ក្រុមហ៊ុនសន្តិសុខ Wiz Research បានបង្ហាញសំណុំនៃភាពងាយរងគ្រោះសំខាន់ៗនៅក្នុងម៉ាស៊ីន PHP ស្នូលនៅថ្ងៃទី 21 ខែតុលា ឆ្នាំ 2026 ដោយព្រមានថា គុណវិបត្តិដែលត្រូវបានគេហៅថាជារួមហៅថា PHP2Shell បើកដំណើរការការប្រតិបត្តិកូដពីចម្ងាយដែលមិនបានផ្ទៀងផ្ទាត់ និងការបង្ហាញអង្គចងចាំក្នុងរចនាប័ទ្ម Heartbleed នៅលើកម្មវិធីដែលផ្តល់ថាមពលដល់ 70 ភាគរយនៃគេហទំព័រទាំងអស់។ គម្រោង PHP បានចេញផ្សាយបំណះនៅថ្ងៃដដែល ហើយ Wiz កំពុងជំរុញឱ្យមានការអាប់ដេតជាបន្ទាន់នៅទូទាំងមូលដ្ឋានដែលបានដំឡើងដ៏ធំសម្បើមរបស់គេហទំព័រ។

PHP គឺជាឆ្អឹងខ្នងនៃអ៊ីនធឺណិតជាច្រើន៖ វាផ្តល់ថាមពលដល់ WordPress, Joomla, Drupal និង MediaWiki ដែលជាកម្មវិធីដែលដំណើរការ Wikipedia ។ សំខាន់ កំហុសដែលទើបបង្ហាញថ្មីរស់នៅក្នុងម៉ាស៊ីនស្នូលរបស់ PHP មិនមែននៅក្នុងកម្មវិធីណាមួយដែលបង្កើតឡើងនៅលើវាទេ មានន័យថាគេហទំព័រអាចត្រូវបានលាតត្រដាង ទោះបីជាកូដកម្មវិធីផ្ទាល់ខ្លួនរបស់ពួកគេមានសុវត្ថិភាពក៏ដោយ។ For more context on this story, see our ongoing more AI stories.

អ្វីជាភាពងាយរងគ្រោះ

យោងតាមការសរសេរបច្ចេកទេសរបស់ Wiz ដោយអ្នកស្រាវជ្រាវ Sagi Tzadik, Shir Tamari, Nir Ohfeld និង Tomer Schwartz កំហុសដែលបានបង្ហាញទាំងអស់គឺជាបញ្ហាសុវត្ថិភាពនៃការចងចាំដែលមានឫសគល់នៅក្នុងរបៀបដែល PHP ដោះស្រាយកំហុសធ្ងន់ធ្ងរក្នុងអំឡុងពេលដំណើរការសំណើ - ជាពិសេសកំហុសក្រៅសតិ។ សំណើដែលគាំងអាចទុកស្ថានភាព PHP ខាងក្នុងដែលខូច ហើយសំណើនៅពេលក្រោយ ឬបុគ្គលិកដែលប្រើឡើងវិញនូវស្ថានភាពចាស់នោះ អាចបង្កឱ្យមានការលាតត្រដាងអង្គចងចាំ ឬខូចអង្គចងចាំ។

ការរកឃើញត្រូវបានដាក់ជាក្រុមនៅក្រោម CVEs ពីរជាមួយនឹងភាពធ្ងន់ធ្ងរអតិបរមានៃ CVSS 9.2៖

  • CVE-2026-109618 — ដំណើរការអាប់ឡូតដែលប្រើដោយគ្មានសៀរៀល ដែលអ្នកវាយប្រហារអាចប្រើសម្រាប់ការបញ្ចេញអង្គចងចាំពីចម្ងាយ ហើយនៅក្នុងខ្សែសង្វាក់ដែលបានបង្ហាញ ការប្រតិបត្តិកូដពីចម្ងាយពេញលេញ។ Wiz បានបង្ហាញការបង្ហាញដែលមិនមានការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវនៃអង្គចងចាំរបស់ PHP និង RCE ការផ្ទៀងផ្ទាត់ជាមុននៅលើ WordPress, Drupal និង Joomla ។
  • CVE-2026-109619 — ការប្រើ backtrace ដែលមានកំហុសធ្ងន់ធ្ងរ - បន្ទាប់ពីឥតគិតថ្លៃ រួមបញ្ចូលគ្នាជាមួយនឹងការច្របូកច្របល់នៃប្រភេទ OPcache ក៏បានបង្ហាញឱ្យឃើញផងដែរ ដើម្បីផ្តល់លទ្ធផលការប្រតិបត្តិលេខកូដពីចម្ងាយមុនការផ្ទៀងផ្ទាត់នៅលើ Drupal និង WordPress ។

