# PHP2Shell: دو اہم پی ایچ پی نقائص، ایک لیک ہونے والا پابندی، اور استحصال کے بارے میں اصل معلومات

Published: 2026-10-22

پی ایچ پی نے دو اہم ریموٹ کوڈ ایگزیکیوشن کی خامیوں، CVE-2026-109618 اور CVE-2026-109619، جنہیں PHP2Shell کہا جاتا ہے، کے لیے ہنگامی فکسز جاری کیے ہیں۔ یہ ریلیز 21 اکتوبر 2026 کو جاری کی گئی تھی۔ یہ واقعہ سادہ الفاظ میں دو میموری کی خامیوں کی وضاحت کرتا ہے، 2024 کے آڈٹ سے ملنے والا اشارہ فکس کا انتظار کیوں کرتا رہا، پابندی کیسے لیک ہوئی، اور کون سے ذرائع استحصال کے بارے میں کیا کہتے ہیں۔ اس میں گٹ لیب کی اسی دن کی اہم پیچ ریلیز اور نیو میکسیکو میں 25 بلین ڈالر کا میٹا جرمانے کا حکم بھی شامل ہے۔

Canonical: https://thedailydiff.dev/ur/video/2026-10-22-php2shell/

## اس ویڈیو میں کیا شامل ہے

- پی ایچ پی ٹیم کی طرف سے دونوں نقائص کو CVSS v4.0 پر 9.2 ریٹ کیا گیا ہے۔ فکس شدہ ریلیز PHP 8.2.35, 8.3.36, 8.4.27 اور 8.5.12 ہیں؛ PHP 7.4, 8.0 اور 8.1 کو صرف سورس پیچز ملے ہیں۔ پی ایچ پی کا کہنا ہے کہ اپ ڈیٹ کرنا ہی واحد مکمل حل ہے۔
- پہلا نقص اس وجہ سے ہے کہ PHP غلط وقت پر میموری ختم ہونے پر درخواست کو آدھا ادھورا چھوڑ دیتا ہے۔ دوسرا ایک درخواست کی میموری کے لیے ایک بقیہ پوائنٹر سے آتا ہے جسے ایک ہی ورکر میں بعد میں آنے والی درخواست استعمال کر سکتی ہے۔ Apache پر mod\_php کے ساتھ پہلا راستہ ایپلیکیشن کوڈ سے پہلے چلتا ہے۔
- ایک پی ایچ پی کور ڈویلپر نے 2024 کے آڈٹ کے دوران میموری کے مسئلے کی پہلی علامات پائی تھیں۔ پی ایچ پی فاؤنڈیشن کا کہنا ہے کہ مقابلہ کرنے والے فکسز میں تجارتی سمجھوتے تھے اور اتفاق رائے پر مبنی سیکیورٹی ٹیم کو انتخاب کرنے میں دشواری ہوئی، جسے وہ ایک ساختی ناکامی قرار دیتی ہے۔
- فاؤنڈیشن کا کہنا ہے کہ CVE ID 20 اکتوبر کو لیک ہوئے، Calif نے غلطی سے ایک پروف آف کانسیپٹ ویڈیو شائع کی، اور Chainguard نے ریلیز سے چھ گھنٹے سے زیادہ پہلے فکس کے ساتھ بلٹ امیجز شائع کیں۔ Chainguard کے سی ای او کا کہنا ہے کہ لوگ پہلے ہی متاثر ہو رہے تھے اور یہ کہ انہوں نے یہ بگس آزادانہ طور پر پائے تھے۔
- ذرائع استحصال پر متفق نہیں ہیں۔ ایمیزون نے 17 اکتوبر کو ایک کوشش لاگ کی اور بعد میں کہا کہ PHP2Shell کو بڑے پیمانے پر استحصال کیا گیا تھا۔ watchTowr نے جنگلی میں استحصال کی اطلاع دی۔ CISA نے اشاعت کے وقت استحصال کا مشاہدہ نہیں کیا تھا، اور پی ایچ پی ٹیم کو ریلیز کے وقت کوئی فعال استحصال نہیں ملا۔ کئی عوامی پروف آف کانسیپٹ اسکرپٹس کے بارے میں بتایا جاتا ہے کہ وہ کام نہیں کرتے۔
- پی ایچ پی چلنے والی ہر جگہ کی جانچ کریں، بشمول دوسرے سافٹ ویئر کے اندر کی کاپیاں، اپ ڈیٹ کریں، ورکرز کو دوبارہ شروع کریں اور 17 اکتوبر تک کے لاگز کا جائزہ لیں۔

