# PHP2Shell: ข้อบกพร่องร้ายแรงสองจุดของ PHP การเผยแพร่ข้อมูลที่รั่วไหล และสิ่งที่ทราบเกี่ยวกับการโจมตี

Published: 2026-10-22

PHP ได้จัดส่งการแก้ไขฉุกเฉินสำหรับช่องโหว่การเรียกใช้โค้ดจากระยะไกลที่สำคัญสองรายการ ได้แก่ CVE-2026-109618 และ CVE-2026-109619 ซึ่งเรียกว่า PHP2Shell การเปิดตัวมีขึ้นในวันที่ 21 ตุลาคม 2026 ตอนนี้จะอธิบายข้อบกพร่องของหน่วยความจำสองประการด้วยคำพูดที่เข้าใจง่าย เหตุใดเบาะแสจากการตรวจสอบในปี 2024 จึงรอการแก้ไข วิธีที่การห้ามเผยแพร่รั่วไหล และแหล่งข้อมูลใดกล่าวถึงการใช้ประโยชน์จากช่องโหว่ดังกล่าว นอกจากนี้ยังครอบคลุมการเปิดตัวแพตช์สำคัญในวันเดียวกันของ GitLab และคำสั่งปรับ Meta มูลค่า 25 พันล้านดอลลาร์ในนิวเม็กซิโก

Canonical: https://thedailydiff.dev/th/video/2026-10-22-php2shell/

## วิดีโอนี้ครอบคลุมอะไรบ้าง

- ข้อบกพร่องทั้งสองถูกจัดอันดับ 9.2 บน CVSS v4.0 โดยทีม PHP เวอร์ชันที่ได้รับการแก้ไขคือ PHP 8.2.35, 8.3.36, 8.4.27 และ 8.5.12; PHP 7.4, 8.0 และ 8.1 ได้รับแพตช์ซอร์สโค้ดเท่านั้น PHP กล่าวว่าการอัปเดตเป็นการบรรเทาปัญหาที่สมบูรณ์เพียงอย่างเดียว
- ข้อบกพร่องแรกมาจากการที่ PHP ทิ้งคำขอที่สร้างไม่เสร็จเมื่อหน่วยความจำหมดในเวลาที่ไม่เหมาะสม ข้อบกพร่องที่สองมาจากการทิ้งพอยน์เตอร์ที่ชี้ไปยังหน่วยความจำของคำขอหนึ่ง ซึ่งคำขอถัดไปใน worker เดียวกันสามารถนำไปใช้ได้ บน Apache ที่มี mod\_php เส้นทางแรกจะทำงานก่อนโค้ดแอปพลิเคชัน
- นักพัฒนาหลักของ PHP พบสัญญาณแรกของปัญหาหน่วยความจำระหว่างการตรวจสอบในปี 2024 มูลนิธิ PHP กล่าวว่าการแก้ไขที่แข่งขันกันมีข้อดีข้อเสีย และทีมรักษาความปลอดภัยที่ทำงานโดยใช้ฉันทามติประสบปัญหาในการเลือก ซึ่งเรียกว่าความล้มเหลวเชิงโครงสร้าง
- มูลนิธิกล่าวว่ารหัส CVE รั่วไหลเมื่อวันที่ 20 ตุลาคม Calif เผยแพร่วิดีโอหลักฐานแนวคิดโดยไม่ได้ตั้งใจ และ Chainguard เผยแพร่อิมเมจที่สร้างเสร็จพร้อมการแก้ไขก่อนการเปิดตัวมากกว่าหกชั่วโมง ซีอีโอของ Chainguard กล่าวว่าผู้คนถูกโจมตีอยู่แล้ว และเขาพบข้อบกพร่องด้วยตัวเอง
- แหล่งข้อมูลไม่เห็นด้วยกับการโจมตี Amazon บันทึกความพยายามเมื่อวันที่ 17 ตุลาคม และภายหลังกล่าวว่า PHP2Shell ถูกโจมตีอย่างกว้างขวาง watchTowr รายงานการโจมตีที่พบในวงกว้าง CISA ไม่พบการโจมตี ณ วันที่เผยแพร่ และทีม PHP ไม่พบการโจมตีที่ใช้งานได้จริงเมื่อเปิดตัว มีรายงานว่าสคริปต์หลักฐานแนวคิดสาธารณะจำนวนมากไม่ทำงาน
- ตรวจสอบทุกที่ที่ PHP ทำงาน รวมถึงสำเนาภายในซอฟต์แวร์อื่น ๆ อัปเดต รีสตาร์ท worker และตรวจสอบบันทึกย้อนหลังไปถึงวันที่ 17 ตุลาคม