Wiz បាននិយាយថា អង្គចងចាំដែលអ្នកវាយប្រហារអាចអានអាចមានពាក្យសម្ងាត់ និមិត្តសញ្ញាផ្ទៀងផ្ទាត់ លេខកូដ API និងវិញ្ញាបនបត្រដែលជាកម្មសិទ្ធិរបស់សំណើផ្សេងទៀត ឬរបស់ម៉ាស៊ីនមេផ្ទាល់។ រាល់កំណែ PHP ដែលបានចេញផ្សាយនៅក្នុងទសវត្សរ៍ចុងក្រោយ — ត្រឡប់ទៅ PHP 5.4 — ត្រូវបានប៉ះពាល់ដោយភាពងាយរងគ្រោះយ៉ាងហោចណាស់មួយ ហើយក្រុមហ៊ុននិយាយថាចំណាត់ថ្នាក់ទាំងនេះក្នុងចំណោមគុណវិបត្តិធ្ងន់ធ្ងរបំផុតដែលមិនធ្លាប់មាននៅក្នុង PHP ។

កន្លែងដែល AI ចូលមក

ការអះអាងជាផលវិបាកបំផុតនៅក្នុងរបាយការណ៍របស់ Wiz មិននិយាយអំពី PHP ទាល់តែសោះ - វាគឺអំពីអ្វីដែលម៉ូដែល AI ព្រំដែនបានធ្វើដើម្បីទាញយកប្រយោជន៍ពីការអភិវឌ្ឍន៍។

កំហុសមូលដ្ឋាន Wiz បានសរសេរថា មានវត្តមានអស់ជាច្រើនទសវត្សរ៍មកហើយ ប៉ុន្តែការបង្ហាញពីការកេងប្រវ័ញ្ចទាមទារ "ខ្សែសង្វាក់ដ៏ស្មុគស្មាញពិសេសមួយ នៅគែមនៃអ្វីដែលអ្នកស្រាវជ្រាវរបស់មនុស្សអាចសម្រេចបាន" ។ ការកេងប្រវ័ញ្ចត្រូវដាក់ខ្សែសង្វាក់កំហុសជាច្រើន និងសម្របខ្លួនទៅនឹងប្លង់អង្គចងចាំរបស់គោលដៅនីមួយៗ តាមរយៈការធ្វើតេស្តម្តងហើយម្តងទៀត និងការបំបាត់កំហុស។

ក្រុមហ៊ុនបាននិយាយថា ម៉ូដែល Frontier AI បានកាត់បន្ថយយ៉ាងខ្លាំងនូវរបាំងនោះ — "ការប្រែក្លាយកំហុសដ៏យូរមួយឱ្យទៅជាការកេងប្រវ័ញ្ច" ហើយបានអនុញ្ញាតឱ្យក្រុមរបស់ Wiz បង្កើត និងកែសម្រួលការកេងប្រវ័ញ្ចការងារលើកម្មវិធីជាច្រើនក្នុងរយៈពេលជាច្រើនម៉ោងជាជាងសប្តាហ៍។

អ្នកស្រាវជ្រាវបានសរសេរថា "នៅពេលដែលពេលវេលា និងជំនាញដែលត្រូវការសម្រាប់ការងារនេះថយចុះ ភាពស្មុគស្មាញអាចលែងផ្តល់ជាឧបសគ្គដ៏មានអត្ថន័យទៀតហើយ ដោយផ្លាស់ប្តូររបៀបដែលយើងកំណត់នូវអ្វីដែលងាយរងគ្រោះក្នុងការអនុវត្ត"។

ចំណុចរបត់ក្នុងយុគសម័យ AI?

Wiz កំណត់យ៉ាងច្បាស់នូវ PHP2Shell រួមជាមួយនឹងគ្រាទឹកលិចមុនពីរនៅក្នុងសុវត្ថិភាពគេហទំព័រ៖ Heartbleed ក្នុងឆ្នាំ 2014 ដែលបង្ហាញពីភាពផុយស្រួយនៃហេដ្ឋារចនាសម្ព័ន្ធចែករំលែកដែលធានាសុវត្ថិភាពអ៊ីនធឺណិត និង Log4Shell ក្នុងឆ្នាំ 2021 ដែលបង្ហាញពីរបៀបដែលភាពអាស្រ័យកម្មវិធីបង្កប់យ៉ាងជ្រៅបង្កើតការប៉ះពាល់យ៉ាងទូលំទូលាយ។ ក្រុមហ៊ុនអះអាងថា PHP2Shell អាចសម្គាល់ចំណុចរបត់ស្រដៀងគ្នានេះ - លើកនេះបង្ហាញពីរបៀបដែល AI ផ្លាស់ប្តូរការកេងប្រវ័ញ្ចជាក់ស្តែងនៃភាពទន់ខ្សោយដែលគេស្គាល់ជាយូរមកហើយ។

