Kemas kini PHP sekarang, dua kelemahan RCE kritikal dibaiki dalam PHP 8.5.12 dan 8.4.27

Projek PHP mengeluarkan PHP 8.5.12, 8.4.27, 8.3.36 dan 8.2.35 pada 21 Oktober 2026 untuk membaiki dua kelemahan kritikal yang boleh membenarkan pelaksanaan kod jauh (RCE) tanpa pengesahan. Notis keselamatan di laman php.net meminta semua pengguna PHP mengemas kini dengan segera. Jika anda menjalankan laman web PHP sendiri, WordPress di VPS atau aplikasi Laravel, semak versi PHP pada server anda hari ini.

Apa yang berlaku

Dua kelemahan itu ialah CVE-2026-109618 dan CVE-2026-109619. Notis php.net menerangkan yang pertama berpunca daripada pengendalian kehabisan memori yang boleh mengganggu PHP ketika data permintaan dalaman baru separuh disediakan. Yang kedua ialah keadaan global dalaman yang masih wujud selepas memori sokongannya dibebaskan, dan boleh digunakan oleh permintaan berikutnya pada pekerja (worker) yang sama.

Menurut notis itu, semua pemasangan PHP yang melayani permintaan web terjejas, termasuk PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP dan LiteSpeed. Risiko dianggap paling tinggi untuk mod_php, kerana sudah ada eksploit yang ditunjukkan di mana satu permintaan tanpa pengesahan boleh mencetuskan serangan sebelum kod aplikasi dijalankan.

Agensi berita AFP melaporkan beberapa agensi kerajaan, pengendali media dan perkhidmatan di Australia, Perancis, Belanda dan negara lain menutup laman web buat sementara sebagai langkah berjaga-jaga. Agensi Keselamatan Negara Amerika Syarikat (NSA) menyuruh organisasi menampal segera atau mengeluarkan sistem terdedah daripada talian. Syarikat keselamatan Wiz menganggarkan PHP menggerakkan kira-kira 70 peratus laman web dunia.

Cara mengemas kini

• Naik taraf kepada versi terkini cawangan anda: 8.5.12, 8.4.27, 8.3.36 atau 8.2.35.
• Penyedia pakej Linux menerima tampalan lebih awal, jadi semak pakej daripada vendor anda. Pengguna hosting kongsi patut bertanya penyedia hosting sama ada PHP sudah dikemas kini.
• PHP 8.1 dan lebih lama tidak lagi menerima kemas kini daripada projek PHP. Sesetengah distro dan vendor LTS menyediakan tampalan backport, jadi hubungi vendor anda atau naik taraf ke versi yang masih disokong.
• Jika tidak dapat mengemas kini serta-merta, notis php.net menyenaraikan langkah mengurangkan pendedahan, seperti menetapkan session.upload_progress.enabled=0 dan had post_max_size yang rendah. Notis itu menegaskan langkah ini tidak menjadikan pemasangan selamat; hanya kemas kini yang menyelesaikan masalah.

Siapa jumpa kelemahan ini

Menurut AFP, syarikat keselamatan Calif menemui kelemahan itu pada Ogos menggunakan model GPT-5.6 Sol milik OpenAI dalam audit kod PHP yang dibiayai OpenAI. Wiz, yang dimiliki Google, mendakwa menemuinya secara berasingan beberapa minggu kemudian dengan bantuan model AI termasuk Gemini 4 Argon dan GPT-5.6 Sol. Butiran bocor dalam talian pada Selasa, sehari sebelum tarikh siaran tampalan, lalu pelepasan dipercepatkan.

Seorang penyelidik yang pernah mengerjakan isu PHP untuk syarikat Calif memberitahu BBC bahawa setakat ini serangan tidak kelihatan meluas, lapor AFP. Namun anda tidak perlu menunggu bukti serangan sebelum mengemas kini.

Apa seterusnya

Semak versi dengan php -v pada server anda, dan pastikan pekerja PHP-FPM atau Apache dimulakan semula selepas naik taraf supaya versi baharu benar-benar digunakan. Kami tidak menemui kenyataan khusus untuk pengguna Malaysia pada masa penulisan; tindakan untuk pentadbir tempatan sama dengan yang disenaraikan di atas.

Baca juga

• Sebelum kongsi app hasil vibe coding, semak empat kelemahan keselamatan ini
• Sebelum pasang skill Claude dari GitHub, semak perkara ini
• Google umum Gemini 4 Argon, dilancarkan dahulu kepada pakar pertahanan siber

Sumber

• PHP.net, Security advisory: Critical remote code execution vulnerabilities, update now, 21 Oktober 2026
• Malay Mail (AFP), Websites worldwide shut down after critical PHP flaws expose servers to hackers, 22 Oktober 2026
• Malay Mail (AFP), AI just found a giant hole in PHP, and the internet is scrambling, 23 Oktober 2026
• Malay Mail (AFP), Is the website down? What to know about the global PHP security scare, 23 Oktober 2026