## คำถามและคำตอบ

### ช่องโหว่ PHP2Shell สองข้อคืออะไร?

PHP2Shell หมายถึงข้อบกพร่องที่สำคัญสองประการของ PHP, CVE-2026-109618 และ CVE-2026-109619 ซึ่งทั้งสองถูกจัดอันดับ 9.2 โดยทีม PHP ข้อบกพร่องแรกทำให้คำขอถูกสร้างไม่สมบูรณ์เมื่อ PHP หน่วยความจำหมดในเวลาที่ไม่เหมาะสม และการทำความสะอาดจะเชื่อถือสิ่งนั้น ข้อบกพร่องที่สองทำให้มีพอยน์เตอร์ที่ชี้ไปยังหน่วยความจำของคำขอหนึ่ง ซึ่งคำขอถัดไปใน worker เดียวกันสามารถนำไปใช้ได้ ทั้งสองสามารถนำไปสู่การเรียกใช้โค้ดโดยไม่ต้องล็อกอิน

### PHP เวอร์ชันใดบ้างที่มีการแก้ไขสำหรับ PHP2Shell และเวอร์ชันที่ไม่รองรับล่ะ?

โครงการ PHP ได้เผยแพร่การแก้ไขในเวอร์ชัน 8.2.35, 8.3.36, 8.4.27 และ 8.5.12 เมื่อวันที่ 21 ตุลาคม สำหรับเวอร์ชัน 7.4, 8.0 และ 8.1 ได้เผยแพร่แพตช์ซอร์สโค้ดเท่านั้น และ BleepingComputer รายงานว่าผู้จัดจำหน่ายและผู้จำหน่ายการสนับสนุนระยะยาวอาจจัดหาการแก้ไขแบบ backported PHP กล่าวว่าไม่มีการแก้ไขเฉพาะหน้าที่สมบูรณ์ ดังนั้นการอัปเดตหรือขอแพ็กเกจที่ได้รับการแก้ไขจากผู้จำหน่ายเป็นทางเลือกที่ปลอดภัยที่สุด

### ทำไมข้อบกพร่องหน่วยความจำ PHP ที่ทราบแล้วจึงใช้เวลาถึงตุลาคม 2026 ในการแก้ไข?

มูลนิธิ PHP กล่าวว่านักพัฒนาหลักพบสัญญาณแรกของปัญหาหน่วยความจำระหว่างการตรวจสอบความปลอดภัยในปี 2024 แต่ไม่ทราบเส้นทางการโจมตี และทุกการแก้ไขที่เป็นไปได้มีข้อดีข้อเสีย เช่น การทำลายความเข้ากันได้ ทีมรักษาความปลอดภัยตัดสินใจโดยฉันทามติและประสบปัญหาในการเลือก ซึ่งมูลนิธิเรียกว่าความล้มเหลวเชิงโครงสร้างที่เกิดจากกระบวนการตัดสินใจและการขาดทรัพยากร