ស៊ុមនោះសំខាន់លើសពី PHP ។ ភាពងាយរងគ្រោះតាមទ្រឹស្ដីដែលមិនអាចទៅដល់បានដោយសុវត្ថិភាព ដោយសារការកេងប្រវ័ញ្ចពួកវាគឺពិបាកពេក យឺតពេក ឬឯកទេសពេកឥឡូវនេះអាចទៅដល់អ្នកវាយប្រហារដែលមានធនធានល្អ ប្រដាប់ដោយឧបករណ៍ AI ដែលជាការផ្លាស់ប្តូរជាមួយនឹងផលប៉ះពាល់ជាក់ស្តែងសម្រាប់ថវិកាការពារ ដំណាក់កាលបំណះ និងការកំណត់ពេលនៃការបង្ហាញព័ត៌មាននៅទូទាំងឧស្សាហកម្មសូហ្វវែរ។

ការសម្របសម្រួលឆ្លងកាត់ឧស្សាហកម្ម

ការបង្ហាញនេះត្រូវបានសម្របសម្រួល។ Wiz បានថ្លែងអំណរគុណដល់ក្រុមការងារ PHP និង OpenAI សម្រាប់ការងាររបស់ពួកគេលើការរកឃើញ ការសម្របសម្រួល និងការផ្ទៀងផ្ទាត់បំណះ ដោយកត់សម្គាល់ថាទាំង OpenAI និង PHP បានបោះពុម្ពផ្សាយការសរសេរបច្ចេកទេសផ្ទាល់ខ្លួនរបស់ពួកគេអំពីប្រវត្តិ និងដំណើរការបង្ហាញភាពងាយរងគ្រោះ។

ក្រុមឧស្សាហកម្មឆ្លងកាត់ — រួមមាន Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft និង Vercel — បានរៀបចំការណែនាំ និងការបន្ធូរបន្ថយក្រៅប្រអប់សម្រាប់អតិថិជនដែលមិនអាចជួសជុលបានភ្លាមៗ។ Cloudflare បានប្រកាសដាច់ដោយឡែកនៅថ្ងៃទី 21 ខែតុលាថា ខ្លួនបានដាក់ពង្រាយការការពារ WAF ប្រឆាំងនឹងភាពងាយរងគ្រោះរបស់ PHP សម្រាប់អតិថិជនរបស់ខ្លួន។

អ្វីដែលម្ចាស់គេហទំព័រគួរធ្វើ

ដំបូន្មានពី Wiz គឺត្រង់៖ បំណះភ្លាមៗ។ គម្រោង PHP បានចេញផ្សាយការជួសជុលភាពងាយរងគ្រោះនៃសុវត្ថិភាពអង្គចងចាំនៅថ្ងៃទី 21 ខែតុលា ឆ្នាំ 2026 ហើយរាល់ការដាក់ពង្រាយ PHP ដែលគាំទ្រគួរតែធ្វើបច្ចុប្បន្នភាពឱ្យបានឆាប់តាមដែលអាចធ្វើទៅបាន។

អង្គការដែលមិនអាចជួសជុលបានភ្លាមៗគួរតែអនុវត្តការបន្ធូរបន្ថយដែលបានបោះពុម្ពផ្សាយដោយអ្នកផ្តល់សេវា CDN បង្ហោះ ឬ WAF របស់ពួកគេ ដែលច្បាប់ជាច្រើនបានដឹកជញ្ជូនដែលកំណត់គោលដៅខ្សែសង្វាក់កេងប្រវ័ញ្ចនៅថ្ងៃដំបូង។ អ្នកគ្រប់គ្រងនៃក្រុម WordPress, Drupal និង Joomla គួរតែចាត់ទុកវាជាវដ្តនៃបំណះអាទិភាពមួយ៖ Wiz បានបង្ហាញការប្រតិបត្តិកូដពីចម្ងាយជាមុននៃការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវប្រឆាំងនឹងវេទិកាទាំងបី ហើយផ្លូវកូដដែលងាយរងគ្រោះមាន ដោយមិនគិតពីថាតើកម្មវិធីខាងលើត្រូវបានរក្សាបានល្អប៉ុណ្ណានោះទេ។

មេរៀនកាន់តែស៊ីជម្រៅអាចជាមេរៀនដែល Wiz ខ្លួនឯងបានទាញ៖ នៅពេលដែល AI អាចបង្រួមវិស្វកម្មកេងប្រវ័ញ្ចជាច្រើនខែទៅជាម៉ោង និយមន័យការងាររបស់ឧស្សាហកម្មនៃ "ការកេងប្រវ័ញ្ចជាក់ស្តែង" - ហើយជាមួយវា អត្ថន័យនៃការកំណត់ពេលវេលាជួសជុលដែលទទួលខុសត្រូវ - ទើបតែបានផ្លាស់ប្តូរ។

---

Stay Ahead of AI

Get the latest AI news, analysis, and breakthroughs — all in one place.

Read more AI news →