ENBeli Produk
← Semua artikel
AI Temu Cacat PHP2Shell, 70% Laman Web Dunia Terjejas
Berita AI

AI Temu Cacat PHP2Shell, 70% Laman Web Dunia Terjejas

Model AI GPT-5.6 Sol dan Gemini 4 Argon jumpa kelemahan kritikal dalam PHP yang gunakan 70% laman web dunia, paksa tampalan kecemasan 21 Oktober 2026.

Ammar Rahimi · 22 Oktober 2026 · 5 minit bacaan

PHP ialah bahasa pengaturcaraan di sebalik kira-kira 70% laman web dunia, termasuk WordPress, Drupal dan MediaWiki yang jalankan Wikipedia. Pada 21 Oktober 2026, Yayasan PHP mengeluarkan tampalan kecemasan untuk dua kelemahan kritikal yang dipanggil PHP2Shell. Yang menarik: kelemahan ini ditemui oleh model AI sebelum penggodam menemuinya.

Kedua-dua kelemahan, CVE-2026-109618 dan CVE-2026-109619, masing-masing diberi skor keterukan 9.2 pada skala CVSS v4. Penyerang boleh melaksanakan kod dari jauh tanpa perlu log masuk, membaca data sensitif seperti kata laluan dan kunci API, atau merosakkan pelayan. Wiz Research, syarikat keselamatan siber milik Google, menggelarnya antara kelemahan paling teruk dalam sejarah perisian, setanding Heartbleed 2014 dan Log4Shell 2021.

1. Bagaimana AI jumpa kelemahan ini

Syarikat keselamatan Calif menemui kelemahan pertama pada Ogos 2026 semasa audit kod sumber PHP. Audit itu dibiayai oleh inisiatif Patch the Planet milik OpenAI, dan Calif menggunakan model GPT-5.6 Sol. Wiz Research pula menemui kedua-dua kelemahan secara berasingan, berminggu-minggu kemudian, menggunakan Wiz Atlas, Gemini 4 Argon milik Google, dan GPT-5.6 Sol.

Menurut Wiz, kod yang terdedah ini telah wujud lebih satu dekad. Membina eksploitasi berfungsi memerlukan rantai langkah kompleks yang sebelum ini berada di sempadan kemampuan penyelidik manusia. Model AI mengurangkan halangan itu dengan ketara. Satu penyelidik, dengan bantuan AI, menyiapkan kerja berminggu-minggu dalam seminggu, kata Wiz dalam catatan blognya.

OpenAI menggelar tempoh antara penemuan dan pendedahan awam sebagai "Tetingkap Pertahan". Menurut syarikat itu, AI sempadan menemui kelemahan ini sebelum penggodam lakukan, memberi masa kepada penyelenggara dan penyedia keselamatan untuk menyediakan tampalan.

2. Siapa kata apa: tuntutan berbeza antara OpenAI dan Wiz

OpenAI dan Wiz memberi gambaran sedikit berbeza tentang peranan masing-masing. OpenAI menyatakan ia "mengetuai gabungan penyelenggara, penyelidik dan penyedia keselamatan" selama dua bulan, dan syarikat Calif "mengenal pasti kelemahan kritikal menggunakan GPT-5.6 Sol". Wiz pula menyatakan ia menemui kedua-dua kelemahan secara berasingan dan menggunakan Wiz Atlas, Gemini 4 Argon dan GPT-5.6 Sol sepanjang penyelidikan. Wiz secara khusus mengkreditkan Gemini 4 Argon sebagai penyumbang tak ternilai untuk penemuan kelemahan, pembangunan eksploitasi, pengesanan serangan dan pengesahan tampalan.

Calif mengambil nada lebih berhati-hati. Dalam catatannya sendiri, syarikat itu berkata ia menggunakan model yang tersedia umum tanpa alat khas, dan pengetahuan tentang sejarah PHP lebih penting daripada model itu sendiri. "Tiada model yang mampu menemui 'semua pepijat' dengan prompt ringkas, sekurang-kurangnya buat masa ini," tulis Calif.

3. Laman web kerajaan diturunkan, serangan awal dikesan

Kedutaan dan amaran keluar dengan pantas. Agensi Keselamatan Siber Kebangsaan AS (NSA) menasihatkan semua organisasi yang guna PHP untuk bersedia mengemas kini, dan jika tidak boleh, turunkan sistem luar talian. Pusat Keselamatan Siber Kebangsaan UK (NCSC) mengeluarkan amaran serupa. EU CERT juga menasihatkan laman web diturunkan jika tampalan tidak boleh dipasang serta-merta.