### PHP2Shell กำลังถูกโจมตีหรือไม่ และโจมตีง่ายแค่ไหน?

แหล่งข้อมูลไม่เห็นด้วย Amazon บันทึกความพยายามในการโจมตีเมื่อวันที่ 17 ตุลาคม และภายหลังกล่าวว่า PHP2Shell ถูกโจมตีอย่างกว้างขวาง และ watchTowr รายงานการโจมตีที่พบในวงกว้าง CISA ไม่พบการโจมตี ณ วันที่เผยแพร่ และทีม PHP ไม่พบการโจมตีที่ใช้งานได้จริงเมื่อเปิดตัว watchTowr กล่าวว่าสคริปต์การโจมตีสาธารณะส่วนใหญ่จะล่มหรือไม่ทำงาน และ VulnCheck พบว่าการเรียกใช้โค้ดทำงานได้เฉพาะในการตั้งค่าบางอย่างเท่านั้น

### คำตัดสินของ The Daily Diff เกี่ยวกับ PHP2Shell คืออะไร?

คำตัดสินของ The Daily Diff คือ SHIP IT: จัดส่งการอัปเดต PHP คืนนี้ เพราะเวอร์ชันใหม่เป็นการแก้ไขที่สมบูรณ์เพียงอย่างเดียว CISA กล่าวให้ตรวจสอบทุกระบบที่รัน PHP รวมถึงสำเนาภายในซอฟต์แวร์อื่น ๆ ใช้แพตช์ และนำระบบ PHP ออฟไลน์หากไม่สามารถอัปเดตได้ Amazon แนะนำให้ตรวจสอบบันทึกย้อนหลังไปถึงวันที่ 17 ตุลาคม ซึ่งเป็นวันที่พบความพยายามครั้งแรก

## บท

- 0:00 ใครพยายามใช้ PHP2Shell ก่อนกำหนดสี่วัน?
- 0:41 ข้อบกพร่องของ PHP2Shell สองข้อคืออะไร?
- 1:37 ทำไมข้อบกพร่องที่ทราบแล้วจึงรอนานถึงสองปี?
- 1:54 ใครเป็นคนค้นพบ PHP2Shell และอย่างไร?
- 2:20 ข้อมูลการเปิดเผย PHP2Shell รั่วไหลได้อย่างไร?
- 2:50 PHP2Shell กำลังถูกโจมตีหรือไม่ และโดยใคร?
- 3:43 รัฐบาลนำอะไรออกจากระบบ?
- 4:11 PHP เวอร์ชันใดบ้างที่จะได้รับการแก้ไข?
- 4:30 คุณจะจัดการกับ PHP2Shell ในคืนนี้อย่างไร?
- 4:45 มีอะไรอีกบ้างที่ออกแพตช์ RCE ที่สำคัญในวันนี้?
- 5:01 ทำไม Meta ถูกสั่งให้จ่ายเงิน 2.5 หมื่นล้านดอลลาร์?
- 5:18 การป้องกันของ Chainguard สำหรับการแก้ไขก่อนกำหนดคืออะไร?
- 5:38 อะไรได้รับตราประทับ SHIP IT?

## บทถอดเสียงที่แปลแล้ว

แปลจากการบรรยายภาษาอังกฤษต้นฉบับ เสียงและคำบรรยายที่มีให้จะควบคุมโดย YouTube

### ใครพยายามใช้ PHP2Shell ก่อนกำหนดสี่วัน?

0:00 ข้อมูลการเปิดเผยด้านความปลอดภัยควรจะเก็บข้อบกพร่องไว้เป็นความลับจนกว่าแพตช์จะถูกเผยแพร่ Amazon บันทึกความพยายามในการโจมตีข้อบกพร่องที่สำคัญของ PHP ก่อนกำหนดสี่วัน ในวิดีโอนี้ ใครเป็นคนค้นพบมัน? ข้อมูลการเปิดเผยรั่วไหลได้อย่างไร? และมันแย่แค่ไหนจริงๆ? และบริษัทที่ถูกกล่าวหาว่าทำให้ข้อมูลรั่วไหลมีข้อแก้ต่างที่ผมไม่คาดคิด ผมจะอธิบายให้ฟัง วันนี้วันพฤหัสบดีที่ 22 ตุลาคม และนี่คือ The Daily Diff

