය හයකට වඩා පෙර නිවැරදි කිරීම් සහිත ගොඩනඟන ලද රූප ප්‍රකාශයට පත් කළ බවත්ය. Chainguard හි ප්‍රධාන විධායක නිලධාරියා පවසන්නේ මිනිසුන්ට දැනටමත් බලපෑම් එල්ල වෙමින් තිබූ බවත්, තමා ස්වාධීනව දෝෂ සොයා ගත් බවත්ය.
- සූරාකෑම සම්බන්ධයෙන් මූලාශ්‍ර එකඟ නොවේ. Amazon විසින් ඔක්තෝබර් 17 දින උත්සාහයක් ලොග් කරන ලද අතර පසුව PHP2Shell පුළුල් ලෙස සූරාකෑමට ලක් වූ බව පැවසීය. watchTowr විසින් වල් ප්‍රදේශයේ සූරාකෑම වාර්තා කරන ලදී. ප්‍රකාශයට පත් කිරීමේදී CISA විසින් සූරාකෑම නිරීක්ෂණය කර නොතිබූ අතර, PHP කණ්ඩායම නිකුත් කිරීමේදී ක්‍රියාකාරී සූරාකෑමක් සොයා ගත්තේ නැත. බොහෝ පොදු proof-of-concept ස්ක්‍රිප්ට් ක්‍රියා නොකරන බව වාර්තා වේ.
- PHP ක්‍රියාත්මක වන සෑම තැනක්ම පරීක්ෂා කරන්න, වෙනත් මෘදුකාංග තුළ ඇති පිටපත් ඇතුළුව, යාවත්කාලීන කරන්න, සේවකයින් නැවත ආරම්භ කරන්න සහ ඔක්තෝබර් 17 දක්වා ලොග් පරීක්ෂා කරන්න.

## ප්‍රශ්න සහ පිළිතුරු

### PHP2Shell අවදානම් දෙක කුමක්ද?

PHP2Shell විසින් බරපතල PHP අඩුපාඩු දෙකක් නම් කරයි, CVE-2026-109618 සහ CVE-2026-109619, දෙකම PHP කණ්ඩායම විසින් 9.2 ලෙස ශ්‍රේණිගත කර ඇත. පළමුවැන්න PHP වැරදි මොහොතක මතකය අවසන් වූ විට ඉල්ලීමක් අඩක් ගොඩනඟා තබයි, පසුව පිරිසිදු කිරීම එය විශ්වාස කරයි. දෙවැන්න එක් ඉල්ලීමක මතකයට දර්ශකයක් ඉතිරි කරයි, එය එකම සේවකයාගේ පසුකාලීන ඉල්ලීමකට භාවිතා කළ හැකිය. දෙකම පිවිසුමක් නොමැතිව කේත ක්‍රියාත්මක කිරීමට හේතු විය හැක.

### PHP2Shell සඳහා නිවැරදි කිරීමක් ඇති PHP අනුවාද මොනවාද, සහ සහය නොදක්වන අනුවාද ගැන කුමක් කිව හැකිද?

PHP ව්‍යාපෘතිය විසින් ඔක්තෝබර් 21 දින 8.2.35, 8.3.36, 8.4.27 සහ 8.5.12 හි නිවැරදි කිරීම් නිකුත් කරන ලදී. 7.4, 8.0 සහ 8.1 සඳහා එය මූලාශ්‍ර පැච් පමණක් ප්‍රකාශයට පත් කළ අතර, BleepingComputer වාර්තා කරන්නේ බෙදාහැරීම් සහ දිගුකාලීන සහය දක්වන වෙළෙන්දන් විසින් backported නිවැරදි කිරීම් සපයනු ඇති බවයි. PHP පවසන්නේ සම්පූර්ණ වැඩබිමක් නොමැති බවත්, එබැවින් යාවත්කාලීන කිරීම හෝ වෙළෙන්දෙකුගෙන් patched පැකේජයක් ඉල්ලා සිටීම එකම ආරක්ෂිත තේරීම බවත්ය.

