# PHP2Shell: dve kritične PHP greške, embargo koji je procurio i šta se zapravo zna o eksploataciji

Published: 2026-10-22

PHP je isporučio hitne popravke za dve kritične ranjivosti izvršavanja udaljenog koda, CVE-2026-109618 i CVE-2026-109619, nazvane PHP2Shell. Izdanje je objavljeno 21. oktobra 2026. Epizoda objašnjava dve memorijske greške jednostavnim rečima, zašto je trag iz revizije iz 2024. čekao na popravku, kako je embargo procurio i koji izvori šta kažu o eksploataciji. Takođe pokriva GitLab-ovo kritično izdanje zakrpe istog dana i nalog o kazni za Metu od 25 milijardi dolara u Novom Meksiku.

Canonical: https://thedailydiff.dev/sr-Latn/video/2026-10-22-php2shell/

## Šta ovaj video pokriva

- Oba propusta su ocenjena sa 9,2 na CVSS v4.0 od strane PHP tima. Popravljene verzije su PHP 8.2.35, 8.3.36, 8.4.27 i 8.5.12; PHP 7.4, 8.0 i 8.1 su dobili samo zakrpe izvornog koda. PHP kaže da je ažuriranje jedina potpuna ublažavanje.
- Prvi propust potiče od toga što PHP ostavlja zahtev poluizgrađenim kada mu u pogrešnom trenutku ponestane memorije. Drugi potiče od zaostalog pokazivača na memoriju jednog zahteva koji kasniji zahtev u istom radniku može koristiti. Na Apache-u sa mod\_php, prva putanja se izvršava pre koda aplikacije.
- PHP programer je pronašao prve znake problema sa memorijom tokom revizije 2024. godine. PHP fondacija kaže da su konkurentne ispravke imale kompromise i da se sigurnosni tim, koji se zasniva na konsenzusu, borio da izabere, što naziva strukturnim neuspehom.
- Fondacija kaže da su CVE ID-ovi procurili 20. oktobra, Calif je greškom objavio video dokaz koncepta, a Chainguard je objavio izgrađene slike sa ispravkom više od šest sati pre objavljivanja. Izvršni direktor Chainguard-a kaže da su ljudi već bili pogođeni i da je on samostalno pronašao greške.
- Izvori se ne slažu oko eksploatacije. Amazon je zabeležio pokušaj 17. oktobra i kasnije rekao da je PHP2Shell široko eksploatisan. watchTowr je prijavio eksploataciju u divljini. CISA nije primetila eksploataciju u trenutku objavljivanja, a PHP tim nije pronašao funkcionalan eksploatacija pri objavljivanju. Mnogi javni skriptovi dokaza koncepta navodno ne rade.
- Proverite svako mesto gde se PHP pokreće, uključujući kopije unutar drugog softvera, ažurirajte, ponovo pokrenite radnike i pregledajte logove unazad do 17. oktobra.

## Pitanja i odgovori

### Koje su dve PHP2Shell ranjivosti?

PHP2Shell označava dve kritične PHP ranjivosti, CVE-2026-109618 i CVE-2026-109619, obe ocenjene sa 9.2 od strane PHP tima. Prva ostavlja zahtev poluizgrađenim kada PHP-u u pogrešnom trenutku ponestane memorije, a čišćenje mu tada veruje. Druga ostavlja pokazivač na memoriju jednog zahteva koji kasniji zahtev u istom radniku može koristiti. Oba mogu dovesti do izvršavanja koda bez prijave.

### Koje PHP verzije imaju popravku za PHP2Shell i šta je sa nepodržanim verzijama?

PHP projekat je objavio popravke u verzijama 8.2.35, 8.3.36, 8.4.27 i 8.5.12 21. oktobra. Za verzije 7.4, 8.0 i 8.1 objavio je samo zakrpe izvornog koda, a BleepingComputer izveštava da distribucije i dobavljači dugoročne podrške mogu dostaviti prenesene popravke. PHP kaže da nema potpunog rešenja, pa je ažuriranje ili traženje zakrpljenog paketa od dobavljača jedina sigurna opcija.

### Zašto je poznata PHP memorijska greška čekala do oktobra 2026. godine na popravku?

PHP Fondacija kaže da je programer kernela pronašao prve znake problema sa memorijom tokom sigurnosne revizije 2024. godine, ali nije bio poznat put eksploatacije i svaka kandidatska popravka je imala kompromise, poput prekida kompatibilnosti. Sigurnosni tim donosi odluke konsenzusom i borio se da izabere, što Fondacija naziva strukturnim neuspehom uzrokovanim procesom donošenja odluka i nedostatkom resursa.

