လုံခြုံရေးကုမ္ပဏီ Wiz Research သည် 2026 ခုနှစ် အောက်တိုဘာလ 21 ရက်နေ့တွင် core PHP အင်ဂျင်ရှိ အရေးကြီးသော အားနည်းချက်များကို ထုတ်ဖော်ပြသခဲ့ပြီး ချို့ယွင်းချက်များကို စုပေါင်းကာ PHP2Shell ဟု အမည်ပေးထားသည့် — အထောက်အထားမခိုင်လုံသော အဝေးကုဒ်ဖြင့် လုပ်ဆောင်မှုကို လုပ်ဆောင်နိုင်စေရန်နှင့် Heartbleed-style memory သည် ဝဘ်ဆိုက်အားလုံး၏ 70 ရာခိုင်နှုန်းခန့်ကို စွမ်းအားပေးသည့် ဆော့ဖ်ဝဲလ်တွင် ဖွင့်ပေးထားကြောင်း သတိပေးခဲ့သည်။ PHP ပရောဂျက်သည် ထိုနေ့တွင် ဖာထေးမှုများကို ထုတ်ပြန်ခဲ့ပြီး Wiz သည် ဝဘ်၏ ကြီးမားသော ထည့်သွင်းထားသည့် အခြေစိုက်စခန်းတစ်လျှောက် ချက်ချင်းမွမ်းမံမှုများ ပြုလုပ်ရန် တိုက်တွန်းနေသည်။

PHP သည် အင်တာနက်၏ ကျောရိုးဖြစ်သည်၊ ၎င်းသည် Wikipedia ကို အသုံးပြုသည့် ဆော့ဖ်ဝဲလ်ဖြစ်သည့် WordPress၊ Joomla၊ Drupal နှင့် MediaWiki ကို အားကောင်းစေသည်။ အရေးကြီးသည်မှာ၊ အသစ်ထုတ်ဖော်ထားသော bugs များသည် PHP ၏ core engine တွင်တည်ရှိပြီး ၎င်းအပေါ်တွင်တည်ဆောက်ထားသော မည်သည့် application တွင်မှမပါဝင်ဘဲ၊ ၎င်းတို့၏ကိုယ်ပိုင် application code သည်လုံခြုံနေသော်လည်း sites များကိုဖော်ထုတ်နိုင်သည်ဟုဆိုလိုသည်။ For more context on this story, see our ongoing breaking AI news.

အားနည်းချက်တွေက ဘာတွေလဲ။

သုတေသီ Sagi Tzadik၊ Shir Tamari၊ Nir Ohfeld နှင့် Tomer Schwartz တို့၏ Wiz ၏ နည်းပညာဆိုင်ရာ ရေးမှုအရ၊ ထုတ်ဖော်ထားသော ချို့ယွင်းချက်များသည် PHP မှ တောင်းဆိုမှုလုပ်ဆောင်နေစဉ်အတွင်း ဆိုးရွားသောအမှားအယွင်းများကို ကိုင်တွယ်ဖြေရှင်းပုံတွင် အခြေခံထားသည့် မမ်မိုရီဘေးကင်းရေးပြဿနာများဖြစ်သည်။ ပျက်စီးသွားသော တောင်းဆိုချက်တစ်ခုသည် ပျက်စီးနေသော အတွင်းပိုင်း PHP အခြေအနေကို ချန်ထားခဲ့နိုင်ပြီး၊ နောက်မှ တောင်းဆိုချက် သို့မဟုတ် ထိုပျက်နေသော အခြေအနေအား ပြန်လည်အသုံးပြုသည့် အလုပ်သမားသည် မှတ်ဉာဏ်ထုတ်ဖော်ခြင်း သို့မဟုတ် မှတ်ဉာဏ်ယိုယွင်းမှုကို ဖြစ်ပေါ်စေနိုင်သည်။

တွေ့ရှိချက်များကို CVSS 9.2 ၏ အများဆုံးပြင်းထန်မှုရှိသော CVE နှစ်ခုအောက်တွင် အုပ်စုဖွဲ့ထားသည်-