### දන්නා PHP මතක දෝෂයක් නිවැරදි කිරීමට 2026 ඔක්තෝබර් දක්වා ගත වූයේ ඇයි?

PHP පදනම පවසන්නේ 2024 ආරක්ෂක විගණනයක් අතරතුර මූලික සංවර්ධකයෙකු මතක ගැටලුවේ පළමු සලකුණු සොයා ගත් නමුත්, කිසිදු සූරාකෑමේ මාර්ගයක් දැන නොසිටි අතර, සෑම අපේක්ෂක නිවැරදි කිරීමකටම අනුකූලතා බිඳීම් වැනි අවාසි තිබුණි. ආරක්ෂක කණ්ඩායම එකඟතාවය මත තීරණය කරන අතර තෝරා ගැනීමට අපහසු විය, එය පදනම විසින් එහි තීරණ ක්‍රියාවලිය සහ සම්පත් නොමැතිකම නිසා ඇති වූ ව්‍යුහාත්මක අසාර්ථකත්වයක් ලෙස හඳුන්වයි.

### PHP2Shell සූරාකෑමට ලක්ව තිබේද, එය සූරාකෑමට කොතරම් පහසුද?

මූලාශ්‍ර එකඟ නොවේ. Amazon විසින් ඔක්තෝබර් 17 දින සූරාකෑමේ උත්සාහයක් ලොග් කරන ලද අතර පසුව PHP2Shell පුළුල් ලෙස සූරාකෑමට ලක් වූ බව පැවසීය, සහ watchTowr විසින් වල් ප්‍රදේශයේ සූරාකෑම වාර්තා කරන ලදී. ප්‍රකාශයට පත් කිරීමේදී CISA විසින් සූරාකෑම නිරීක්ෂණය කර නොතිබූ අතර, PHP කණ්ඩායම නිකුත් කිරීමේදී ක්‍රියාකාරී සූරාකෑමක් දුටුවේ නැත. watchTowr පවසන්නේ බොහෝ පොදු සූරාකෑමේ ස්ක්‍රිප්ට් කඩා වැටෙන හෝ කිසිවක් නොකරන බවත්, VulnCheck විසින් කේත ක්‍රියාත්මක කිරීම සමහර සැකසුම් වල පමණක් ක්‍රියාත්මක වන බව සොයා ගත් බවත්ය.

### PHP2Shell පිළිබඳ The Daily Diff හි තීන්දුව කුමක්ද?

The Daily Diff හි තීන්දුව වූයේ SHIP IT: අද රෑ PHP යාවත්කාලීන කිරීම නැව්ගත කරන්න, මන්ද නව අනුවාදය එකම සම්පූර්ණ නිවැරදි කිරීම වන බැවිනි. CISA පවසන්නේ PHP ක්‍රියාත්මක වන සෑම පද්ධතියක්ම, වෙනත් මෘදුකාංග තුළ ඇති පිටපත් ඇතුළුව, පරීක්ෂා කරන ලෙසත්, පැච් එක යොදන ලෙසත්, යාවත්කාලීන කළ නොහැකි නම් PHP පද්ධති අන්තර්ජාලයෙන් ඉවත් කරන ලෙසත්ය. Amazon විසින් ඔක්තෝබර් 17 දක්වා ලොග් පරීක්ෂා කරන ලෙස උපදෙස් දෙයි, එය පළමු උත්සාහය දුටු විට.