### Da li se PHP2Shell eksploatiše i koliko je lako eksploatisati ga?

Izvori se ne slažu. Amazon je zabeležio pokušaj eksploatacije 17. oktobra i kasnije rekao da je PHP2Shell široko eksploatisan, a watchTowr je izvestio o eksploataciji u divljini. CISA nije primetila eksploataciju u trenutku objavljivanja, a PHP tim nije video funkcionalan eksploatacija pri objavljivanju. watchTowr kaže da većina javnih skriptova za eksploataciju pada ili ne radi ništa, a VulnCheck je otkrio da izvršavanje koda radi samo u nekim postavkama.

### Kakva je bila presuda The Daily Diff-a o PHP2Shell-u?

Presuda The Daily Diff-a je bila SHIP IT: objavite PHP ažuriranje večeras, jer je nova verzija jedina potpuna popravka. CISA kaže da popiše svaki sistem koji pokreće PHP, uključujući kopije unutar drugog softvera, primeni zakrpu i isključi PHP sisteme ako se ne mogu ažurirati. Amazon savetuje pregledanje logova unazad do 17. oktobra, kada je zabeležen prvi pokušaj.

## Poglavlja

- 0:00 Ko je pokušao PHP2Shell četiri dana ranije?
- 0:41 Koje su dve PHP2Shell greške?
- 1:37 Zašto je poznata greška čekala dve godine?
- 1:54 Ko je pronašao PHP2Shell i kako?
- 2:20 Kako je procurio PHP2Shell embargo?
- 2:50 Da li se PHP2Shell eksploatiše i od koga?
- 3:43 Šta su vlade isključile?
- 4:11 Koje PHP verzije dobijaju popravku?
- 4:30 Šta da uradite sa PHP2Shell večeras?
- 4:45 Šta je još objavljeno sa kritičnom RCE zakrpom danas?
- 5:01 Zašto je Meta kažnjena sa 25 milijardi dolara?
- 5:18 Koja je odbrana Chainguard-a za ranu popravku?
- 5:38 Šta dobija SHIP IT pečat?

## Preveden transkript

Prevedeno sa originalne engleske naracije. Dostupan audio i titlovi kontrolisani su od strane YouTube-a.

### Ko je pokušao PHP2Shell četiri dana ranije?

0:00 Sigurnosni embargo bi trebalo da čuva tajnu o grešci dok se zakrpa ne objavi. Amazon je zabeležio pokušaj protiv kritične PHP greške četiri dana ranije. U ovom videu, ko ga je pronašao? Kako je embargo procurio? I koliko je to loše, zaista? A kompanija okrivljena za curenje ima odbranu koju nisam očekivao. Doći ću do toga. Četvrtak je, dvadeset drugi oktobar, i ovo je The Daily Diff.

0:21 PHP je skriptni jezik koji pravi veb stranice na serveru neposredno pre nego što stignu do vas. Star je preko trideset godina i, po jednoj proceni, pokreće oko sedamdeset posto veb stranica, uključujući WordPress i softver iza Wikipedije. Programeri ga vole da ga ismevaju, obično sa stranice koju im PHP servira. Njegovo održavanje je neprofitna organizacija sa oko trinaest inženjera.

### Koje su dve PHP2Shell greške?

0:41 U sredu je PHP objavio hitne popravke za dve kritične ranjivosti koje omogućavaju strancu da pokrene kod na serveru bez prijave. Zajedno se zovu PHP2Shell, i sežu do PHP pet tačka četiri. Evo prve greške jednostavnim rečima. PHP svakom zahtevu daje budžet memorije. Ako zahtev dostigne to ograničenje u tačno pogrešnom trenutku, PHP se hitno povlači i ostavlja zahtev poluizgrađenim. Zatim korak čišćenja veruje poluizgrađenoj stvari.

1:07 Druga greška je zaostatak. Fatalna greška može ostaviti belešku koja ukazuje na memoriju koja je pripadala poslednjem zahtevu. Isti radnik obrađuje sledeći zahtev i prati belešku. Do tada neko drugi živi na toj adresi. Na Apache-u sa mod PHP, oštećenje se dešava pre nego što se vaš kod pokrene, tako da vaša stranica za prijavu nikada ne dobija glas. Wiz kaže da je čak i skripta za hello world izložena. Popravka uklanja PHP-ov hitni izlaz zbog nedostatka memorije.