0:21 PHP เป็นภาษาสคริปต์ที่สร้างหน้าเว็บบนเซิร์ฟเวอร์ก่อนที่มันจะ มาถึงคุณ มีอายุมากกว่าสามสิบปี และจากการประมาณการหนึ่ง ทำงานอยู่ประมาณเจ็ดสิบเปอร์เซ็นต์ของเว็บไซต์ รวมถึง WordPress และซอฟต์แวร์ เบื้องหลัง Wikipedia นักพัฒนาชอบล้อเลียนมัน มักจะจากหน้าเว็บที่ PHP กำลังให้บริการ พวกเขา การบำรุงรักษาเป็นองค์กรไม่แสวงหากำไรที่มีวิศวกรประมาณสิบสามคน

### ข้อบกพร่องของ PHP2Shell สองข้อคืออะไร?

0:41 เมื่อวันพุธ PHP ได้ออกแพตช์ฉุกเฉินสำหรับช่องโหว่ร้ายแรงสองรายการที่ทำให้ คนแปลกหน้าสามารถรันโค้ดบนเซิร์ฟเวอร์ได้โดยไม่ต้องล็อกอิน พวกมันรวมกันเรียกว่า PHP2Shell และย้อนกลับไปถึง PHP ห้า จุดสี่ นี่คือข้อบกพร่องแรกในคำพูดง่ายๆ PHP กำหนดงบประมาณหน่วยความจำสำหรับทุกคำขอ หากคำขอถึงขีดจำกัดนั้นในเวลาที่ไม่เหมาะสมอย่างแน่นอน PHP จะยกเลิกอย่างเร่งรีบและทิ้งคำขอไว้ครึ่งๆ กลางๆ จากนั้นขั้นตอนการทำความสะอาดจะเชื่อถือสิ่งที่ไม่เสร็จสมบูรณ์นั้น

1:07 ข้อบกพร่องที่สองคือส่วนที่เหลือ ข้อผิดพลาดร้ายแรงอาจทิ้งบันทึกที่ชี้ไปยังหน่วยความจำที่เป็นของคำขอสุดท้าย worker เดียวกันจัดการคำขอถัดไปและตามบันทึกนั้น ถึงตอนนั้นมีคนอื่นอาศัยอยู่ที่อยู่นั้นแล้ว บน Apache ที่มี mod PHP ความเสียหายเกิดขึ้นก่อนที่โค้ดของคุณจะทำงาน ดังนั้นหน้าเข้าสู่ระบบของคุณจึงไม่เคยได้รับการลงคะแนน Wiz กล่าวว่าแม้แต่สคริปต์ hello world ก็มีความเสี่ยง การแก้ไขจะลบทางออกฉุกเฉินของ PHP เมื่อหน่วยความจำหมด

1:32 แทนที่จะยกเลิกกลางคำขอ ตอนนี้ PHP จะหยุดอย่างสุภาพที่จุดปลอดภัยถัดไป ส่วนที่แปลกคือเบาะแสแรกนั้นเก่าแค่ไหน

### ทำไมข้อบกพร่องที่ทราบแล้วจึงรอนานถึงสองปี?

1:39 ในปี 2024 การตรวจสอบความปลอดภัยภายนอกนำนักพัฒนาหลักของ PHP ไปสู่ สัญญาณแรกของปัญหาหน่วยความจำ ไม่มีการโจมตีที่ทราบและทุกการแก้ไขทำให้บางอย่างเสียหาย ทีมที่ตัดสินใจโดยฉันทามติไม่สามารถเลือกได้ ดังนั้นข้อบกพร่องจึงถูกรอ จากนั้นในเดือนสิงหาคม ผู้ค้นพบก็มาถึงภายในไม่กี่วัน