## පරිච්ඡේද

- 0:00 PHP2Shell දින හතරකට පෙර උත්සාහ කළේ කවුද?
- 0:41 PHP2Shell දෝෂ දෙක කුමක්ද?
- 1:37 දන්නා දෝෂයක් වසර දෙකක් බලා සිටියේ ඇයි?
- 1:54 PHP2Shell සොයාගත්තේ කවුද සහ කෙසේද?
- 2:20 PHP2Shell තහනම කාන්දු වූයේ කෙසේද?
- 2:50 PHP2Shell සූරාකෑමට ලක්ව තිබේද සහ කා විසින්ද?
- 3:43 රජයන් අන්තර්ජාලයෙන් ඉවත් කළේ කුමක්ද?
- 4:11 කුමන PHP අනුවාදවලට නිවැරදි කිරීමක් ලැබේද?
- 4:30 අද රෑ PHP2Shell ගැන ඔබ කුමක් කරන්නේද?
- 4:45 අද තවත් කුමක්ද විවේචනාත්මක RCE පැච් එකක් නිකුත් කළේ?
- 5:01 Meta ට ඩොලර් බිලියන 25 ක් ගෙවීමට නියෝග කළේ ඇයි?
- 5:18 මුල් නිවැරදි කිරීම සඳහා Chainguard හි ආරක්ෂාව කුමක්ද?
- 5:38 SHIP IT මුද්දරය ලැබෙන්නේ කුමක්ද?

## පරිවර්තනය කරන ලද පිටපත

මුල් ඉංග්‍රීසි නිරූපණයෙන් පරිවර්තනය කරන ලදී. පවතින ශ්‍රව්‍ය සහ ශීර්ෂ පාඨ YouTube මගින් පාලනය වේ.

### PHP2Shell දින හතරකට පෙර උත්සාහ කළේ කවුද?

0:00 ආරක්ෂක තහනමක් යනු පැච් එක නිකුත් කරන තුරු දෝෂයක් නිහඬව තබා ගැනීමටය. ඇමසන් විසින් PHP හි බරපතල දෝෂයට දින හතරකට පෙර උත්සාහයක් ලොග් කරන ලදී. මෙම වීඩියෝවේ, එය සොයාගත්තේ කවුද? තහනම කාන්දු වූයේ කෙසේද? තවද, එය ඇත්තෙන්ම කෙතරම් නරකද? තවද, කාන්දුවට දොස් පැවරූ සමාගමට මම බලාපොරොත්තු නොවූ ආරක්ෂාවක් ඇත. මම එයට එන්නම්. අද ඔක්තෝබර් විසිදෙවැනි බ්‍රහස්පතින්දා, මෙය The Daily Diff.

0:21 PHP යනු වෙබ් පිටු සේවාදායකයේ ගොඩනඟන ස්ක්‍රිප්ටින් භාෂාවකි, ඒවා ඔබට ලැබීමට පෙර. එය වසර තිහකට වඩා පැරණි වන අතර, එක් ඇස්තමේන්තුවකට අනුව, WordPress සහ Wikipedia පිටුපස ඇති මෘදුකාංගය ඇතුළුව වෙබ් අඩවි වලින් සියයට හැත්තෑවක් පමණ ක්‍රියාත්මක කරයි. සංවර්ධකයින් එයට සමච්චල් කිරීමට ප්‍රිය කරයි, සාමාන්‍යයෙන් PHP විසින් සපයන පිටුවකින් ඔවුන්ට. එහි නඩත්තුව ලාභ නොලබන ආයතනයක් වන අතර ඉංජිනේරුවන් දහතුනක් පමණ සිටී.

### PHP2Shell දෝෂ දෙක කුමක්ද?

0:41 බදාදා, PHP විසින් බරපතල දෝෂ දෙකක් සඳහා හදිසි නිවැරදි කිරීම් නිකුත් කරන ලදී, එමඟින් ආගන්තුකයෙකුට පිවිසුමක් නොමැතිව සේවාදායකයක කේතය ක්‍රියාත්මක කිරීමට ඉඩ සලසයි. ඒවා එකට PHP2Shell ලෙස හැඳින්වේ, ඒවා PHP පහ දක්වා දිව යයි දශම හතර. සරල වචනවලින් පළමු දෝෂය මෙන්න. PHP සෑම ඉල්ලීමකටම මතක අයවැයක් ලබා දෙයි. ඉල්ලීමක් හරියටම වැරදි මොහොතක එම සීමාවට පැමිණියහොත්, PHP ඉක්මනින් ඉවත් වී ඉල්ලීම අඩක් ගොඩනඟා තබයි. එවිට පිරිසිදු කිරීමේ පියවර අඩක් ගොඩනඟන ලද දෙය විශ්වාස කරයි.

