Kampuni ya usalama ya Wiz Research ilifichua seti ya udhaifu mkubwa katika injini kuu ya PHP mnamo Oktoba 21, 2026, ikionya kwamba dosari hizo - kwa pamoja zinazoitwa PHP2Shell - zinawezesha utekelezaji wa msimbo wa mbali ambao haujaidhinishwa na ufichuaji wa kumbukumbu ya mfumo wa Heartbleed kwenye programu ambayo inasimamia wastani wa asilimia 70 ya tovuti zote. Mradi wa PHP ulitoa viraka siku hiyo hiyo, na Wiz inahimiza masasisho ya mara moja kwenye msingi mkubwa uliosakinishwa wa wavuti.
PHP ni uti wa mgongo wa sehemu kubwa ya mtandao: inawezesha WordPress, Joomla, Drupal na MediaWiki, programu inayoendesha Wikipedia. Muhimu zaidi, hitilafu mpya zilizofichuliwa huishi katika injini kuu ya PHP, sio katika programu yoyote iliyojengwa juu yake, kumaanisha tovuti zinaweza kufichuliwa hata wakati msimbo wao wa programu ni salama. For more context on this story, see our ongoing AI industry coverage.
Udhaifu Ni Nini
Kulingana na maandishi ya kiufundi ya Wiz na watafiti Sagi Tzadik, Shir Tamari, Nir Ohfeld na Tomer Schwartz, hitilafu zote zilizofichuliwa ni masuala ya usalama wa kumbukumbu yanayotokana na jinsi PHP hushughulikia makosa mabaya wakati wa usindikaji wa ombi - haswa makosa ya nje ya kumbukumbu. Ombi lililoanguka linaweza kuacha hali ya ndani ya PHP iliyoharibika, na ombi la baadaye au mfanyakazi anayetumia tena hali hiyo ya zamani anaweza kusababisha ufichuzi wa kumbukumbu au uharibifu wa kumbukumbu.
Matokeo yaliwekwa katika makundi chini ya CVE mbili zenye ukali wa juu wa CVSS 9.2:
- CVE-2026-109618 — matumizi ya bila malipo ya upakiaji-maendeleo ambayo mvamizi anaweza kutumia kwa ufichuaji wa kumbukumbu ya mchakato wa mbali na, katika minyororo iliyoonyeshwa, utekelezaji kamili wa msimbo wa mbali. Wiz alionyesha ufichuzi ambao haujaidhinishwa wa kumbukumbu ya mfanyakazi wa PHP na uthibitishaji wa mapema wa RCE kwenye WordPress, Drupal na Joomla.
- CVE-2026-109619 - utumiaji wa nyuma wa kosa-baada ya bila malipo pamoja na mkanganyiko wa aina ya OPcache, pia ulionyeshwa kutoa utekelezaji wa msimbo wa mbali wa uthibitishaji kwenye Drupal na WordPress.
Kumbukumbu ambayo washambuliaji wanaweza kusoma inaweza kuwa na manenosiri, tokeni za uthibitishaji, funguo za API na vyeti vya maombi mengine au seva yenyewe, Wiz alisema. Kila toleo la PHP lililotolewa katika muongo uliopita - kurudi kwenye PHP 5.4 - linaathiriwa na angalau udhaifu mmoja, na kampuni hiyo inasema safu hizi kati ya dosari kali zaidi kuwahi kupatikana katika PHP.
AI Inaingia wapi
Dai muhimu zaidi katika ripoti ya Wiz halihusu PHP hata kidogo - ni kuhusu kile miundo ya AI ya mipaka imefanya kutumia maendeleo.
Dosari za msingi, Wiz anaandika, zilikuwepo kwa miongo kadhaa, lakini kuthibitisha unyonyaji kulihitaji "msururu wa kipekee wa hatua, ukingoni mwa kile ambacho watafiti wa kibinadamu wangeweza kufikia." Unyonyaji ulilazimika kuunganisha dosari nyingi na kuzoea mpangilio wa kumbukumbu wa kila lengwa kupitia majaribio ya mara kwa mara na utatuzi.