### ใครเป็นคนค้นพบ PHP2Shell และอย่างไร?

1:56 Ryan Austin นักวิจัยของ Calif พบมันเมื่อวันที่ 1 สิงหาคม ทำงานผ่านโปรแกรม Patch the Planet ของ OpenAI OpenAI รายงานสาเหตุหลักเดียวกันนี้อย่างอิสระ Wiz พบรูปแบบต่างๆ ในอีกไม่กี่สัปดาห์ต่อมาด้วยโมเดล Gemini และ GPT Austin กล่าวว่าเขาใช้โมเดลที่ใครๆ ก็สามารถหาได้ บวกกับทฤษฎีเกี่ยวกับที่ซ่อนของข้อบกพร่องเก่าๆ ของ PHP OpenAI กล่าวว่า AI ขั้นสูงเป็นกุญแจสำคัญ ข้อบกพร่องซ่อนตัวมานานกว่าทศวรรษ การเผยแพร่มีกำหนดในวันพฤหัสบดี

### ข้อมูลการเปิดเผย PHP2Shell รั่วไหลได้อย่างไร?

2:21 ในวันอังคาร เลข CVE สองหมายเลขเริ่มเผยแพร่ทางออนไลน์ พร้อมเวลาเผยแพร่ที่ผิดและคะแนนสิบที่ผิดพลาด PHP เลื่อนการเผยแพร่ขึ้นหนึ่งวัน เย็นวันนั้น Calif เผลอเผยแพร่วิดีโอหลักฐานแนวคิดของตนที่กำลังทำงานอยู่ และสำเนาต่างๆ ก็ยังคงอยู่แม้จะถูกลบไปแล้ว เช้าวันพุธ มากกว่าหกชั่วโมงก่อนการเผยแพร่ Chainguard เผยแพร่อิมเมจที่สร้างเสร็จซึ่งมีการแก้ไข PHP กล่าวว่าผู้โจมตีทุกคนสามารถศึกษาการแก้ไขนั้นได้ในขณะที่คนอื่นๆ กำลังรอ

2:46 แพตช์ก็คือ diff และผู้โจมตีอ่าน diffs

### PHP2Shell กำลังถูกโจมตีหรือไม่ และโดยใคร?

2:50 แล้วใครกำลังถูกโจมตีจริงๆ? Amazon's honeypot บันทึกความพยายามเมื่อวันที่ 17 ตุลาคม และภายหลังกล่าวว่า PHP2Shell ถูกโจมตีอย่างกว้างขวาง watchTowr รายงานการโจมตีที่พบในวงกว้าง Cisa กล่าวว่าไม่พบการโจมตีใดๆ เมื่อเผยแพร่ และทีม PHP ไม่พบ การโจมตีที่ใช้งานได้จริงเมื่อเปิดตัว ซีอีโอของ Cloudflare กล่าวว่าพบความพยายามหลายพันครั้งในสิบชั่วโมงก่อนการ ประกาศ และหลายล้านครั้งภายในเช้าวันพฤหัสบดี

3:13 Amazon ระมัดระวังในประเด็นหนึ่ง ไม่ทราบว่าความพยายามในช่วงแรกสุดจะใช้ได้กับระบบจริงหรือไม่ ความพยายามเป็นเพียงการเคาะประตูเท่านั้น แล้วมันแย่แค่ไหนจริงๆ? watchTowr กล่าวว่าการโจมตีสาธารณะที่แพร่หลายส่วนใหญ่จะล่มหรือไม่มีอะไรเกิดขึ้น VulnCheck กล่าวว่าการเรียกใช้โค้ดทำงานได้ในการตั้งค่าบางอย่าง และไม่มีอันไหนในสาธารณะ ที่เอาชนะการสุ่มหน่วยความจำบนเซิร์ฟเวอร์ x86 มาตรฐานได้ นักวิจัย Elias Taylor กล่าวว่ามันไม่หมูเท่า Log4Shell