## سوالات و جوابات

### PHP2Shell کی دو کمزوریاں کیا ہیں؟

PHP2Shell دو اہم PHP خامیوں، CVE-2026-109618 اور CVE-2026-109619، کا نام ہے، جنہیں PHP ٹیم نے 9.2 ریٹ کیا ہے۔ پہلی خامی یہ ہے کہ جب PHP غلط وقت پر میموری سے باہر ہو جاتا ہے تو ایک درخواست ادھوری رہ جاتی ہے، اور پھر صفائی اسے پر اعتماد کرتی ہے۔ دوسری خامی ایک درخواست کی میموری کے لیے ایک پوائنٹر چھوڑ دیتی ہے جسے ایک ہی ورکر میں بعد میں آنے والی درخواست استعمال کر سکتی ہے۔ دونوں لاگ ان کے بغیر کوڈ ایگزیکیوشن کا باعث بن سکتی ہیں۔

### PHP2Shell کے لیے کون سے PHP ورژنز میں فکس ہے، اور غیر معاونت شدہ ورژنز کا کیا ہوگا؟

PHP پروجیکٹ نے 21 اکتوبر کو 8.2.35, 8.3.36, 8.4.27 اور 8.5.12 میں فکسز جاری کیے۔ 7.4, 8.0 اور 8.1 کے لیے اس نے صرف سورس پیچز شائع کیے، اور BleepingComputer کی رپورٹ کے مطابق تقسیم کار اور طویل المدتی معاونت فراہم کرنے والے بیکپورٹڈ فکسز فراہم کر سکتے ہیں۔ PHP کا کہنا ہے کہ کوئی مکمل متبادل حل نہیں ہے، اس لیے اپ ڈیٹ کرنا یا کسی وینڈر سے پیچڈ پیکج طلب کرنا ہی واحد محفوظ انتخاب ہے۔

### ایک معلوم PHP میموری بگ کو اکتوبر 2026 تک ٹھیک کرنے میں کیوں لگا؟

PHP فاؤنڈیشن کا کہنا ہے کہ ایک کور ڈویلپر نے 2024 کے سیکیورٹی آڈٹ کے دوران میموری کے مسئلے کی پہلی علامات پائی تھیں، لیکن کوئی استحصال کا راستہ معلوم نہیں تھا اور ہر ممکنہ فکس میں مطابقت ٹوٹنے جیسے تجارتی سمجھوتے تھے۔ سیکیورٹی ٹیم اتفاق رائے سے فیصلے کرتی ہے اور اسے انتخاب کرنے میں دشواری ہوئی، جسے فاؤنڈیشن اپنے فیصلے کے عمل اور وسائل کی کمی کی وجہ سے ساختی ناکامی قرار دیتی ہے۔