1:07 දෙවන දෝෂය ඉතිරි වූවකි. මාරාන්තික දෝෂයක් අවසන් ඉල්ලීමට අයත් මතකය වෙත යොමු කරන සටහනක් ඉතිරි කළ හැකිය. එම සේවකයා ඊළඟ ඉල්ලීම හසුරුවන අතර සටහන අනුගමනය කරයි. එතකොට වෙනත් කෙනෙක් ඒ ලිපිනයේ ඉන්නවා. mod PHP සමඟ Apache මත, හානිය ඔබේම කේතය ක්‍රියාත්මක වීමට පෙර සිදු වේ, එබැවින් ඔබේ පිවිසුම් පිටුවට කිසිදා ඡන්දයක් නොලැබේ. Wiz පවසන්නේ hello world ස්ක්‍රිප්ට් එකක් පවා නිරාවරණය වන බවයි. නිවැරදි කිරීම මගින් මතකය අවසන් වීම සඳහා PHP හි හදිසි පිටවීම ඉවත් කරයි.

1:32 ඉල්ලීම මැදින් ඉවත් නොවී, PHP දැන් ඊළඟ ආරක්ෂිත ස්ථානයේදී ආචාරශීලීව නවතී. අමුතු කොටස වන්නේ පළමු ඉඟිය කෙතරම් පැරණිද යන්නයි.

### දන්නා දෝෂයක් වසර දෙකක් බලා සිටියේ ඇයි?

1:39 2024 දී, බාහිර ආරක්ෂක විගණනයක් PHP මූලික සංවර්ධකයෙකු මතක ගැටලුවේ පළමු සලකුණු වෙත යොමු කරන ලදී. සූරාකෑමක් දැන සිටියේ නැත, සෑම නිවැරදි කිරීමක්ම යමක් කැඩී ගියේය. එකඟතාවය මත තීරණය කරන කණ්ඩායමකට තෝරා ගැනීමට නොහැකි වූ නිසා, දෝෂය බලා සිටියේය. ඉන්පසු අගෝස්තු මාසයේදී, සොයාගන්නන් දින කිහිපයක් ඇතුළත පැමිණියහ.

### PHP2Shell සොයාගත්තේ කවුද සහ කෙසේද?

1:56 Calif පර්යේෂක Ryan Austin එය අගෝස්තු පළමු දින සොයා ගත්තේය, OpenAI හි Patch the Planet වැඩසටහන හරහා වැඩ කරමින්. OpenAI ස්වාධීනව එකම මූලික හේතුව වාර්තා කළේය. Wiz සති කිහිපයකට පසුව Gemini සහ GPT ආකෘති සමඟ ප්‍රභේද සොයා ගත්තේය. Austin පවසන්නේ තමාට ඕනෑම කෙනෙකුට ලබා ගත හැකි ආකෘති භාවිතා කළ බවත්, PHP හි පැරණි දෝෂ සැඟවී ඇති ස්ථාන පිළිබඳ න්‍යායක් ද භාවිතා කළ බවත්ය. OpenAI පවසන්නේ frontier AI යතුර බවයි. දෝෂය දශකයකට වැඩි කාලයක් සැඟවී තිබුණි. නිකුතුව බ්‍රහස්පතින්දා සඳහා සැලසුම් කර තිබුණි.

