Firma keselamatan Wiz Research mendedahkan satu set kelemahan kritikal dalam enjin PHP teras pada 21 Oktober 2026, memberi amaran bahawa kelemahan - secara kolektif digelar PHP2Shell - membolehkan pelaksanaan kod jauh yang tidak disahkan dan pendedahan memori gaya Heartbleed pada perisian yang menguasai anggaran 70 peratus daripada semua tapak web. Projek PHP mengeluarkan patch pada hari yang sama, dan Wiz menggesa kemas kini segera di seluruh pangkalan terpasang yang besar di web.
PHP ialah tulang belakang kebanyakan internet: ia menguasai WordPress, Joomla, Drupal dan MediaWiki, perisian yang menjalankan Wikipedia. Yang penting, pepijat yang baru didedahkan hidup dalam enjin teras PHP, bukan dalam mana-mana aplikasi yang dibina di atasnya, bermakna tapak boleh didedahkan walaupun apabila kod aplikasi mereka sendiri selamat. For more context on this story, see our ongoing AI news.
Apakah Kerentanannya
Menurut penulisan teknikal Wiz oleh penyelidik Sagi Tzadik, Shir Tamari, Nir Ohfeld dan Tomer Schwartz, semua pepijat yang didedahkan adalah isu keselamatan memori yang berakar pada cara PHP mengendalikan ralat maut semasa pemprosesan permintaan — terutamanya ralat di luar ingatan. Permintaan ranap boleh meninggalkan keadaan PHP dalaman yang rosak, dan permintaan atau pekerja kemudian yang menggunakan semula keadaan lapuk itu boleh mencetuskan pendedahan memori atau kerosakan memori.
Penemuan telah dikumpulkan di bawah dua CVE dengan keterukan maksimum CVSS 9.2:
- CVE-2026-109618 — penggunaan tanpa siri kemajuan muat naik yang boleh dimanfaatkan oleh penyerang untuk pendedahan memori proses jauh dan, dalam rantai yang ditunjukkan, pelaksanaan penuh kod jauh. Wiz menunjukkan pendedahan tidak sahih memori pekerja PHP dan pra-pengesahan RCE pada WordPress, Drupal dan Joomla.
- CVE-2026-109619 — jejak belakang ralat maut tanpa penggunaan selepas digabungkan dengan kekeliruan jenis OPcache, juga ditunjukkan untuk menghasilkan pelaksanaan kod jauh pra-pengesahan pada Drupal dan WordPress.
Memori yang boleh dibaca oleh penyerang mungkin mengandungi kata laluan, token pengesahan, kunci API dan sijil milik permintaan lain atau pelayan itu sendiri, kata Wiz. Setiap versi PHP yang dikeluarkan dalam dekad yang lalu — kembali ke PHP 5.4 — dipengaruhi oleh sekurang-kurangnya satu daripada kelemahan, dan syarikat itu mengatakan ini berada di antara kelemahan paling teruk yang pernah ditemui dalam PHP.
Tempat AI Masuk
Tuntutan paling berbangkit dalam laporan Wiz bukanlah mengenai PHP sama sekali — ia adalah mengenai apa yang model AI sempadan telah lakukan untuk mengeksploitasi pembangunan.
Kelemahan asas, Wiz menulis, telah wujud selama beberapa dekad, tetapi membuktikan kebolehgunaan memerlukan "rantaian langkah yang sangat kompleks, di tepi apa yang boleh dicapai oleh penyelidik manusia." Eksploitasi itu terpaksa merantai pelbagai kelemahan dan menyesuaikan diri dengan susun atur memori setiap sasaran melalui ujian berulang dan penyahpepijatan.
Model AI Frontier, kata syarikat itu, telah mengurangkan halangan itu dengan ketara — "menukar kecacatan yang sudah lama menjadi eksploitasi" — dan membolehkan pasukan Wiz membangun dan menyesuaikan eksploitasi kerja merentas berbilang aplikasi dalam beberapa jam dan bukannya minggu.
"Memandangkan masa dan kepakaran yang diperlukan untuk kerja ini berkurangan, kerumitan mungkin tidak lagi memberikan halangan yang bermakna, mengubah cara kami menentukan perkara yang terdedah dalam amalan," tulis para penyelidik.
Titik Perubahan dalam Era AI?
Wiz secara eksplisit membingkai PHP2Shell bersama-sama dua detik aliran awal dalam keselamatan web: Heartbleed pada tahun 2014, yang mendedahkan kerapuhan infrastruktur dikongsi yang melindungi internet, dan Log4Shell pada tahun 2021, yang mendedahkan bagaimana kebergantungan perisian terbenam secara mendalam mewujudkan pendedahan yang meluas. Syarikat itu berpendapat PHP2Shell boleh menandakan titik perubahan yang sama - kali ini menggambarkan bagaimana AI mengubah kebolehgunaan praktikal kelemahan yang telah lama diketahui.
Pembingkaian itu penting di luar PHP. Kerentanan teori yang selamat di luar jangkauan kerana mengeksploitasinya adalah terlalu sukar, terlalu lambat atau terlalu khusus kini mungkin berada dalam jangkauan penyerang yang mempunyai sumber yang baik yang bersenjatakan perkakas AI — peralihan dengan implikasi yang jelas untuk belanjawan pertahanan, tampalan irama dan garis masa pendedahan merentas industri perisian.
Pembaikan Merentas Industri Terselaras
Pendedahan itu diselaraskan. Wiz mengucapkan terima kasih kepada pasukan PHP dan OpenAI atas kerja mereka dalam penemuan, penyelarasan dan pengesahan tampalan, dengan menyatakan bahawa OpenAI dan PHP menerbitkan penulisan teknikal mereka sendiri tentang sejarah kerentanan dan proses pendedahan.
Kumpulan merentas industri — termasuk Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft dan Vercel — menyediakan panduan dan mitigasi luar biasa untuk pelanggan yang tidak dapat menambal serta-merta. Cloudflare secara berasingan mengumumkan pada 21 Oktober bahawa ia telah menggunakan perlindungan WAF terhadap kelemahan PHP untuk pelanggannya.
Perkara yang Perlu Dilakukan oleh Pemilik Tapak
Nasihat daripada Wiz adalah terus terang: tampal segera. Projek PHP mengeluarkan pembetulan untuk kelemahan keselamatan memori pada 21 Oktober 2026, dan setiap penggunaan PHP yang disokong harus dikemas kini secepat mungkin.
Organisasi yang tidak dapat menambal serta-merta harus menggunakan mitigasi yang diterbitkan oleh penyedia CDN, pengehosan atau WAF mereka, beberapa daripadanya menghantar peraturan yang menyasarkan rantaian eksploitasi pada hari pertama. Pentadbir armada WordPress, Drupal dan Joomla harus menganggap ini sebagai kitaran tampalan keutamaan: Wiz menunjukkan pelaksanaan kod jauh pra-pengesahan terhadap ketiga-tiga platform, dan laluan kod yang terdedah wujud tanpa mengira sejauh mana aplikasi di atasnya diselenggara dengan baik.
Pelajaran yang lebih mendalam mungkin yang Wiz sendiri ambil: apabila AI boleh memampatkan berbulan-bulan eksploitasi kejuruteraan menjadi beberapa jam, takrifan kerja industri "boleh dieksploitasi secara praktikal" — dan dengan itu, makna penampalan garis masa yang bertanggungjawab — baru sahaja berubah.
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