### کیا PHP2Shell کا استحصال ہو رہا ہے، اور اسے استحصال کرنا کتنا آسان ہے؟

ذرائع اس پر متفق نہیں ہیں۔ ایمیزون نے 17 اکتوبر کو استحصال کی ایک کوشش لاگ کی اور بعد میں کہا کہ PHP2Shell کا بڑے پیمانے پر استحصال کیا گیا تھا، اور watchTowr نے جنگلی میں استحصال کی اطلاع دی۔ CISA نے اشاعت کے وقت استحصال کا مشاہدہ نہیں کیا تھا، اور PHP ٹیم کو ریلیز کے وقت کوئی فعال استحصال نہیں ملا تھا۔ watchTowr کا کہنا ہے کہ زیادہ تر عوامی استحصال کے اسکرپٹس کریش ہو جاتے ہیں یا کچھ نہیں کرتے، اور VulnCheck نے پایا کہ کوڈ ایگزیکیوشن صرف کچھ سیٹ اپ میں کام کرتا ہے۔

### PHP2Shell پر The Daily Diff کا فیصلہ کیا تھا؟

The Daily Diff کا فیصلہ SHIP IT تھا: آج رات PHP اپ ڈیٹ جاری کریں، کیونکہ نیا ورژن ہی واحد مکمل فکس ہے۔ CISA کا کہنا ہے کہ PHP چلانے والے ہر سسٹم کی انوینٹری لیں، بشمول دوسرے سافٹ ویئر کے اندر کی کاپیاں، پیچ لگائیں، اور اگر PHP سسٹمز کو اپ ڈیٹ نہیں کیا جا سکتا تو انہیں آف لائن کر دیں۔ ایمیزون 17 اکتوبر تک کے لاگز کا جائزہ لینے کا مشورہ دیتا ہے، جب اس نے پہلی کوشش دیکھی تھی۔

## ابواب

- 0:00 PHP2Shell کی چار دن پہلے کس نے کوشش کی؟
- 0:41 PHP2Shell کے دو بگس کیا ہیں؟
- 1:37 ایک معلوم بگ کو دو سال انتظار کیوں کرنا پڑا؟
- 1:54 PHP2Shell کس نے اور کیسے پایا؟
- 2:20 PHP2Shell کا پابندی کیسے لیک ہوا؟
- 2:50 کیا PHP2Shell کا استحصال ہو رہا ہے، اور کون کر رہا ہے؟
- 3:43 حکومتوں نے کیا چیزیں آف لائن کر دیں؟
- 4:11 کن پی ایچ پی ورژنز کو فکس ملے گا؟
- 4:30 آج رات آپ PHP2Shell کے بارے میں کیا کریں گے؟
- 4:45 آج مزید کس نے ایک اہم RCE پیچ جاری کیا؟
- 5:01 میٹا کو 25 بلین ڈالر کیوں ادا کرنے کا حکم دیا گیا؟
- 5:18 Chainguard کی ابتدائی فکس کے لیے دفاع کیا ہے؟
- 5:38 کس کو SHIP IT کی مہر ملتی ہے؟

## ترجمہ شدہ ٹرانسکرپٹ

اصل انگریزی بیان سے ترجمہ کیا گیا۔ دستیاب آڈیو اور کیپشنز یوٹیوب کے زیر انتظام ہیں۔

### PHP2Shell کی چار دن پہلے کس نے کوشش کی؟

0:00 ایک سیکیورٹی پابندی کا مقصد بگ کو خاموش رکھنا ہوتا ہے جب تک کہ پیچ جاری نہ ہو جائے۔ ایمیزون نے پی ایچ پی کے اہم بگ کے خلاف چار دن پہلے ایک کوشش لاگ کی۔ اس ویڈیو میں، اسے کس نے پایا؟ پابندی کیسے لیک ہوئی؟ اور یہ واقعی کتنا برا ہے؟ اور لیک کا ذمہ دار قرار دی جانے والی کمپنی کا ایک دفاع ہے جس کی مجھے توقع نہیں تھی۔ میں اس پر پہنچوں گا۔ آج جمعرات، بائیس اکتوبر ہے، اور یہ The Daily Diff ہے۔