  • CVE-2026-109618 — တိုက်ခိုက်သူသည် အဝေးထိန်းလုပ်ငန်းစဉ်-မှတ်ဉာဏ်ထုတ်ဖော်မှုအတွက် လွှမ်းမိုးနိုင်ပြီး၊ သရုပ်ပြကွင်းဆက်များတွင်၊ အဝေးထိန်းကုဒ်ကို အပြည့်အ၀ အကောင်အထည်ဖော်မှုအပြီးတွင် အခမဲ့အသုံးပြုမှု- အခမဲ့ဖြစ်သည်။ Wiz သည် WordPress၊ Drupal နှင့် Joomla တွင် PHP worker memory နှင့် pre-authentication RCE တို့၏ အစစ်အမှန်မဟုတ်သောထုတ်ဖော်မှုကို သရုပ်ပြခဲ့သည်။
  • CVE-2026-109619 — OPcache အမျိုးအစား ရှုပ်ထွေးမှုများနှင့် ပေါင်းစပ်ပြီးနောက် ဆိုးရွားသော အမှားအယွင်း ကျောထောက်နောက်ခံ အသုံးပြုမှု- ရှုပ်ထွေးမှုများ၊ Drupal နှင့် WordPress တို့တွင် ကြိုတင် စစ်မှန်ကြောင်း အထောက်အထား မခိုင်လုံသော ကုဒ်ဖြင့် လုပ်ဆောင်မှုကို ထုတ်ပေးရန် သရုပ်ပြခဲ့သည်။

တိုက်ခိုက်သူများသည် ဖတ်နိုင်သောမှတ်ဉာဏ်တွင် စကားဝှက်များ၊ စစ်မှန်ကြောင်းသက်သေပြသည့်တိုကင်များ၊ API သော့များနှင့် အခြားတောင်းဆိုမှုများ သို့မဟုတ် ဆာဗာကိုယ်တိုင်ပိုင်ဆိုင်သည့် လက်မှတ်များပါရှိသည် ဟု Wiz မှပြောကြားခဲ့သည်။ PHP 5.4 သို့ ပြန်သွားသည့် လွန်ခဲ့သည့်ဆယ်စုနှစ်များအတွင်း ထုတ်ဝေလိုက်သည့် ဗားရှင်းတိုင်းသည် အနည်းဆုံး အားနည်းချက်တစ်ခုကြောင့် ထိခိုက်သွားပြီး PHP တွင် တွေ့ဖူးသမျှ အဆိုးရွားဆုံး ချို့ယွင်းချက်များထဲမှ ဤအဆင့်ကို ကုမ္ပဏီက ပြောကြားခဲ့သည်။

AI ဝင်လာသည့်နေရာ

Wiz ၏ အစီရင်ခံစာတွင် အကျိုးဆက်အရှိဆုံး တောင်းဆိုချက်မှာ PHP နှင့် ပတ်သက်သည် လုံးဝမပါဝင်ပါ — ၎င်းသည် ဖွံ့ဖြိုးတိုးတက်မှုကို အသုံးချရန် ရှေ့တန်း AI မော်ဒယ်များ လုပ်ဆောင်ခဲ့သည့် အကြောင်းဖြစ်သည်။

Wiz မှရေးသားခဲ့သည်မှာ အရင်းခံအားနည်းချက်များသည် ဆယ်စုနှစ်များစွာရှိနေပြီဖြစ်သော်လည်း အမြတ်ထုတ်နိုင်မှုကို သက်သေပြရန် "လူသားသုတေသီများ လက်တွေ့ကျကျအောင်မြင်နိုင်သည့်အရာ၏အစွန်းတစ်ဖက်တွင် လွန်စွာရှုပ်ထွေးသောခြေလှမ်းများ" လိုအပ်ပါသည်။ exploit သည် ချို့ယွင်းချက်များစွာကို ကွင်းဆက်ပြီး ထပ်ခါတလဲလဲ စမ်းသပ်ခြင်းနှင့် အမှားရှာပြင်ခြင်းများမှတစ်ဆင့် ပစ်မှတ်တစ်ခုစီ၏ မှတ်ဉာဏ်အပြင်အဆင်နှင့် လိုက်လျောညီထွေဖြစ်အောင် လုပ်ဆောင်ရမည်ဖြစ်သည်။