### PHP2Shell තහනම කාන්දු වූයේ කෙසේද?

2:21 අඟහරුවාදා, CVE අංක දෙක අන්තර්ජාලය පුරා සංසරණය වීමට පටන් ගත්තේය, වැරදි නිකුත් කිරීමේ වේලාවක් සහ දහයක වැරදි ලකුණු සමඟ. PHP නිකුතුව දිනකට පෙරට ගත්තේය. එදින සවස, Calif අහම්බෙන් එහි proof of concept ක්‍රියාත්මක වන වීඩියෝවක් ප්‍රකාශයට පත් කළේය, සහ පිටපත් මකාදැමීමෙන් පසුවත් පැවතුණි. බදාදා උදෑසන, නිකුත් කිරීමට පැය හයකට වඩා පෙර, Chainguard විසින් නිවැරදි කිරීම් අඩංගු ගොඩනඟන ලද රූප ප්‍රකාශයට පත් කළේය. PHP පවසන්නේ අනෙකුත් සියලු දෙනා බලා සිටියදී ඕනෑම ප්‍රහාරකයෙකුට එම නිවැරදි කිරීම අධ්‍යයනය කළ හැකි බවයි.

2:46 පැච් එකක් යනු diff එකක් වන අතර, ප්‍රහාරකයන් diff කියවයි.

### PHP2Shell සූරාකෑමට ලක්ව තිබේද සහ කා විසින්ද?

2:50 ඉතින් ඇත්තටම බලපෑමට ලක්වන්නේ කවුද? Amazon හි honeypot විසින් ඔක්තෝබර් දහහත්වන දින උත්සාහයක් ලොග් කරන ලද අතර පසුව පැවසුවේ PHP2Shell පුළුල් ලෙස සූරාකෑමට ලක්වන බවයි. watchTowr විසින් වල් ප්‍රදේශයේ සූරාකෑම වාර්තා කරයි. Cisa පැවසුවේ එය ප්‍රකාශයට පත් කිරීමේදී කිසිවක් නිරීක්ෂණය කර නොතිබූ බවත්, PHP කණ්ඩායම නිකුත් කිරීමේදී කිසිදු ක්‍රියාකාරී සූරාකෑමක් දැක නොතිබූ බවත්ය. Cloudflare හි ප්‍රධාන විධායක නිලධාරියා පැවසුවේ නිවේදනයට පෙර පැය දහය තුළ උත්සාහයන් දහස් ගණනක් දුටු බවත්, බ්‍රහස්පතින්දා උදෑසන වන විට මිලියන ගණනක් දුටු බවත්ය.

3:13 ඇමසන් එක් කරුණක් ගැන සැලකිලිමත් වේ. එහි මුල්ම උත්සාහයන් සැබෑ පද්ධතියක ක්‍රියාත්මක වන්නේදැයි එය නොදනී. උත්සාහයක් යනු දොරට තට්ටු කිරීමක් පමණි. ඉතින්, එය ඇත්තෙන්ම කෙතරම් නරකද? watchTowr පවසන්නේ පොදු සූරාකෑම් බොහොමයක් කඩා වැටෙන හෝ කිසිවක් නොකරන බවයි. VulnCheck පවසන්නේ සමහර සැකසුම් වල කේත ක්‍රියාත්මක කිරීම ක්‍රියාත්මක වන බවත්, පොදු ඒවායින් කිසිවක් සම්මත x86 සේවාදායකවල මතක අහඹුකරණය පරාජය නොකරන බවත්ය. පර්යේෂක Elias Taylor පවසන්නේ එය Log4Shell තරම් පහසු නොවන බවයි.

3:40 හැමෝම තවමත් patch කරන්න කියනවා. රජයන් තීන්දුව සඳහා බලා සිටියේ නැත.