0:21 PHP ایک اسکرپٹنگ زبان ہے جو ویب صفحات کو سرور پر بناتی ہے بالکل اس سے پہلے کہ وہ آپ تک پہنچیں۔ یہ تیس سال سے زیادہ پرانی ہے اور، ایک اندازے کے مطابق، تقریباً ستر فیصد ویب سائٹس چلاتی ہے، بشمول ورڈپریس اور وکی پیڈیا کے پیچھے کا سافٹ ویئر۔ ڈویلپرز اسے مذاق کا نشانہ بنانا پسند کرتے ہیں، عام طور پر ایک ایسے صفحے سے جو پی ایچ پی انہیں فراہم کر رہا ہوتا ہے۔ اس کی دیکھ بھال ایک غیر منافع بخش تنظیم کرتی ہے جس میں تقریباً تیرہ انجینئرز ہیں۔

### PHP2Shell کے دو بگس کیا ہیں؟

0:41 بدھ کو، پی ایچ پی نے دو اہم خامیوں کے لیے ہنگامی فکسز جاری کیے جو ایک اجنبی کو بغیر لاگ ان کے سرور پر کوڈ چلانے کی اجازت دیتے ہیں۔ انہیں مجموعی طور پر PHP2Shell کہا جاتا ہے، اور یہ پی ایچ پی پانچ پوائنٹ چار تک پہنچتے ہیں۔ یہاں پہلی بگ سادہ الفاظ میں ہے۔ پی ایچ پی ہر درخواست کو میموری کا بجٹ دیتا ہے۔ اگر کوئی درخواست بالکل غلط وقت پر اس حد کو چھوتی ہے، پی ایچ پی جلدی میں باہر نکل جاتا ہے اور درخواست کو آدھا ادھورا چھوڑ دیتا ہے۔ پھر صفائی کا مرحلہ آدھے ادھورے کام پر بھروسہ کرتا ہے۔

1:07 دوسرا بگ ایک بقیہ ہے۔ ایک مہلک غلطی ایک نوٹ چھوڑ سکتی ہے جو اس میموری کی طرف اشارہ کرتا ہے جو پچھلی درخواست سے تعلق رکھتی تھی۔ وہی ورکر اگلی درخواست کو ہینڈل کرتا ہے اور نوٹ کی پیروی کرتا ہے۔ تب تک اس ایڈریس پر کوئی اور رہتا ہے۔ Apache پر mod PHP کے ساتھ، نقصان آپ کے اپنے کوڈ چلنے سے پہلے ہوتا ہے، اس لیے آپ کا لاگ ان صفحہ کبھی ووٹ نہیں دیتا۔ Wiz کا کہنا ہے کہ یہاں تک کہ ایک ہیلو ورلڈ اسکرپٹ بھی بے نقاب ہے۔ فکس میموری ختم ہونے کے لیے پی ایچ پی کے ہنگامی اخراج کو ہٹاتا ہے۔

1:32 درخواست کے درمیان باہر نکلنے کے بجائے، پی ایچ پی اب اگلے محفوظ نقطہ پر شائستگی سے رک جاتا ہے۔ عجیب حصہ یہ ہے کہ پہلا سراغ کتنا پرانا ہے۔

### ایک معلوم بگ کو دو سال انتظار کیوں کرنا پڑا؟

1:39 2024 میں، ایک بیرونی سیکیورٹی آڈٹ نے ایک پی ایچ پی کور ڈویلپر کو میموری کے مسئلے کی پہلی علامات تک پہنچایا۔ کوئی استحصال معلوم نہیں تھا، اور ہر فکس کچھ نہ کچھ توڑ رہا تھا۔ اتفاق رائے سے فیصلہ کرنے والی ٹیم انتخاب نہیں کر سکی، اس لیے بگ انتظار کرتا رہا۔ پھر اگست میں، تلاش کرنے والے چند دنوں میں پہنچ گئے۔

