# PHP2Shell: dy probleme kritike të PHP-së, një embargo që doli, dhe çfarë dihet aktualisht për shfrytëzimin

Published: 2026-10-22

PHP dërgoi rregullime emergjente për dy dobësi kritike të ekzekutimit të kodit në distancë, CVE-2026-109618 dhe CVE-2026-109619, të quajtura PHP2Shell. Lëshimi u bë më 21 tetor 2026. Episodi shpjegon dy gabimet e kujtesës me fjalë të thjeshta, pse një indicie nga një auditim i vitit 2024 priti për një rregullim, si rrjedha embargo, dhe cilat burime thonë çfarë për shfrytëzimin. Ai gjithashtu mbulon lëshimin kritik të patch-it të GitLab në të njëjtën ditë dhe një urdhër dënimi prej 25 miliardë dollarësh të Meta në New Mexico.

Canonical: https://thedailydiff.dev/sq/video/2026-10-22-php2shell/

## Çfarë mbulon kjo video

- Të dy gabimet vlerësohen 9.2 në CVSS v4.0 nga ekipi i PHP. Versionet e rregulluara janë PHP 8.2.35, 8.3.36, 8.4.27 dhe 8.5.12; PHP 7.4, 8.0 dhe 8.1 morën vetëm patch-e burimi. PHP thotë se përditësimi është e vetmja zbutje e plotë.
- Gabimi i parë vjen nga PHP-ja që lë një kërkesë gjysmë të ndërtuar kur i mbaron memoria në momentin e gabuar. I dyti vjen nga një tregues i mbetur në kujtesën e një kërkese që një kërkesë e mëvonshme në të njëjtin worker mund ta përdorë. Në Apache me mod\_php, shtegu i parë ekzekutohet para kodit të aplikacionit.
- Një zhvillues thelbësor i PHP gjeti shenjat e para të problemit të kujtesës gjatë një auditimi në vitin 2024. Fondacioni PHP thotë se rregullimet konkurruese kishin kompromise dhe një ekip sigurie i bazuar në konsensus u përpoq të zgjidhte, gjë që e quan një dështim strukturor.
- Fondacioni thotë se ID-të e CVE-ve dolën më 20 tetor, Calif gabimisht publikoi një video prove-të-konceptit, dhe Chainguard publikoi imazhe të ndërtuara me rregullimin më shumë se gjashtë orë para lëshimit. CEO i Chainguard thotë se njerëzit ishin tashmë të prekur dhe se ai i gjeti gabimet në mënyrë të pavarur.
- Burimet nuk pajtohen për shfrytëzimin. Amazon regjistroi një tentativë më 17 tetor dhe më vonë tha se PHP2Shell u shfrytëzua gjerësisht. watchTowr raportoi shfrytëzimin në natyrë. CISA nuk kishte vërejtur shfrytëzim në momentin e publikimit, dhe ekipi i PHP nuk gjeti asnjë shfrytëzim funksional në lëshim. Shumë skripta publike prove-të-konceptit raportohet se nuk funksionojnë.
- Kontrolloni çdo vend ku funksionon PHP, duke përfshirë kopjet brenda softuerëve të tjerë, përditësoni, rinisni workerët dhe rishikoni log-et që nga 17 tetori.

## Pyetje dhe përgjigje

### Cilat janë dy dobësitë e PHP2Shell?

PHP2Shell emërton dy gabime kritike të PHP-së, CVE-2026-109618 dhe CVE-2026-109619, të dyja të vlerësuara 9.2 nga ekipi i PHP-së. E para lë një kërkesë gjysmë të ndërtuar kur PHP-ja i mbaron memoria në momentin e gabuar, dhe pastrimi pastaj i beson asaj. E dyta lë një tregues në kujtesën e një kërkese që një kërkesë e mëvonshme në të njëjtin worker mund ta përdorë. Të dyja mund të çojnë në ekzekutim të kodit pa hyrje.