1:32 Umesto da se povlači usred zahteva, PHP se sada pristojno zaustavlja na sledećoj sigurnoj tački. Čudno je koliko je star prvi trag.

### Zašto je poznata greška čekala dve godine?

1:39 U 2024. godini, spoljna sigurnosna revizija dovela je PHP programera do prvih znakova problema sa memorijom. Nije bio poznat nikakav eksploatacija, i svaka popravka je nešto pokvarila. Tim koji odlučuje konsenzusom nije mogao da izabere, pa je greška čekala. Zatim su u avgustu, pronalazači stigli u roku od nekoliko dana.

### Ko je pronašao PHP2Shell i kako?

1:56 Istraživač Calif-a Ryan Austin pronašao ga je prvog avgusta, radeći kroz OpenAI-jev program Patch the Planet. OpenAI je nezavisno prijavio isti osnovni uzrok. Wiz je pronašao varijante nekoliko nedelja kasnije sa Gemini i GPT modelima. Austin kaže da je koristio modele koje svako može dobiti, plus teoriju o tome gde se kriju stari PHP-ovi bagovi. OpenAI kaže da je ključ bio AI na granici. Greška se skrivala više od decenije. Objavljivanje je bilo planirano za četvrtak.

### Kako je procurio PHP2Shell embargo?

2:21 U utorak su dva CVE broja počela da kruže onlajn, sa pogrešnim vremenom objavljivanja i pogrešnim skorom od deset. PHP je objavljivanje pomerio za dan ranije. Te večeri, Calif je slučajno objavio video svog dokaza koncepta koji radi, i kopije su nadživele brisanje. U sredu ujutru, više od šest sati pre objavljivanja, Chainguard je objavio izgrađene slike koje sadrže popravku. PHP kaže da je svaki napadač mogao proučavati tu popravku dok su svi ostali čekali.

2:46 Zakrpa je takođe razlika, a napadači čitaju razlike.

### Da li se PHP2Shell eksploatiše i od koga?

2:50 Dakle, ko je zapravo pogođen? Amazonov honeypot je zabeležio pokušaj 17. oktobra i kasnije rekao da je PHP2Shell široko eksploatisan. watchTowr izveštava o eksploataciji u divljini. Cisa je rekla da nije primetila nikakvu eksploataciju kada je objavila, a PHP tim nije video funkcionalan eksploatacija prilikom objavljivanja. Izvršni direktor Cloudflare-a rekao je da je video hiljade pokušaja u deset sati pre objave, i milione do četvrtka ujutru.

3:13 Amazon je oprezan u jednom smislu. Ne zna da li bi njegovi najraniji pokušaji uspeli na stvarnom sistemu. Pokušaj je samo kucanje na vrata. Dakle, koliko je to loše, zaista? watchTowr kaže da javni exploiti koji kruže uglavnom padaju ili ne rade ništa. VulnCheck kaže da izvršavanje koda radi u nekim postavkama, i nijedan od javnih ne pobeđuje randomizaciju memorije na standardnim x86 serverima. Istraživač Elias Taylor kaže da to nije ni blizu lako kao Log4Shell.

3:40 Svi i dalje kažu: zakrpite. Vlade nisu čekale presudu.

### Šta su vlade isključile?

3:44 NSA je rekla organizacijama koje nisu mogle da zakrpe da isključe PHP sisteme, a UK-ov Nacionalni centar za sajber bezbednost dao je slične savete. Holandski sajtovi, uključujući nacionalnu službu za digitalni identitet, su se ugasili, zajedno sa sajtom pariske policije. Wikimedia je iz predostrožnosti isključila nekoliko sistema. Palo Alto Networks je izbrojao više od dvadeset dva miliona izloženih instanci. I australijski profesor je dao najoštriju poentu. Sajtovi za brigu su oni koji danas nisu isključeni.