3:40 ทุกคนยังคงบอกให้แพตช์ รัฐบาลไม่ได้รอคำตัดสิน

### รัฐบาลนำอะไรออกจากระบบ?

3:44 NSA บอกองค์กรที่ไม่สามารถแพตช์ได้ให้นำระบบ PHP ออฟไลน์ และศูนย์ความปลอดภัยทางไซเบอร์แห่งชาติของสหราชอาณาจักรก็ให้คำแนะนำที่คล้ายกัน เว็บไซต์ของเนเธอร์แลนด์ รวมถึงบริการระบุตัวตนดิจิทัลแห่งชาติ ปิดตัวลง เช่นเดียวกับเว็บไซต์ของตำรวจปารีส Wikimedia ปิดระบบหลายระบบเพื่อเป็นการป้องกันไว้ก่อน Palo Alto Networks นับอินสแตนซ์ที่ได้รับผลกระทบมากกว่า 22 ล้านรายการ และศาสตราจารย์ชาวออสเตรเลียได้ชี้ประเด็นที่เฉียบคมที่สุด เว็บไซต์ที่ต้องกังวลคือเว็บไซต์ที่ยังไม่ปิดตัวในวันนี้

### PHP เวอร์ชันใดบ้างที่จะได้รับการแก้ไข?

4:11 มีการแก้ไขสำหรับ PHP 8.2 ถึง 8.5 สำหรับ 7.4, 8.0 และ 8.1 PHP เผยแพร่แพตช์ซอร์สโค้ดเท่านั้น เวอร์ชันเก่ากว่าไม่ได้รับอะไรจากโครงการ PHP ดังนั้นโปรดสอบถามการจัดจำหน่ายของคุณ การแก้ไขเฉพาะหน้าช่วยลดโอกาสได้ แต่ PHP กล่าวว่าการอัปเดตเป็นวิธีเดียวที่สมบูรณ์ ในการแก้ไข มันเป็นบทเรียนเดียวกันกับตอน eMudhra เมื่อวานนี้

### คุณจะจัดการกับ PHP2Shell ในคืนนี้อย่างไร?

4:32 เพราะการมีอยู่ของการแก้ไขไม่เหมือนกับการที่กระบวนการที่กำลังทำงานอยู่มีมัน ค้นหา PHP ทุกตัวในสแต็กของคุณ แม้กระทั่งสำเนาที่ซ่อนอยู่ในซอฟต์แวร์อื่น อัปเดต, รีสตาร์ท worker และตรวจสอบบันทึกย้อนหลังไปถึงวันที่ 17 ตุลาคม ในวันเดียวกัน GitLab ได้ออกแพตช์ฉุกเฉินที่สำคัญ

### มีอะไรอีกบ้างที่ออกแพตช์ RCE ที่สำคัญในวันนี้?

4:47 เวอร์ชัน 19.5.1 การโอเวอร์โฟลว์จำนวนเต็มในคอมไพเลอร์นิพจน์ทั่วไปของมัน ทำให้ผู้ใช้ที่ไม่ได้ยืนยันตัวตนสามารถรันโค้ดบนเซิร์ฟเวอร์ได้ และมีคะแนนเต็มสิบ GitLab.com ได้รับการแพตช์แล้ว การติดตั้งที่จัดการเองจำเป็นต้องอัปเดต ขณะเดียวกันในนิวเม็กซิโก ผู้พิพากษาสั่งให้ Meta จ่ายเงิน 2.5 หมื่นล้านดอลลาร์

### ทำไม Meta ถูกสั่งให้จ่ายเงิน 2.5 หมื่นล้านดอลลาร์?

5:01 เป็นค่าปรับจากกรณี Cambridge Analytica คณะลูกขุนนับการละเมิดมากกว่า 43 ล้านครั้ง ครั้งละสูงสุด 5 พันดอลลาร์ ซึ่งรวมเป็นประมาณ 2.2 แสนล้านดอลลาร์ก่อนที่ผู้พิพากษาจะลดจำนวนลง Meta กล่าวว่าจะชนะในการอุทธรณ์ ตอนนี้มาถึงการป้องกันที่ผมสัญญาไว้ ซีอีโอของ Chainguard บอก The Register ว่าเขาพบข้อบกพร่องเดียวกันด้วยตัวเองในคืนวันศุกร์