### Cilat versione të PHP-së kanë një rregullim për PHP2Shell, dhe çfarë ndodh me versionet e papërkrahura?

Projekti PHP lëshoi rregullime në 8.2.35, 8.3.36, 8.4.27 dhe 8.5.12 më 21 tetor. Për 7.4, 8.0 dhe 8.1 ai publikoi vetëm patch-e burimi, dhe BleepingComputer raporton se shpërndarjet dhe shitësit e mbështetjes afatgjatë mund të furnizojnë rregullime të backported. PHP thotë se nuk ka zgjidhje të plotë, kështu që përditësimi ose kërkesa e një shitësi për një paketë të patchuar është e vetmja zgjedhje e sigurt.

### Pse një gabim i njohur i memories së PHP-së mori deri në tetor 2026 për t'u rregulluar?

Fondacioni PHP thotë se një zhvillues thelbësor gjeti shenjat e para të problemit të memories gjatë një auditimi sigurie në 2024, por nuk dihej asnjë rrugë shfrytëzimi dhe çdo rregullim kandidat kishte kompromise si thyerje të përputhshmërisë. Ekipi i sigurisë vendos me konsensus dhe luftoi për të zgjedhur, gjë që Fondacioni e quan një dështim strukturor të shkaktuar nga procesi i vendimmarrjes dhe mungesa e burimeve.

### A po shfrytëzohet PHP2Shell, dhe sa e lehtë është të shfrytëzohet?

Burimet nuk pajtohen. Amazon regjistroi një tentativë shfrytëzimi më 17 tetor dhe më vonë tha se PHP2Shell u shfrytëzua gjerësisht, dhe watchTowr raportoi shfrytëzimin në natyrë. CISA nuk kishte vërejtur shfrytëzim në momentin e publikimit, dhe ekipi i PHP nuk pa asnjë shfrytëzim funksional në lëshim. watchTowr thotë se shumica e skriptave publike të shfrytëzimit bëjnë crash ose nuk bëjnë asgjë, dhe VulnCheck zbuloi se ekzekutimi i kodit funksionon vetëm në disa konfigurime.

### Cili ishte verdikti i The Daily Diff për PHP2Shell?

Verdikti i The Daily Diff ishte SHIP IT: dërgoni përditësimin e PHP sonte, sepse versioni i ri është i vetmi rregullim i plotë. CISA thotë të inventarizoni çdo sistem që ekzekuton PHP, duke përfshirë kopjet brenda softuerëve të tjerë, të aplikoni patch-in, dhe të hiqni sistemet PHP offline nëse nuk mund të përditësohen. Amazon këshillon rishikimin e log-eve që nga 17 tetori, kur pa tentativën e parë.

## Kapitujt

- 0:00 Kush provoi PHP2Shell katër ditë më herët?
- 0:41 Cilat janë dy gabimet e PHP2Shell?
- 1:37 Pse një gabim i njohur priti dy vjet?
- 1:54 Kush e gjeti PHP2Shell, dhe si?
- 2:20 Si doli embargoja e PHP2Shell?
- 2:50 A po shfrytëzohet PHP2Shell, dhe nga kush?
- 3:43 Çfarë hoqën qeveritë offline?
- 4:11 Cilat versione të PHP marrin një rregullim?
- 4:30 Çfarë bëni me PHP2Shell sonte?
- 4:45 Çfarë tjetër dërgoi një patch kritik RCE sot?
- 5:01 Pse Meta u urdhërua të paguajë 25 miliardë dollarë?
- 5:18 Cila është mbrojtja e Chainguard për rregullimin e hershëm?
- 5:38 Çfarë merr vulën SHIP IT?

## Transkript i përkthyer

Përkthyer nga tregimi origjinal në anglisht. Audio dhe titrat e disponueshme kontrollohen nga YouTube.