### PHP2Shell کس نے اور کیسے پایا؟

1:56 Calif کے محقق Ryan Austin نے اسے یکم اگست کو پایا، اوپن اے آئی کے پیچ دی پلانیٹ پروگرام کے ذریعے کام کرتے ہوئے۔ اوپن اے آئی نے آزادانہ طور پر اسی بنیادی وجہ کی اطلاع دی۔ Wiz نے چند ہفتوں بعد جیمنی اور GPT ماڈلز کے ساتھ مختلف قسمیں پائیں۔ آسٹن کا کہنا ہے کہ انہوں نے ایسے ماڈل استعمال کیے جو کوئی بھی حاصل کر سکتا ہے، اس کے علاوہ پی ایچ پی کے پرانے بگس کے چھپنے کے بارے میں ایک تھیوری۔ اوپن اے آئی کا کہنا ہے کہ فرنٹیر اے آئی کلید تھی۔ بگ ایک دہائی سے زیادہ عرصے سے چھپا ہوا تھا۔ ریلیز جمعرات کے لیے منصوبہ بندی کی گئی تھی۔

### PHP2Shell کا پابندی کیسے لیک ہوا؟

2:21 منگل کو، دو CVE نمبرز آن لائن گردش کرنے لگے، غلط ریلیز وقت اور دس کے غلط سکور کے ساتھ۔ پی ایچ پی نے ریلیز کو ایک دن پہلے کر دیا۔ اسی شام، Calif نے غلطی سے اپنے پروف آف کانسیپٹ کی ایک ویڈیو شائع کی جو کام کر رہی تھی، اور کاپیاں حذف ہونے کے بعد بھی باقی رہیں۔ بدھ کی صبح، ریلیز سے چھ گھنٹے سے زیادہ پہلے، Chainguard نے فکس پر مشتمل بلٹ امیجز شائع کیں۔ پی ایچ پی کا کہنا ہے کہ کوئی بھی حملہ آور اس فکس کا مطالعہ کر سکتا تھا جب کہ باقی سب انتظار کر رہے تھے۔

2:46 ایک پیچ ایک diff بھی ہے، اور حملہ آور diffs پڑھتے ہیں۔

### کیا PHP2Shell کا استحصال ہو رہا ہے، اور کون کر رہا ہے؟

2:50 تو واقعی کون متاثر ہو رہا ہے؟ ایمیزون کے ہنی پاٹ نے 17 اکتوبر کو ایک کوشش لاگ کی اور بعد میں کہا PHP2Shell کو بڑے پیمانے پر استحصال کیا گیا ہے۔ watchTowr جنگلی میں استحصال کی اطلاع دیتا ہے۔ Cisa نے کہا کہ اس نے اشاعت کے وقت کوئی مشاہدہ نہیں کیا تھا، اور پی ایچ پی کی ٹیم نے ریلیز کے وقت کوئی کارآمد استحصال نہیں دیکھا۔ کلاؤڈ فلیر کے سی ای او نے کہا کہ انہوں نے اعلان سے دس گھنٹے پہلے ہزاروں کوششیں دیکھیں، اور جمعرات کی صبح تک لاکھوں۔

3:13 ایمیزون ایک نکتے پر محتاط ہے۔ وہ نہیں جانتے کہ ان کی ابتدائی کوششیں ایک حقیقی سسٹم پر کام کرتی تھیں یا نہیں۔ ایک کوشش صرف دروازے پر دستک ہے۔ تو یہ واقعی کتنا برا ہے؟ watchTowr کا کہنا ہے کہ عوامی استحصال زیادہ تر کریش ہو جاتے ہیں یا کچھ نہیں کرتے۔ VulnCheck کا کہنا ہے کہ کچھ سیٹ اپ میں کوڈ ایگزیکیوشن کام کرتا ہے، اور کوئی بھی عوامی اسٹینڈرڈ x86 سرورز پر میموری رینڈمائزیشن کو نہیں ہرا پاتا۔ محقق Elias Taylor کا کہنا ہے کہ یہ Log4Shell جتنا آسان نہیں ہے۔