Laman web kerajaan di Perancis, Denmark, Finland dan Belanda turun buat sementara pada 21 Oktober untuk memasang kemas kini kecemasan. Perkhidmatan seperti Pinboard, forum GrapheneOS dan alat penstriman OBS turut menarik bahagian laman mereka. Laravel menghentikan penerapan Cloud sementara membina semula dengan imej yang telah ditampal.

Cloudflare melaporkan serangan awal sudah bermula sebelum pendedahan rasmi. Timbalan CTO Dane Knecht menulis di X bahawa Cloudflare melihat "serangan awal muncul" dan mengemas kini perlindungan apabila vektor baharu muncul. Cloudflare mengaktifkan peraturan firewall untuk semua pelanggan, termasuk akaun percuma, pada 03:02 UTC, kira-kira sembilan jam sebelum pendedahan awam.

4. Versi terjejas dan apa perlu dilakukan

Kelemahan ini menjejaskan setiap versi PHP yang dikeluarkan dalam sedekad terakhir, kembali ke versi 5.4. Tampalan tersedia untuk PHP 8.5.12, 8.4.27, 8.3.36 dan 8.2.35. PHP juga mengeluarkan tampalan belakang untuk versi 7.4, 8.0 dan 8.1 yang tidak lagi disokong, memandangkan keterukan kes ini.

Wiz dan Cloudflare mengingatkan bahawa kelemahan ini ada terus dalam enjin PHP, bukan dalam aplikasi yang berjalan di atasnya. Maksudnya, walaupun laman web anda hanya memaparkan "Hello World" pada versi PHP yang terjejas, ia masih boleh diserang. Mengemas kini kod aplikasi atau plugin sahaja tidak memadai. Anda perlu kemas kini PHP itu sendiri.

Cloudflare mengesyorkan pelanggan terus aktifkan peraturan WAF sambil memasang tampalan. Yayasan PHP menggelar kemas kini "satu-satunya pilihan selamat" dan mengingatkan bahawa tiada perubahan konfigurasi yang boleh menggantikan tampalan sepenuhnya.

5. AI dua mata pedang

OpenAI sendiri mengakui bahawa keupayaan yang membolehkan AI menemui kelemahan juga boleh membantu penggodam membina eksploitasi dengan cepat. Dalam catatan blognya, OpenAI menulis: "AI boleh menemui kelemahan keselamatan dengan kesan skala internet, tetapi keupayaan yang sama juga boleh membantu penyerang membangunkan alat dan eksploitasi serangan dengan pantas."

Untuk membantu pertahanan, Openai komited USD 1 bilion dalam akses subsidi kepada program Daybreak for Frontline Defenders, ditujukan kepada organisasi dengan sumber keselamatan terhad yang melindungi perkhidmatan penting. Syarikat itu juga berkongsi pemeriksa versi PHP sebagai kemahiran Codex untuk membantu pengendali kenal pasti versi PHP yang terdedah.

Ini bukan kali pertama AI jumpa kelemahan dalam perisian web yang memaksa kemas kini besar-besaran. Pada Julai 2026, kelemahan dalam WordPress yang ditemui dengan bantuan AI dieksploitasi secara besar-besaran. Openai berkata ia menjangkakan penemuan serupa "meningkat mendadak" dalam bulan-bulan akan datang.

Apa maksudnya untuk anda

PHP2Shell menunjukkan bahawa AI kini memainkan peranan dua hala dalam keselamatan siber: ia boleh menemui dan menampal kelemahan sebelum penggodam, tetapi juga boleh menjadikan kelemahan lama yang dahulu sukar dieksploitasi kini lebih praktikal untuk diserang. Jika anda urus laman web atau bekerja dengan pasukan IT, ini langkah yang perlu diambil:

  1. Kemas kini PHP sekarang jika laman web anda guna versi 5.4 atau lebih baharu. Pasang 8.5.12, 8.4.27, 8.3.36 atau 8.2.35 bergantung pada versi semasa.
  2. Tanya hos web anda jika anda tidak urus PHP sendiri. Hubungi penyedia hos dan tanya sama ada tampalan PHP2Shell sudah dipasang.
  3. Aktifkan firewall aplikasi web seperti Cloudflare WAF jika ada, sebagai lapisan pertahanan tambahan sambil tunggu atau pasang tampalan.
  4. Semak log pelayan untuk aktiviti luar biasa. Cloudflare melaporkan serangan awal sudah bermula sebelum pendedahan rasmi.
  5. Jangan abaikan versi lama. PHP 7.4, 8.0 dan 8.1 tidak lagi disokong, tetapi tampalan belakang tersedia memandangkan keterukan. Naik taraf ke versi disokong secepat boleh.

Sumber