### Koje PHP verzije dobijaju popravku?

4:11 Popravke postoje za PHP osam tačka dva do osam tačka pet. Za sedam tačka četiri, osam tačka nula i osam tačka jedan, PHP je objavio samo zakrpe izvornog koda. Starije verzije ne dobijaju ništa od PHP projekta, pa pitajte svoju distribuciju. Privremena rešenja smanjuju šanse, ali PHP kaže da je ažuriranje jedina kompletna popravka. To je ista lekcija kao jučerašnja eMudhra epizoda,

### Šta da uradite sa PHP2Shell večeras?

4:32 jer postojanje popravke nije isto što i njen proces pokretanja. Pronađite svaki PHP u svom steku, čak i kopije koje se kriju unutar drugog softvera. Ažurirajte, ponovo pokrenite radnike i proverite logove unazad do sedamnaestog oktobra. Istog dana, GitLab je objavio kritičnu zakrpu,

### Šta je još objavljeno sa kritičnom RCE zakrpom danas?

4:47 devetnaest tačka pet tačka jedan. Prekoračenje celog broja u njegovom kompajleru regularnih izraza omogućava neautentifikovanom korisniku da pokrene kod na serveru, i dobija ocenu deset od deset. GitLab dot com je već zakrpljen. Samoupravljane instalacije trebaju ažuriranje.

### Zašto je Meta kažnjena sa 25 milijardi dolara?

5:01 U međuvremenu u Novom Meksiku, sudija je naložio Meti da plati dvadeset pet milijardi dolara kazni zbog Cambridge Analytica. Porota je izbrojala više od četrdeset tri miliona prekršaja po ceni do pet hiljada dolara svaki, što je iznosilo oko dvesta dvadeset milijardi pre nego što ga je sudija smanjio. Meta kaže da će pobediti u žalbenom postupku. Sada obećana odbrana.

### Koja je odbrana Chainguard-a za ranu popravku?

5:19 Izvršni direktor Chainguard-a rekao je The Register-u da je sam pronašao iste greške u petak uveče, nakon što je saznao da nešto dolazi u PHP-u, sa osnovnim upitom da pronađe loše ranjivosti. Kaže da je objavio rano jer su ljudi već bili pogođeni. Ako više volite da ovo pročitate nego da me čujete kako govorim, razlika stiže u vašu pristiglu poštu svakog jutra, besplatno na the daily diff dot dev, link ispod. Dakle, današnja presuda je SHIP IT.

### Šta dobija SHIP IT pečat?

5:39 Objavite PHP ažuriranje večeras, jer je novi broj verzije jedina potpuna popravka. I to je razlika za danas. Ja sam Niko iz Axrisija. Spajajte odgovorno.

## Izvori

- [Today's PHP Security Release, and How We're Strengthening PHP Security](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/) — The PHP Foundation
- [RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w) — PHP security advisory
- [RCE via stale global state (GHSA-6wmf-4rv5-p3rp)](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp) — PHP security advisory
- [Upcoming Critical PHP Security Release](https://www.php.net/archive/2026.php) — php.net
- [php2shell](https://calif.io/php2shell/) — Calif
- [PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet](https://www.wiz.io/blog/php2shell-php-rce) — Wiz Research
- [Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot](https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/) — AWS Security Blog
- [Critical Vulnerabilities in PHP Require Immediate Patching](https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching) — CISA
- [Flaw in PHP computer language leads to shutdown of websites around world](https://www.theguardian.com/technology/2026/oct/21/flaw-in-php-computer-language-leads-to-shutdown-of-websites-around-world) — The Guardian
- [What is PHP, and how bad is the computer language flaw causing website shutdowns globally?](https://www.theguardian.com/technology/2026/oct/22/what-is-php-computer-language-flaw-causing-global-website-shutdowns) — The Guardian
- [PHP2Shell Exploitation Started Days Before Patches](https://www.securityweek.com/php2shell-exploitation-started-days-before-patches/) — SecurityWeek
- [PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619](https://www.tanium.com/blog/php2shell-responding-to-cve-2026-109618-and-cve-2026-109619) — Tanium
- [There isn't an easy exploit for this PHP vulnerability](https://eliastaylor.com/noexploit/) — Elias Taylor
- [PHP blames supply chain security biz Chainguard for putting entire web at risk](https://www.theregister.com/security/2026/10/22/php-blames-supply-chain-security-biz-chainguard-for-putting-entire-web-at-risk/5304611) — The Register
- [PHP2Shell: 22M exposed servers at risk as emergency patches released](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released) — TechTarget
- [PHP ships emergency patches for critical PHP2Shell flaws](https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/) — BleepingComputer
- [GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/) — GitLab
- [Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica case](https://www.cnbc.com/2026/10/21/meta-new-mexico-cambridge-analytica-penalty.html) — CNBC
- [Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming](https://news.ycombinator.com/item?id=50167754) — Hacker News