### රජයන් අන්තර්ජාලයෙන් ඉවත් කළේ කුමක්ද?

3:44 NSA විසින් patch කිරීමට නොහැකි සංවිධානවලට PHP පද්ධති අන්තර්ජාලයෙන් ඉවත් කරන ලෙස පැවසීය, සහ එක්සත් රාජධානියේ ජාතික සයිබර් ආරක්ෂක මධ්‍යස්ථානය ද ඒ හා සමාන උපදෙස් ලබා දුන්නේය. ජාතික ඩිජිටල් අනන්‍යතා සේවාව ඇතුළු ලන්දේසි වෙබ් අඩවි, පැරිස් පොලිස් වෙබ් අඩවියක් සමඟ අඳුරු විය. Wikimedia පූර්වාරක්ෂාවක් ලෙස පද්ධති කිහිපයක් අක්‍රිය කළේය. Palo Alto Networks විසින් නිරාවරණය වූ අවස්ථා මිලියන විසි දෙකකට වඩා ගණන් කරන ලදී. තවද, ඕස්ට්‍රේලියානු මහාචාර්යවරයෙකු තියුණුම කරුණ ඉදිරිපත් කළේය. කලබල විය යුතු වෙබ් අඩවි අද අක්‍රිය නොවන ඒවාය.

### කුමන PHP අනුවාදවලට නිවැරදි කිරීමක් ලැබේද?

4:11 PHP අට දශම දෙක සිට අට දශම පහ දක්වා නිවැරදි කිරීම් පවතී. හත දශම හතර, අට දශම බිංදුව සහ අට දශම එක සඳහා, PHP විසින් මූලාශ්‍ර පැච් පමණක් ප්‍රකාශයට පත් කරන ලදී. පැරණි අනුවාද සඳහා PHP ව්‍යාපෘතියෙන් කිසිවක් නොලැබේ, එබැවින් ඔබේ බෙදාහැරීමෙන් අසන්න. වටිනාකම් අඩු කිරීම් අවස්ථා අඩු කරයි, නමුත් PHP පවසන්නේ යාවත්කාලීන කිරීම එකම සම්පූර්ණ නිවැරදි කිරීම බවයි. එය ඊයේ eMudhra කථාංගයේ සමාන පාඩමකි,

### අද රෑ PHP2Shell ගැන ඔබ කුමක් කරන්නේද?

4:32 මක්නිසාද යත් නිවැරදි කිරීමක් පැවතීම සහ ක්‍රියාත්මක වන ක්‍රියාවලියට එය තිබීම සමාන නොවන බැවිනි. ඔබේ stack එකේ ඇති සෑම PHP එකක්ම සොයා ගන්න, වෙනත් මෘදුකාංග තුළ සැඟවී ඇති පිටපත් පවා. යාවත්කාලීන කරන්න, සේවකයින් නැවත ආරම්භ කරන්න, සහ ඔක්තෝබර් දහහත්වන දින දක්වා ලොග් පරීක්ෂා කරන්න. එදිනම, GitLab විසින් විවේචනාත්මක පැච් නිකුතුවක් නිකුත් කරන ලදී,

### අද තවත් කුමක්ද විවේචනාත්මක RCE පැච් එකක් නිකුත් කළේ?

4:47 දස නවය දශම පහ දශම එක. එහි නිඛිල අතිරික්තයක් සාමාන්‍ය ප්‍රකාශන සම්පාදකයෙකුට සත්‍යාපනය නොකළ පරිශීලකයෙකුට සේවාදායකයේ කේතය ක්‍රියාත්මක කිරීමට ඉඩ සලසයි, එය දහයෙන් දහය ලබා ගනී. GitLab.com දැනටමත් පැච් කර ඇත. තමන් විසින්ම කළමනාකරණය කරන ලද ස්ථාපනයන් සඳහා යාවත්කාලීන කිරීම අවශ්‍ය වේ.

### Meta ට ඩොලර් බිලියන 25 ක් ගෙවීමට නියෝග කළේ ඇයි?

5:01 මේ අතර නිව් මෙක්සිකෝවේ, විනිසුරුවරයෙකු Meta ට Cambridge Analytica සම්බන්ධයෙන් ඩොලර් බිලියන විසි පහක් දඩ වශයෙන් ගෙවන ලෙස නියෝග කළේය. ජූරි සභාව මිලියන හතළිස් තුනකට වැඩි උල්ලංඝනය කිරීම් ගණන් කළේය, එක් එක් ඩොලර් පන්දහසක් දක්වා, එය විනිසුරුවරයා එය කපා හැරීමට පෙර දෙසීය විසි බිලියන පමණ විය. Meta පවසන්නේ එය අභියාචනයෙන් ජයග්‍රහණය කරනු ඇති බවයි. දැන් මම පොරොන්දු වූ ආරක්ෂාව.

