Pasukan pembangun PHP mengeluarkan kemas kini kecemasan pada 21 Oktober(semalam) bagi menutup dua kelemahan kritikal yang digelar PHP2Shell, yang membolehkan penyerang atau hacker mengambil alih pelayan laman web dari jauh tanpa perlu log masuk.
Kelemahan yang dikenal pasti sebagai CVE-2026-109618 dan CVE-2026-109619 itu masing-masing diberi skor keterukan 9.2 daripada 10. PHP ialah bahasa pengaturcaraan yang digunakan oleh kira-kira 69 peratus laman web di dunia, termasuk laman yang dibina menggunakan WordPress, Joomla dan Drupal.
Berbeza dengan kebanyakan isu keselamatan laman web, pepijat ini terletak dalam PHP itu sendiri dan bukan dalam kod laman web atau kod aplikasi. Ini bermakna pepijat tersebut masih boleh memberi ancaman; biarpun laman web yang dibangunkan dengan selamat sekalipun; sekiranya masih belum menampal kemaskini keselamatan terhadap php di pelayan masing-masing.
Lebih teruk, butiran kelemahan tersebut bocor di internet pada 20 Oktober, sebelum tampalan siap dikeluarkan. Susulan itu, PHP mengumumkan kemas kini lebih awal dan menerbitkan PHP 8.5.12, 8.4.27, 8.3.36 dan 8.2.35 keesokan harinya, sambil menggesa semua pengguna mengemas kini dengan segera. PHP 8.1 dan versi lebih lama pula tidak menerima versi baharu secara rasmi.
Menurut laporan, kelemahan ini ditemui secara berasingan oleh syarikat keselamatan Calif menerusi projek “Patch the Planet” kendalian OpenAI, serta oleh syarikat keselamatan, Wiz, dengan bantuan model kecerdasan buatan (AI). Jenis pepijat ini sebenarnya sudah lama dikenal pasti sebagai kawasan berisiko, namun dianggap terlalu sukar untuk dieksploitasi sebelum ini.
Syarikat keselamatan watchTowr dan Cloudflare berkata mereka telah mengesan cubaan serangan yang mensasarkan kelemahan tersebut, manakala syarikat keselamatan Sansec menjangkakan serangan besar-besaran bermula dalam tempoh 15 minit selepas tampalan dikeluarkan.
Agensi Keselamatan Siber dan Infrastruktur Amerika Syarikat (CISA) bagaimanapun berkata ia belum melihat sebarang eksploitasi ketika amarannya dikeluarkan. Agensi itu menasihatkan organisasi yang belum dapat mengemas kini, atau masih menggunakan PHP 8.1 dan ke bawah, supaya menutup sementara sistem berasaskan PHP sehingga ditampal.
Malah, Agensi Keselamatan Negara Amerika Syarikat (NSA) turut mengeluarkan amaran dan mengesyorkan supaya laman web yang tidak dapat dikemas kini dengan segera ditutup sementara. Pusat Keselamatan Siber Kebangsaan United Kingdom (NCSC) juga mengeluarkan amaran yang hampir sama.
Di Eropah, banyak organisasi telah menutup laman web mereka sebagai langkah berjaga-jaga sementara menunggu tampalan, termasuk portal kerajaan Belanda Overheid.nl, platform komunikasi sekolah kebangsaan Denmark, semua perkhidmatan web awam kerajaan Finland serta semua laman web Kementerian Dalam Negeri Perancis.
Bagi pengguna biasa, tiada apa yang perlu dipasang pada telefon atau komputer kerana risiko ini terletak pada pelayan laman web.
Pemilik laman web dan peniaga dalam talian pula disaran menyemak versi PHP pelayan masing-masing melalui panel hosting dan mengemas kini ke versi yang telah ditampal. Bagi yang masih menggunakan PHP 8.1 atau lebih lama, penyedia seperti cPanel dan CloudLinux dilaporkan sudah mengeluarkan tampalan khas untuk PHP 7.4, 8.0 dan 8.1. PHP 8.2 pula akan tamat sokongan pada 31 Disember 2026.