### Kush provoi PHP2Shell katër ditë më herët?

0:00 Një embargo sigurie supozohet të mbajë një gabim të qetë derisa të dërgohet patch-i. Amazon regjistroi një tentativë kundër gabimit kritik të PHP katër ditë më herët. Në këtë video, kush e gjeti? Si doli embargoja? Dhe sa i keq është, vërtet? Dhe kompania e fajësuar për rrjedhjen ka një mbrojtje që nuk e prisja. Do të shkoj atje. Është e enjte, njëzet e dy tetori, dhe kjo është The Daily Diff.

0:21 PHP është një gjuhë skriptimi që ndërton faqe uebi në server pak para se ato të arrijnë te ju. Është mbi tridhjetë vjeç dhe, sipas një vlerësimi, drejton rreth shtatëdhjetë për qind të faqeve të internetit, duke përfshirë WordPress dhe softuerin pas Wikipedia-s. Zhvilluesit pëlqejnë ta tallin, zakonisht nga një faqe që PHP-ja u shërben atyre. Mirëmbajtja e saj është një jofitimprurëse me rreth trembëdhjetë inxhinierë.

### Cilat janë dy gabimet e PHP2Shell?

0:41 Të mërkurën, PHP dërgoi rregullime urgjente për dy gabime kritike që lejonin një të huaj të ekzekutojë kod në një server pa hyrje. Së bashku quhen PHP2Shell, dhe ato arrijnë pas PHP pesë pikë katër. Ja gabimi i parë me fjalë të thjeshta. PHP i jep çdo kërkese një buxhet memorie. Nëse një kërkesë arrin atë limit pikërisht në momentin e gabuar, PHP del me nxitim dhe e lë kërkesën gjysmë të ndërtuar. Pastaj hapi i pastrimit i beson gjësë gjysmë të ndërtuar.

1:07 Gabimi i dytë është një mbetje. Një gabim fatal mund të lërë një shënim që tregon kujtesën që i përkiste kërkesës së fundit. I njëjti worker trajton kërkesën tjetër dhe ndjek shënimin. Deri atëherë dikush tjetër jeton në atë adresë. Në Apache me mod PHP, dëmi ndodh para se kodi juaj të ekzekutohet, kështu që faqja juaj e hyrjes nuk merr kurrë një votë. Wiz thotë se edhe një skript hello world është i ekspozuar. Rregullimi heq daljen emergjente të PHP për mbarimin e memories.

1:32 Në vend që të dalë në mes të kërkesës, PHP tani ndalon me mirësjellje në pikën tjetër të sigurt. Pjesa e çuditshme është sa e vjetër është indicia e parë.

### Pse një gabim i njohur priti dy vjet?

1:39 Në 2024, një auditim i sigurisë i jashtëm e çoi një zhvillues thelbësor të PHP tek shenjat e para të problemit të memories. Nuk dihej asnjë shfrytëzim, dhe çdo rregullim prishte diçka. Një ekip që vendos me konsensus nuk mund të zgjidhte, kështu që gabimi priti. Pastaj në gusht, zbuluesit arritën brenda pak ditësh.

### Kush e gjeti PHP2Shell, dhe si?

1:56 Studiuesi i Calif, Ryan Austin, e gjeti atë më 1 gusht, duke punuar nëpërmjet programit Patch the Planet të OpenAI. OpenAI raportoi të njëjtën shkak rrënjësor në mënyrë të pavarur. Wiz gjeti variante disa javë më vonë me modelet Gemini dhe GPT. Austin thotë se ai përdori modele që çdokush mund t'i marrë, plus një teori se ku fshihen gabimet e vjetra të PHP. OpenAI thotë se AI kufitare ishte çelësi. Gabimi ishte fshehur për më shumë se një dekadë. Lëshimi ishte planifikuar për të enjten.