Miundo ya Frontier AI, kampuni hiyo inasema, ilipunguza kwa kiasi kikubwa kizuizi hicho - "kugeuza dosari ya muda mrefu kuwa unyonyaji" - na kuwezesha timu ya Wiz kukuza na kurekebisha ushujaa wa kufanya kazi katika programu nyingi kwa masaa badala ya wiki.
"Kadiri wakati na utaalam unaohitajika kwa kazi hii unavyopungua, ugumu unaweza kutoa kizuizi cha maana, kubadilisha jinsi tunavyofafanua kile ambacho ni hatari katika mazoezi," watafiti waliandika.
Mageuzi katika Enzi ya AI?
Wiz hutengeneza kwa uwazi PHP2Shell pamoja na nyakati mbili za awali za usalama wa wavuti: Heartbleed mwaka wa 2014, ambayo ilifichua udhaifu wa miundombinu iliyoshirikiwa ya kupata mtandao, na Log4Shell mwaka wa 2021, ambayo ilifichua jinsi utegemezi wa programu uliopachikwa kwa kina huleta ufichuzi mkubwa. Kampuni inabishana kuwa PHP2Shell inaweza kuashiria mabadiliko sawa - wakati huu ikionyesha jinsi AI inabadilisha unyonyaji wa kiutendaji wa udhaifu unaojulikana kwa muda mrefu.
Muundo huo ni muhimu zaidi ya PHP. Udhaifu wa kinadharia ambao haukuweza kufikiwa kwa usalama kwa sababu kuutumia ulikuwa mgumu sana, polepole sana au umaalumu sana sasa unaweza kufikiwa na washambuliaji wenye rasilimali nzuri walio na zana za AI - mabadiliko yenye athari za wazi kwa bajeti za ulinzi, mianuko na ratiba za ufichuzi katika tasnia ya programu.
Urekebishaji Ulioratibiwa wa Sekta Mtambuka
Ufichuzi huo uliratibiwa. Wiz aliishukuru timu ya PHP na OpenAI kwa kazi yao ya ugunduzi, uratibu na uthibitishaji wa viraka, akibainisha kuwa OpenAI na PHP zilichapisha maandishi yao ya kiufundi ya historia ya hatari na mchakato wa kufichua.
Kundi la sekta mbalimbali - ikiwa ni pamoja na Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft na Vercel - walitayarisha mwongozo na upunguzaji wa nje wa sanduku kwa wateja ambao hawawezi kurekebisha mara moja. Cloudflare ilitangaza kando mnamo Oktoba 21 kwamba imetuma ulinzi wa WAF dhidi ya udhaifu wa PHP kwa wateja wake.
Nini Wamiliki wa Tovuti Wanapaswa Kufanya
Ushauri kutoka kwa Wiz ni mkweli: rekebisha mara moja. Mradi wa PHP ulitoa marekebisho ya athari za usalama wa kumbukumbu mnamo Oktoba 21, 2026, na kila uwekaji wa PHP unaotumika unapaswa kusasishwa haraka iwezekanavyo.
Mashirika ambayo hayawezi kurekebisha mara moja yanapaswa kutumia upunguzaji uliochapishwa na watoa huduma wao wa CDN, mwenyeji au WAF, sheria kadhaa ambazo zilisafirishwa zinazolenga minyororo ya unyonyaji siku ya kwanza. Wasimamizi wa vikundi vya WordPress, Drupal na Joomla wanapaswa kulichukulia hili kama mzunguko wa kipaumbele: Wiz ilionyesha utekelezaji wa msimbo wa mbali wa uthibitishaji dhidi ya mifumo yote mitatu, na njia za misimbo hatarishi zipo bila kujali jinsi programu zilizo hapo juu zimedumishwa vyema.
Somo la kina zaidi linaweza kuwa lile ambalo Wiz yenyewe alichora: wakati AI inaweza kubana miezi ya kutumia uhandisi hadi saa, ufafanuzi wa kazi wa tasnia wa "unaoweza kunyonywa" - na pamoja nayo, maana ya ratiba za kuweka viraka - imebadilika.
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
