php2shell: A Patch Exists, Yet Millions Remain Exposed

How php2shell Impacts Global Systems

បញ្ហា phpvulnerability នេះត្រូវបានរកឃើញដំបូងនៅថ្ងៃទី ១ ខែសីហា ឆ្នាំ ២០២៦ ដោយមានការចូលរួមពីក្រុមហ៊ុន Calif, OpenAI និង Wiz ហើយបន្ទាប់មកត្រូវបានប្រកាសជាសាធារណៈនៅថ្ងៃទី ២០ ខែតុលា ឆ្នាំ ២០២៦។ ភាពងាយរងគ្រោះដ៏ធ្ងន់ធ្ងរនេះ (CVE-2026-109618 និង CVE-2026-109619) ទទួលបានពិន្ទុ CVSS 4.0 កម្រិត 9.2 ដោយអនុញ្ញាតឱ្យអ្នកវាយប្រហារអាចដំណើរការកូដពីចម្ងាយ តាមរយៈការធ្វើឱ្យខូចអង្គចងចាំដោយមិនចាំបាច់ឆ្លងកាត់ការផ្ទៀងផ្ទាត់អត្តសញ្ញាណឡើយ។ សម្រាប់ CVE-2026-109618 ពិន្ទុ CVSS 3.x គឺឡើងដល់កម្រិត 9.8 ដែលបង្ហាញពីហានិភ័យដ៏ធំធេងសម្រាប់ប្រព័ន្ធមិនទាន់បានធ្វើបច្ចុប្បន្នភាព។

ភាពធ្ងន់ធ្ងរនៃបញ្ហានេះមិនមែនគ្រាន់តែជាទ្រឹស្តីនោះទេ។ ទីភ្នាក់ងារ CISA បានបន្ថែមវាទៅក្នុងកាតាឡុក KEV (Known Exploited Vulnerabilities) នៅចុងខែតុលា ឆ្នាំ ២០២៦ បន្ទាប់ពីមានភស្តុតាងនៃការវាយប្រហារជាក់ស្តែង។ ជាក់ស្តែង ក្រុមហ៊ុនសន្តិសុខតាមប្រព័ន្ធអ៊ីនធឺណិត Dream បានរាយការណ៍អំពីការកេងប្រវ័ញ្ចដែលផ្តួចផ្តើមដោយការរួមបញ្ចូលគ្នារវាងបញ្ហានេះ និង CVE-2026-46300 (Fragnesia) ទៅលើម៉ាស៊ីនបម្រើចំនួន ២៥ នៅក្នុងសហរដ្ឋអាមេរិក ជប៉ុន តៃវ៉ាន់ និងកូរ៉េខាងត្បូង។

Beyond Just PHP: The Brotli Connection

ទន្ទឹមនឹងនេះ ក្រុមហ៊ុន Palo Alto Networks ក៏បានចេញសេចក្តីជូនដំណឹងសុវត្ថិភាពនៅថ្ងៃទី ២៨ ខែតុលា ឆ្នាំ ២០២៦ ជុំវិញការកេងប្រវ័ញ្ចលើចំណុចប្រទាក់គ្រប់គ្រងនៃប្រព័ន្ធ PAN-OS ផងដែរ។ បញ្ហាមួយទៀតដែលកំពុងគំរាមកំហែងទន្ទឹមគ្នាគឺ HTTP2Shell (CVE-2026-111497) ដែលជាកំហុសក្នុងការសរសេរទិន្នន័យក្រៅព្រំដែនរបស់ Brotli។ វាមិនត្រឹមតែប៉ះពាល់ដល់ប្រព័ន្ធកូដបើកចំហប៉ុណ្ណោះទេ ប៉ុន្តែវាក៏បានលាតសន្ធឹងទៅដល់ប្រព័ន្ធ .NET និង PHP ជំនាន់ Windows ផងដែរ ដែលតម្រូវឱ្យអ្នកអភិវឌ្ឍន៍ត្រូវមានការប្រុងប្រយ័ត្នខ្ពស់។

កំណែបំណះសុវត្ថិភាពជាផ្លូវការសម្រាប់ជំនាន់ទី 8.2.35, 8.3.36, 8.4.27 និង 8.5.12 ត្រូវបានចេញផ្សាយនៅថ្ងៃទី ២១ ខែតុលា ឆ្នាំ ២០២៦ វេលាម៉ោង ១៤:០០ UTC។ មនុស្សជាច្រើនយល់ច្រឡំថាគ្រាន់តែរង់ចាំការធ្វើបច្ចុប្បន្នភាពដោយស្វ័យប្រវត្តិគឺគ្រប់គ្រាន់ហើយ ប៉ុន្តែការពិតការពិនិត្យមើល និងអនុវត្តបំណះភ្លាមៗគឺជាកាតព្វកិច្ចដែលមិនអាចមើលរំលងបាន។ ការពន្យារពេលតែមួយថ្ងៃអាចផ្តល់ឱកាសគ្រប់គ្រាន់ដល់អ្នកវាយប្រហារក្នុងការគ្រប់គ្រងប្រព័ន្ធទាំងស្រុង។