### Si doli embargoja e PHP2Shell?

2:21 Të martën, dy numrat e CVE filluan të qarkullojnë online, me një kohë të gabuar lëshimi dhe një rezultat të gabuar prej dhjetë. PHP e shtyu lëshimin një ditë më herët. Atë mbrëmje, Calif aksidentalisht publikoi një video të provës së saj të konceptit duke funksionuar, dhe kopjet i mbijetuan fshirjes. Të mërkurën në mëngjes, më shumë se gjashtë orë para lëshimit, Chainguard publikoi imazhe të ndërtuara që përmbanin rregullimin. PHP thotë se çdo sulmues mund të studionte atë rregullim ndërsa të gjithë të tjerët prisnin.

2:46 Një patch është gjithashtu një diff, dhe sulmuesit lexojnë diffs.

### A po shfrytëzohet PHP2Shell, dhe nga kush?

2:50 Pra, kush po goditet në të vërtetë? Honeypot-i i Amazon regjistroi një tentativë më shtatëmbëdhjetë tetor dhe më vonë tha se PHP2Shell është shfrytëzuar gjerësisht. watchTowr raporton shfrytëzimin në natyrë. Cisa tha se nuk kishte vërejtur asnjë kur e publikoi, dhe ekipi i PHP nuk pa asnjë shfrytëzim funksional në lëshim. CEO i Cloudflare tha se pa mijëra tentativa në dhjetë orët para shpalljes, dhe miliona deri të enjten në mëngjes.

3:13 Amazon është i kujdesshëm në një pikë. Nuk di nëse tentativat e saj më të hershme do të kishin funksionuar në një sistem real. Një tentativë është vetëm një trokitje në derë. Pra, sa i keq është, vërtet? watchTowr thotë se shfrytëzimet publike që qarkullojnë kryesisht crash-ojnë ose nuk bëjnë asgjë. VulnCheck thotë se ekzekutimi i kodit funksionon në disa konfigurime, dhe asnjë nga ato publike nuk mposht rastësishmërinë e kujtesës në serverat standardë x86. Studiuesi Elias Taylor thotë se nuk është aspak aq e lehtë sa Log4Shell.

3:40 Të gjithë ende thonë patch. Qeveritë nuk pritën për verdiktin.

### Çfarë hoqën qeveritë offline?

3:44 NSA u tha organizatave që nuk mund të bënin patch të hiqnin sistemet PHP offline, dhe Qendra Kombëtare e Sigurisë Kibernetike e Mbretërisë së Bashkuar dha këshilla të ngjashme. Faqe holandeze, duke përfshirë shërbimin kombëtar të identitetit dixhital, u errësuan, së bashku me një faqe të policisë së Parisit. Wikimedia hoqi disa sisteme si masë paraprake. Palo Alto Networks numëroi më shumë se njëzet e dy milionë instanca të ekspozuara. Dhe një profesor australian bëri pikën më të mprehtë. Faqet për të cilat duhet të shqetësohemi janë ato që nuk janë jashtë funksionit sot.

### Cilat versione të PHP marrin një rregullim?

4:11 Rregullime ekzistojnë për PHP tetë pikë dy deri në tetë pikë pesë. Për shtatë pikë katër, tetë pikë zero dhe tetë pikë një, PHP publikoi vetëm patch-e burimi. Versionet më të vjetra nuk marrin asgjë nga projekti PHP, kështu që pyesni shpërndarjen tuaj. Zgjidhjet zvogëlojnë shanset, por PHP thotë se përditësimi është i vetmi rregullim i plotë. Është i njëjti mësim si episodi i djeshëm i eMudhra,

### Çfarë bëni me PHP2Shell sonte?

4:32 sepse një rregullim ekzistent nuk është i njëjti si procesi në punë që e ka atë. Gjeni çdo PHP në stack-un tuaj, madje edhe kopjet që fshihen brenda softuerëve të tjerë. Përditësoni, rinisni workerët dhe kontrolloni log-et që nga shtatëmbëdhjetë tetori. Në të njëjtën ditë, GitLab dërgoi një lëshim patch kritik,

### Çfarë tjetër dërgoi një patch kritik RCE sot?

4:47 nëntëmbëdhjetë pikë pesë pikë një. Një tejmbushje e numrit të plotë në përpiluesin e tij të shprehjes së rregullt lejon një përdorues të paautentifikuar të ekzekutojë kod në server, dhe ai shënon dhjetë nga dhjetë. GitLab dot com është tashmë i rregulluar. Instalimet e menaxhuara vetë kanë nevojë për përditësimin.

