Firma keamanan Wiz Research ngumumake sawetara kerentanan kritis ing mesin PHP inti tanggal 21 Oktober 2026, ngelingake yen cacat kasebut - kanthi kolektif diarani PHP2Shell - ngaktifake eksekusi kode remot sing ora dikonfirmasi lan pambocoran memori gaya Heartbleed ing piranti lunak sing nguwasani kira-kira 70 persen kabeh situs web. Proyek PHP ngrilis patch ing dina sing padha, lan Wiz njaluk nganyari langsung ing basis sing diinstal ing web.
PHP minangka penyangga saka akeh internet: nguwasani WordPress, Joomla, Drupal lan MediaWiki, piranti lunak sing mbukak Wikipedia. Sing penting, bug sing mentas diumumake manggon ing mesin inti PHP, ora ing aplikasi apa wae sing dibangun ing ndhuwur, tegese situs bisa katon sanajan kode aplikasi dhewe aman. For more context on this story, see our ongoing AI industry coverage.
Apa Kerentanan Apa
Miturut panulis teknis Wiz dening peneliti Sagi Tzadik, Shir Tamari, Nir Ohfeld lan Tomer Schwartz, kabeh kewan omo sing diungkapake minangka masalah keamanan memori sing didhasarake babagan carane PHP nangani kesalahan fatal sajrone proses panyuwunan - utamane kesalahan sing ora ana ing memori. A request tabrakan bisa ninggalake rusak internal PHP negara konco, lan panjalukan mengko utawa buruh sing nggunakake maneh negara stale bisa micu pambocoran memori utawa korupsi memori.
Temuan kasebut diklompokake ing rong CVE kanthi keruwetan maksimum CVSS 9.2:
- CVE-2026-109618 — unserializer unserializer sing ngunggah tanpa nggunakake sing bisa digunakake dening panyerang kanggo pambocoran memori proses remot lan, ing rantai sing dituduhake, eksekusi kode remot lengkap. Wiz nduduhake pambocoran memori pekerja PHP sing ora dikonfirmasi lan RCE pra-otentikasi ing WordPress, Drupal lan Joomla.
- CVE-2026-109619 — backtrace kesalahan fatal nggunakake-sawise-gratis digabungake karo kebingungan jinis OPcache, uga nuduhake kanggo ngasilake eksekusi kode remot pra-otentikasi ing Drupal lan WordPress.
Memori sing bisa diwaca panyerang bisa uga ngemot sandhi, token otentikasi, kunci API lan sertifikat sing ana gandhengane karo panjaluk liyane utawa menyang server dhewe, ujare Wiz. Saben versi PHP sing dirilis ing dasawarsa pungkasan - bali menyang PHP 5.4 - kena pengaruh paling ora salah siji saka kerentanan, lan perusahaan ujar manawa iki minangka salah sawijining cacat paling abot sing ditemokake ing PHP.
Ngendi AI Teka
Pratelan sing paling penting ing laporan Wiz dudu babagan PHP - yaiku babagan model AI perbatasan sing wis ditindakake kanggo ngeksploitasi pembangunan.
Cacat sing ndasari, Wiz nyerat, wis ana pirang-pirang dekade, nanging mbuktekake eksploitasi mbutuhake "langkah-langkah sing rumit banget, ing pinggir apa sing bisa ditindakake para peneliti manungsa." Eksploitasi kasebut kudu ngrampungake pirang-pirang cacat lan adaptasi karo tata letak memori saben target liwat tes lan debugging bola-bali.
Model Frontier AI, ujare perusahaan, nyuda alangan kasebut - "ngowahi cacat sing wis suwe dadi eksploitasi" - lan ngidini tim Wiz ngembangake lan ngganti eksploitasi kerja ing pirang-pirang aplikasi sajrone pirang-pirang jam tinimbang minggu.
"Minangka wektu lan keahlian sing dibutuhake kanggo karya iki saya suda, kerumitan bisa uga ora menehi alangan sing migunani, ngganti cara kita nemtokake apa sing rawan ing praktik," tulis peneliti.
Titik Balik ing Era AI?
Wiz kanthi eksplisit nggawe PHP2Shell bebarengan karo rong wektu DAS sadurunge ing keamanan web: Heartbleed ing taun 2014, sing nuduhake keruwetan infrastruktur bareng sing ngamanake internet, lan Log4Shell ing taun 2021, sing nuduhake kepiye dependensi piranti lunak sing dipasang ing jero nggawe eksposur sing nyebar. Perusahaan kasebut ujar manawa PHP2Shell bisa menehi tandha titik balik sing padha - wektu iki nggambarake kepiye AI ngganti eksploitasi praktis saka kelemahane sing wis suwe.
Framing kasebut ngluwihi PHP. Kerentanan teoretis sing ora bisa digayuh kanthi aman amarga eksploitasi angel banget, alon banget utawa khusus banget saiki bisa digayuh panyerang sing duwe sumber daya sing bersenjata alat AI - owah-owahan kanthi implikasi sing jelas kanggo anggaran pertahanan, irama tembelan lan garis wektu pambocoran ing industri piranti lunak.
A Coordinated Cross-Industri Fix
Pambocoran kasebut dikoordinasi. Wiz matur nuwun marang tim PHP lan OpenAI kanggo karyane babagan panemuan, koordinasi lan verifikasi patch, kanthi nyathet yen OpenAI lan PHP nerbitake tulisan teknis dhewe babagan sejarah kerentanan lan proses pambocoran.
Klompok lintas industri - kalebu Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft lan Vercel - nyiapake panuntun dhumateng lan mitigasi metu-saka-kothak kanggo pelanggan sing ora bisa langsung patch. Cloudflare ngumumake kanthi kapisah tanggal 21 Oktober yen wis ngetrapake proteksi WAF marang kerentanan PHP kanggo para pelanggan.
Apa Sing Pamilik Situs Kudu Ditindakake
Saran saka Wiz kethul: patch langsung. Proyek PHP ngrilis perbaikan kanggo kerentanan keamanan memori tanggal 21 Oktober 2026, lan saben panyebaran PHP sing didhukung kudu nganyari sanalika bisa.
Organisasi sing ora bisa langsung nambal kudu ngetrapake mitigasi sing diterbitake dening panyedhiya CDN, hosting utawa WAF, sawetara sing ngirim aturan sing ngarahake rantai eksploitasi ing dina pisanan. Administrator armada WordPress, Drupal lan Joomla kudu nganggep iki minangka siklus tembelan prioritas: Wiz nduduhake eksekusi kode remot pra-otentikasi marang kabeh telung platform, lan jalur kode sing rawan ora ana preduli saka perawatan aplikasi ing ndhuwur.
Pawulangan sing luwih jero bisa uga sing digambarake dening Wiz: nalika AI bisa ngompres pirang-pirang wulan teknik eksploitasi dadi pirang-pirang jam, definisi kerja industri "praktis bisa dieksploitasi" - lan makna garis wektu patching sing tanggung jawab - wis diganti.
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