### การป้องกันของ Chainguard สำหรับการแก้ไขก่อนกำหนดคืออะไร?

5:19 หลังจากรู้ว่ามีบางอย่างกำลังจะมาใน PHP ด้วยข้อความแจ้งง่ายๆ ให้ค้นหา ช่องโหว่ที่ไม่ดี เขากล่าวว่าเขาเผยแพร่ก่อนกำหนดเพราะผู้คนถูกโจมตีอยู่แล้ว หากคุณต้องการอ่านสิ่งนี้แทนที่จะฟังผมพูด The Daily Diff จะส่งถึงกล่องจดหมายของคุณทุกเช้า ฟรีที่ thedailydiff.dev ลิงก์อยู่ด้านล่าง ดังนั้นคำตัดสินของวันนี้คือ SHIP IT จัดส่งการอัปเดต PHP คืนนี้ เพราะหมายเลขเวอร์ชันใหม่เป็นการแก้ไขที่สมบูรณ์เพียงอย่างเดียว

### อะไรได้รับตราประทับ SHIP IT?

5:39 และนั่นคือ The Daily Diff สำหรับวันนี้ ผม Niko จาก Axrisi รวมโค้ดอย่างมีความรับผิดชอบ รวมอย่างมีความรับผิดชอบ

## แหล่งที่มา

- [Today's PHP Security Release, and How We're Strengthening PHP Security](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/) — The PHP Foundation
- [RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w) — PHP security advisory
- [RCE via stale global state (GHSA-6wmf-4rv5-p3rp)](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp) — PHP security advisory
- [Upcoming Critical PHP Security Release](https://www.php.net/archive/2026.php) — php.net
- [php2shell](https://calif.io/php2shell/) — Calif
- [PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet](https://www.wiz.io/blog/php2shell-php-rce) — Wiz Research
- [Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot](https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/) — AWS Security Blog
- [Critical Vulnerabilities in PHP Require Immediate Patching](https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching) — CISA
- [Flaw in PHP computer language leads to shutdown of websites around world](https://www.theguardian.com/technology/2026/oct/21/flaw-in-php-computer-language-leads-to-shutdown-of-websites-around-world) — The Guardian
- [What is PHP, and how bad is the computer language flaw causing website shutdowns globally?](https://www.theguardian.com/technology/2026/oct/22/what-is-php-computer-language-flaw-causing-global-website-shutdowns) — The Guardian
- [PHP2Shell Exploitation Started Days Before Patches](https://www.securityweek.com/php2shell-exploitation-started-days-before-patches/) — SecurityWeek
- [PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619](https://www.tanium.com/blog/php2shell-responding-to-cve-2026-109618-and-cve-2026-109619) — Tanium
- [There isn't an easy exploit for this PHP vulnerability](https://eliastaylor.com/noexploit/) — Elias Taylor
- [PHP blames supply chain security biz Chainguard for putting entire web at risk](https://www.theregister.com/security/2026/10/22/php-blames-supply-chain-security-biz-chainguard-for-putting-entire-web-at-risk/5304611) — The Register
- [PHP2Shell: 22M exposed servers at risk as emergency patches released](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released) — TechTarget
- [PHP ships emergency patches for critical PHP2Shell flaws](https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/) — BleepingComputer
- [GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/) — GitLab
- [Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica case](https://www.cnbc.com/2026/10/21/meta-new-mexico-cambridge-analytica-penalty.html) — CNBC
- [Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming](https://news.ycombinator.com/item?id=50167754) — Hacker News