3:40 ہر کوئی اب بھی پیچ کرنے کو کہتا ہے۔ حکومتوں نے فیصلے کا انتظار نہیں کیا۔

### حکومتوں نے کیا چیزیں آف لائن کر دیں؟

3:44 این ایس اے نے ان تنظیموں کو بتایا جو پیچ نہیں کر سکتی تھیں کہ پی ایچ پی سسٹمز کو آف لائن کر دیں، اور برطانیہ کے نیشنل سائبر سیکیورٹی سینٹر نے بھی اسی طرح کا مشورہ دیا۔ ڈچ سائٹس، بشمول قومی ڈیجیٹل شناخت سروس، پیرس پولیس سائٹ کے ساتھ ساتھ بند ہو گئیں۔ ویکی میڈیا نے احتیاط کے طور پر کئی سسٹمز کو بند کر دیا۔ پالو آلٹو نیٹ ورکس نے بائیس ملین سے زیادہ بے نقاب انسٹالیشنز گنیں۔ اور ایک آسٹریلوی پروفیسر نے سب سے اہم بات کہی۔ جن سائٹس کے بارے میں پریشان ہونے کی ضرورت ہے وہ ہیں جو آج بند نہیں ہیں۔

### کن پی ایچ پی ورژنز کو فکس ملے گا؟

4:11 پی ایچ پی آٹھ پوائنٹ دو سے آٹھ پوائنٹ پانچ کے لیے فکسز موجود ہیں۔ سات پوائنٹ چار، آٹھ پوائنٹ اوہ اور آٹھ پوائنٹ ایک کے لیے، پی ایچ پی نے صرف سورس پیچز شائع کیے ہیں۔ پرانے ورژنز کو پی ایچ پی پراجیکٹ سے کچھ نہیں ملے گا، لہذا اپنی تقسیم سے پوچھیں۔ ورک آراؤنڈز مشکلات کو کم کرتے ہیں، لیکن پی ایچ پی کا کہنا ہے کہ اپ ڈیٹ کرنا ہی واحد مکمل فکس ہے۔ یہ کل کے eMudhra ایپیسوڈ کی طرح ہی سبق ہے،

### آج رات آپ PHP2Shell کے بارے میں کیا کریں گے؟

4:32 کیونکہ فکس کا موجود ہونا وہی نہیں ہے جو چلنے والے عمل کے پاس ہو۔ اپنے اسٹیک میں ہر پی ایچ پی کو تلاش کریں، یہاں تک کہ دوسرے سافٹ ویئر کے اندر چھپی کاپیاں بھی۔ اپ ڈیٹ کریں، ورکرز کو دوبارہ شروع کریں، اور 17 اکتوبر تک کے لاگز کو چیک کریں۔ اسی دن، گٹ لیب نے ایک اہم پیچ ریلیز جاری کی،

### آج مزید کس نے ایک اہم RCE پیچ جاری کیا؟

4:47 انیس پوائنٹ پانچ پوائنٹ ایک۔ اس کے ریگولر ایکسپریشن کمپائلر میں ایک انٹیجر اوور فلو ایک غیر تصدیق شدہ صارف کو سرور پر کوڈ چلانے کی اجازت دیتا ہے، اور اسے دس میں سے دس کا سکور ملتا ہے۔ GitLab.com پہلے ہی پیچ ہو چکا ہے۔ خود منظم انسٹالیشنز کو اپ ڈیٹ کی ضرورت ہے۔ دریں اثنا، نیو میکسیکو میں، ایک جج نے میٹا کو کیمبرج اینالیٹیکا کے معاملے میں