### මුල් නිවැරදි කිරීම සඳහා Chainguard හි ආරක්ෂාව කුමක්ද?

5:19 Chainguard හි ප්‍රධාන විධායක නිලධාරියා The Register ට පැවසුවේ තමා සිකුරාදා රාත්‍රියේ PHP හි යමක් පැමිණෙන බව දැනගත් පසු, මූලික විමසුමක් සමඟ නරක අවදානම් සොයා ගැනීමට, එම දෝෂ තමාම සොයාගත් බවයි. ඔහු පවසන්නේ මිනිසුන්ට දැනටමත් බලපෑම් එල්ල වෙමින් තිබූ නිසා තමා කලින් නිකුත් කළ බවයි. ඔබ මම එය කියනවාට වඩා මෙය කියවීමට කැමති නම්, diff සෑම උදෑසනකම ඔබේ inbox වෙත පැමිණේ, daily diff dot dev හි නොමිලේ, පහත සබැඳිය. එබැවින් අද තීන්දුව වන්නේ SHIP IT.

### SHIP IT මුද්දරය ලැබෙන්නේ කුමක්ද?

5:39 PHP යාවත්කාලීන කිරීම අද රෑ නැව්ගත කරන්න, මන්ද නව අනුවාද අංකය එකම සම්පූර්ණ නිවැරදි කිරීම වන බැවිනි. එය අද සඳහා diff එකයි. මම Axrisi වෙතින් Niko. වගකීමෙන් යුතුව ඒකාබද්ධ කරන්න.

## මූලාශ්‍ර

- [Today's PHP Security Release, and How We're Strengthening PHP Security](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/) — The PHP Foundation
- [RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w) — PHP security advisory
- [RCE via stale global state (GHSA-6wmf-4rv5-p3rp)](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp) — PHP security advisory
- [Upcoming Critical PHP Security Release](https://www.php.net/archive/2026.php) — php.net
- [php2shell](https://calif.io/php2shell/) — Calif
- [PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet](https://www.wiz.io/blog/php2shell-php-rce) — Wiz Research
- [Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot](https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/) — AWS Security Blog
- [Critical Vulnerabilities in PHP Require Immediate Patching](https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching) — CISA
- [Flaw in PHP computer language leads to shutdown of websites around world](https://www.theguardian.com/technology/2026/oct/21/flaw-in-php-computer-language-leads-to-shutdown-of-websites-around-world) — The Guardian
- [What is PHP, and how bad is the computer language flaw causing website shutdowns globally?](https://www.theguardian.com/technology/2026/oct/22/what-is-php-computer-language-flaw-causing-global-website-shutdowns) — The Guardian
- [PHP2Shell Exploitation Started Days Before Patches](https://www.securityweek.com/php2shell-exploitation-started-days-before-patches/) — SecurityWeek
- [PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619](https://www.tanium.com/blog/php2shell-responding-to-cve-2026-109618-and-cve-2026-109619) — Tanium
- [There isn't an easy exploit for this PHP vulnerability](https://eliastaylor.com/noexploit/) — Elias Taylor
- [PHP blames supply chain security biz Chainguard for putting entire web at risk](https://www.theregister.com/security/2026/10/22/php-blames-supply-chain-security-biz-chainguard-for-putting-entire-web-at-risk/5304611) — The Register
- [PHP2Shell: 22M exposed servers at risk as emergency patches released](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released) — TechTarget
- [PHP ships emergency patches for critical PHP2Shell flaws](https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/) — BleepingComputer
- [GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/) — GitLab
- [Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica case](https://www.cnbc.com/2026/10/21/meta-new-mexico-cambridge-analytica-penalty.html) — CNBC
- [Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming](https://news.ycombinator.com/item?id=50167754) — Hacker News