### Pse Meta u urdhërua të paguajë 25 miliardë dollarë?

5:01 Ndërkohë në New Mexico, një gjykatës urdhëroi Meta-n të paguajë njëzet e pesë miliardë dollarë në dënime mbi Cambridge Analytica. Juria numëroi më shumë se dyzet e tre milionë shkelje deri në pesë mijë dollarë secila, gjë që arriti në rreth dyqind e njëzet miliardë para se gjykatësi ta ulte. Meta thotë se do të fitojë në apel. Tani mbrojtja që premtova.

### Cila është mbrojtja e Chainguard për rregullimin e hershëm?

5:19 CEO i Chainguard i tha The Register se i gjeti vetë të njëjtat gabime një të premte në mbrëmje, pasi mësoi se diçka po vinte në PHP, me një prompt bazë për të gjetur dobësi të këqija. Ai thotë se e dërgoi herët sepse njerëzit ishin tashmë duke u goditur. Nëse preferoni ta lexoni këtë sesa të më dëgjoni ta them, diff-i arrin në inbox-in tuaj çdo mëngjes, falas në the daily diff dot dev, lidhja më poshtë. Pra verdikti i sotëm është SHIP IT.

### Çfarë merr vulën SHIP IT?

5:39 Dërgoni përditësimin e PHP sonte, sepse numri i ri i versionit është i vetmi rregullim i plotë. Dhe kjo është diff-i për sot. Unë jam Niko nga Axrisi. Bashkohuni me përgjegjësi.

## Burimet

- [Today's PHP Security Release, and How We're Strengthening PHP Security](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/) — The PHP Foundation
- [RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w) — PHP security advisory
- [RCE via stale global state (GHSA-6wmf-4rv5-p3rp)](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp) — PHP security advisory
- [Upcoming Critical PHP Security Release](https://www.php.net/archive/2026.php) — php.net
- [php2shell](https://calif.io/php2shell/) — Calif
- [PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet](https://www.wiz.io/blog/php2shell-php-rce) — Wiz Research
- [Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot](https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/) — AWS Security Blog
- [Critical Vulnerabilities in PHP Require Immediate Patching](https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching) — CISA
- [Flaw in PHP computer language leads to shutdown of websites around world](https://www.theguardian.com/technology/2026/oct/21/flaw-in-php-computer-language-leads-to-shutdown-of-websites-around-world) — The Guardian
- [What is PHP, and how bad is the computer language flaw causing website shutdowns globally?](https://www.theguardian.com/technology/2026/oct/22/what-is-php-computer-language-flaw-causing-global-website-shutdowns) — The Guardian
- [PHP2Shell Exploitation Started Days Before Patches](https://www.securityweek.com/php2shell-exploitation-started-days-before-patches/) — SecurityWeek
- [PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619](https://www.tanium.com/blog/php2shell-responding-to-cve-2026-109618-and-cve-2026-109619) — Tanium
- [There isn't an easy exploit for this PHP vulnerability](https://eliastaylor.com/noexploit/) — Elias Taylor
- [PHP blames supply chain security biz Chainguard for putting entire web at risk](https://www.theregister.com/security/2026/10/22/php-blames-supply-chain-security-biz-chainguard-for-putting-entire-web-at-risk/5304611) — The Register
- [PHP2Shell: 22M exposed servers at risk as emergency patches released](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released) — TechTarget
- [PHP ships emergency patches for critical PHP2Shell flaws](https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/) — BleepingComputer
- [GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/) — GitLab
- [Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica case](https://www.cnbc.com/2026/10/21/meta-new-mexico-cambridge-analytica-penalty.html) — CNBC
- [Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming](https://news.ycombinator.com/item?id=50167754) — Hacker News