ကုမ္ပဏီမှ Frontier AI မော်ဒယ်များသည် အဆိုပါ အတားအဆီးကို သိသိသာသာ လျှော့ချလိုက်သည် — "ကြာရှည်စွာ ချို့ယွင်းချက်တစ်ခုကို အသုံးချမှုအဖြစ်သို့ ပြောင်းလဲခြင်း" — နှင့် Wiz ၏အဖွဲ့သည် ရက်သတ္တပတ်များထက် နာရီများစွာအတွင်း အပလီကေးရှင်းများစွာတွင် အလုပ်လုပ်သော အသုံးချမှုများကို တီထွင်ပြီး လိုက်လျောညီထွေဖြစ်အောင် လုပ်ဆောင်နိုင်ခဲ့သည်။

"ဤလုပ်ငန်းအတွက် လိုအပ်သော အချိန်နှင့် ကျွမ်းကျင်မှု လျော့နည်းလာသည်နှင့်အမျှ၊ ရှုပ်ထွေးမှုများသည် အဓိပ္ပာယ်ပြည့်ဝသော အတားအဆီးကို မပေးနိုင်တော့ဘဲ လက်တွေ့တွင် ထိခိုက်လွယ်သောအရာကို ကျွန်ုပ်တို့ သတ်မှတ်ပုံကို ပြောင်းလဲခြင်း" ဟု သုတေသီများက ရေးသားခဲ့သည်။

AI ခေတ်ရဲ့ အချိုးအကွေ့တစ်ခုလား။

Wiz သည် PHP2Shell သည် web လုံခြုံရေးအတွက် အစောပိုင်းရေဝေရေလဲအခိုက်အတန့်နှစ်ခုနှင့်အတူ အတိအလင်းဖော်ပြထားသည်- Heartbleed သည် 2014 ခုနှစ်တွင် အင်တာနက်ကို လုံခြုံစေသော မျှဝေထားသောအခြေခံအဆောက်အအုံ၏ မခိုင်မာမှုကို ထုတ်ဖော်ပြသခဲ့ပြီး 2021 ခုနှစ်တွင် Log4Shell သည် နက်ရှိုင်းစွာထည့်သွင်းထားသောဆော့ဖ်ဝဲလ်မှီခိုမှုများသည် ကျယ်ကျယ်ပြန့်ပြန့်ထိတွေ့မှုကိုဖန်တီးပေးကြောင်းဖော်ပြသည်။ PHP2Shell သည် အလားတူ အချိုးအကွေ့တစ်ခုကို အမှတ်အသားပြုနိုင်သည်ဟု ကုမ္ပဏီမှ စောဒကတက်သည် — ယခုတစ်ကြိမ်တွင် AI သည် ကာလကြာရှည်စွာ သိထားသည့် အားနည်းချက်များ၏ လက်တွေ့ကျသော အသုံးချနိုင်မှုကို ပြောင်းလဲပုံကို သရုပ်ဖော်ထားသည်။

၎င်းဘောင်သည် PHP ထက် အရေးကြီးသည်။ ၎င်းတို့ကို အသုံးချခြင်းသည် ခက်ခဲလွန်းသောကြောင့်၊ နှေးလွန်းသော သို့မဟုတ် အထူးပြုထားသော သီအိုရီအရ ဘေးကင်းစွာ လက်လှမ်းမမီနိုင်သော အားနည်းချက်များသည် AI ကိရိယာတန်ဆာပလာများ တပ်ဆင်ထားသော ကောင်းမွန်သော အရင်းအမြစ် တိုက်ခိုက်သူများ၏ လက်လှမ်းမှီနိုင်သည် — ကာကွယ်ရေးဘတ်ဂျက်များ၊ patch cadences နှင့် ဆော့ဖ်ဝဲလ်စက်မှုလုပ်ငန်းတစ်လျှောက် ထုတ်ဖော်မှုအချိန်ဇယားများ အပြောင်းအလဲတစ်ခုဖြစ်သည်။

Coordinated Cross-Industry Fix

ထုတ်ဖော်ညှိနှိုင်းခဲ့သည်။ Wiz သည် ရှာဖွေတွေ့ရှိမှု၊ ညှိနှိုင်းမှုနှင့် ဖာထေးစစ်ဆေးခြင်းဆိုင်ရာ လုပ်ဆောင်မှုအတွက် PHP အဖွဲ့နှင့် OpenAI အား ကျေးဇူးတင်ရှိကြောင်း၊ OpenAI နှင့် PHP နှစ်ခုစလုံးသည် အားနည်းချက်၏သမိုင်းကြောင်းနှင့် ထုတ်ဖော်ခြင်းလုပ်ငန်းစဉ်အတွက် ၎င်းတို့၏နည်းပညာပိုင်းဆိုင်ရာ ရေးမှတ်ချက်များကို ထုတ်ဝေခဲ့ကြောင်း သတိပြုမိပါသည်။