### میٹا کو 25 بلین ڈالر کیوں ادا کرنے کا حکم دیا گیا؟

5:01 پچیس بلین ڈالر جرمانہ ادا کرنے کا حکم دیا۔ جوری نے تینتالیس ملین سے زیادہ خلاف ورزیاں گنی، ہر ایک پر پانچ ہزار ڈالر تک، جو جج کے اسے کم کرنے سے پہلے تقریباً دو سو بیس بلین ہو گئے تھے۔ میٹا کا کہنا ہے کہ وہ اپیل پر جیت جائے گا۔ اب وہ دفاع جس کا میں نے وعدہ کیا تھا۔ Chainguard کے سی ای او نے The Register کو بتایا کہ انہوں نے جمعہ کی رات

### Chainguard کی ابتدائی فکس کے لیے دفاع کیا ہے؟

5:19 خود ہی وہی بگس پائے، یہ جاننے کے بعد کہ پی ایچ پی میں کچھ آنے والا ہے، ایک بنیادی پرامپٹ کے ساتھ خراب کمزوریوں کو تلاش کرنے کے لیے۔ ان کا کہنا ہے کہ انہوں نے جلدی جاری کیا کیونکہ لوگ پہلے ہی متاثر ہو رہے تھے۔ اگر آپ اسے سننے کے بجائے پڑھنا چاہتے ہیں، تو diff ہر صبح آپ کے ان باکس میں مفت آتا ہے thedailydiff.dev پر، نیچے لنک ہے۔ تو آج کا فیصلہ SHIP IT ہے۔ آج رات پی ایچ پی اپ ڈیٹ جاری کریں، کیونکہ نیا ورژن ہی واحد مکمل

### کس کو SHIP IT کی مہر ملتی ہے؟

5:39 فکس ہے۔ اور یہ آج کا diff ہے۔ میں Axrisi سے نیکو ہوں۔ ذمہ داری سے ضم کریں۔ ہاں

## ذرائع

- [Today's PHP Security Release, and How We're Strengthening PHP Security](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/) — The PHP Foundation
- [RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w) — PHP security advisory
- [RCE via stale global state (GHSA-6wmf-4rv5-p3rp)](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp) — PHP security advisory
- [Upcoming Critical PHP Security Release](https://www.php.net/archive/2026.php) — php.net
- [php2shell](https://calif.io/php2shell/) — Calif
- [PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet](https://www.wiz.io/blog/php2shell-php-rce) — Wiz Research
- [Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot](https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/) — AWS Security Blog
- [Critical Vulnerabilities in PHP Require Immediate Patching](https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching) — CISA
- [Flaw in PHP computer language leads to shutdown of websites around world](https://www.theguardian.com/technology/2026/oct/21/flaw-in-php-computer-language-leads-to-shutdown-of-websites-around-world) — The Guardian
- [What is PHP, and how bad is the computer language flaw causing website shutdowns globally?](https://www.theguardian.com/technology/2026/oct/22/what-is-php-computer-language-flaw-causing-global-website-shutdowns) — The Guardian
- [PHP2Shell Exploitation Started Days Before Patches](https://www.securityweek.com/php2shell-exploitation-started-days-before-patches/) — SecurityWeek
- [PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619](https://www.tanium.com/blog/php2shell-responding-to-cve-2026-109618-and-cve-2026-109619) — Tanium
- [There isn't an easy exploit for this PHP vulnerability](https://eliastaylor.com/noexploit/) — Elias Taylor
- [PHP blames supply chain security biz Chainguard for putting entire web at risk](https://www.theregister.com/security/2026/10/22/php-blames-supply-chain-security-biz-chainguard-for-putting-entire-web-at-risk/5304611) — The Register
- [PHP2Shell: 22M exposed servers at risk as emergency patches released](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released) — TechTarget
- [PHP ships emergency patches for critical PHP2Shell flaws](https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/) — BleepingComputer
- [GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/) — GitLab
- [Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica case](https://www.cnbc.com/2026/10/21/meta-new-mexico-cambridge-analytica-penalty.html) — CNBC
- [Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming](https://news.ycombinator.com/item?id=50167754) — Hacker News