Automattic၊ ​​Akamai၊ AWS၊ Cloudflare၊ Fastly၊ Google၊ Imperva၊ Microsoft နှင့် Vercel တို့ အပါအဝင်-စက်မှုလုပ်ငန်း ဖြတ်ကျော်အဖွဲ့—သည် ချက်ချင်းဖာထေး၍မရသော သုံးစွဲသူများအတွက် လမ်းညွှန်ချက်နှင့် ကွက်လပ်မဟုတ်သော လျော့ပါးသက်သာစေရန် ပြင်ဆင်ထားသည်။ Cloudflare သည် ၎င်း၏ဖောက်သည်များအတွက် PHP အားနည်းချက်များအပေါ် WAF အကာအကွယ်များကို အသုံးပြုထားကြောင်း အောက်တိုဘာလ 21 ရက်နေ့တွင် သီးခြားကြေငြာခဲ့သည်။

##ဆိုဒ်ပိုင်ရှင်များ ဘာလုပ်သင့်သလဲ။

Wiz မှ အကြံဉာဏ်သည် တုံးတိတိဖြစ်သည်- patch သည် ချက်ချင်းဖြစ်သည်။ PHP ပရောဂျက်သည် မန်မိုရီ-ဘေးကင်းရေး အားနည်းချက်များအတွက် ပြုပြင်မှုများကို အောက်တိုဘာ 21 ရက်၊ 2026 တွင် ထုတ်ပြန်ခဲ့ပြီး ပံ့ပိုးပေးထားသော PHP အသုံးချမှုတိုင်းကို တတ်နိုင်သမျှ အမြန်ဆုံး အပ်ဒိတ်လုပ်သင့်သည်။

ချက်ချင်း ဖာထေးခြင်းမပြုနိုင်သော အဖွဲ့အစည်းများသည် ၎င်းတို့၏ CDN၊ hosting သို့မဟုတ် WAF ဝန်ဆောင်မှုပေးသူများမှ ထုတ်ဝေသော လျော့ပါးစေသော လျှော့ချမှုများကို ကျင့်သုံးသင့်သည်၊ ထိုထဲမှ အများအပြားသည် နေ့စဥ်တစ်ရက်တွင် exploit ကွင်းဆက်များကို ပစ်မှတ်ထား၍ တင်ပို့သည့် စည်းမျဉ်းများဖြစ်သည်။ WordPress၊ Drupal နှင့် Joomla အဖွဲ့များ၏ စီမံခန့်ခွဲသူများသည် ၎င်းအား ဦးစားပေး patch လည်ပတ်မှုအဖြစ် သဘောထားသင့်သည်- Wiz သည် ပလပ်ဖောင်းသုံးခုလုံးအား မည်မျှကောင်းမွန်စွာထိန်းသိမ်းထားသည်ဖြစ်စေ Wiz သည် ကြိုတင်အထောက်အထားစိစစ်ခြင်းအဝေးကုဒ်ကို သရုပ်ပြခဲ့ပြီး ၎င်းတို့အပေါ်ရှိ အပလီကေးရှင်းများ မည်မျှကောင်းမွန်စွာထိန်းသိမ်းထားပါစေ အားနည်းချက်ရှိသော ကုဒ်လမ်းကြောင်းများ ရှိနေပါသည်။

ပိုမိုနက်ရှိုင်းသောသင်ခန်းစာမှာ Wiz ကိုယ်တိုင်ရေးဆွဲခဲ့သော သင်ခန်းစာဖြစ်နိုင်သည်- AI သည် လပေါင်းများစွာသော exploit engineering ကို နာရီများအဖြစ် ချုံ့နိုင်သောအခါ၊ လုပ်ငန်းခွင်၏ "လက်တွေ့ကျကျ အသုံးချနိုင်သော" ၏ လုပ်ငန်းအဓိပ္ပါယ်ဖွင့်ဆိုချက်—၎င်းနှင့်အတူ တာဝန်ယူမှုရှိသော အချိန်ဇယားများ၏ အဓိပ္ပာယ်မှာ ပြောင်းလဲသွားခဲ့သည်။

---

Stay Ahead of AI

Get the latest AI news, analysis, and breakthroughs — all in one place.

Read more AI news →