Dua kritikal PHP kelemahan telah mendorong kemas kini kecemasan merentasi platform pengehosan. Jika laman web anda menggunakan PHP, semak dengan hos anda hari ini. Mengemas kini WordPress, tema atau pemalam tidak memasang ini PHP pembetulan.
PHP telah mengeluarkan pembetulan pada 21 Oktober. Kerentanan, CVE-2026-109618 dan CVE-2026-109619, boleh membenarkan penyerang menjalankan kod pada pelayan yang terdedah tanpa log masuk. PHP memberi amaran bahawa semua pemasangan yang melayani permintaan web berisiko. Ini termasuk PHP-FPM, Apache dengan mod_php, CGI, FrankenPHP dan LiteSpeed.
Respons tersebut melibatkan vendor perisian, platform terurus dan hos web individu. Ada yang mengeluarkan amaran pelanggan. Ada pula yang menerbitkan arahan tampalan atau melaporkan penyelenggaraan dan kemas kini berperingkat. Semasa pemeriksaan kami sendiri, kami juga menerima e-mel dan bertanya kepada pasukan sokongan hosting tentang respons mereka.
Baca rasmi PHP nasihat keselamatan
Yang PHP Versi Perlu Diperbaiki
Siaran huluan tetap adalah:
| PHP Cawangan | Keluaran Tetap |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Siaran ini menangani kedua-dua kelemahan. Apache dengan mod_php mempunyai risiko tertinggi yang dikenal pasti oleh PHP pasukan. Nasihatnya menerangkan serangan yang ditunjukkan yang boleh berjalan sebelum kod aplikasi bermula.
Nombor versi yang lebih rendah tidak selalunya bermaksud pakej vendor kekal terdedah. Sesetengah vendor menggunakan pembetulan keselamatan pada versi lama, satu proses yang dipanggil backporting. Minta semakan pakej yang dipasang dan pengesahan bahawa ia merangkumi kedua-dua CVE.
PHP 8.1 dan yang lebih lama tidak lagi menerima kemas kini keselamatan tetap daripada PHP projek. Liputan vendor mesti disemak secara berasingan. PHP Sokongan keselamatan 8.2 tamat pada 31 Disember 2026.
Bagaimana Penyedia Hosting dan cPanel Memberi Respons
Notis awam di bawah menerangkan bahagian respons yang berbeza. Vendor yang mengeluarkan pakej tidak menentukan bahawa setiap hos telah memasangnya. Pelaporan penyiapan hos terpakai pada skop perkhidmatan yang dinamakan dalam notisnya.
| Pembekal atau Platform | Respons yang Dirakam Secara Awam | Apa yang Perlu Disemak oleh Pemilik Laman Web |
|---|---|---|
| cPanel | cPanel menerbitkan binaan cPanel & WHM yang ditambal dan MudahApache PHP pakej. Nasihatnya menyenaraikan pakej CloudLinux secara berasingan, termasuk pembetulan yang disandarkan dengan yang lebih lama PHP nombor versi. | Minta pentadbir untuk menyemak kedua-dua panel kawalan dan PHP pakej yang menyediakan perkhidmatan untuk laman web. Gunakan senarai pakej untuk vendor yang berkaitan. Nasihat cPanel |
| CloudLinux | CloudLinux melaporkan telah dibaiki MudahApache dan pakej alt-php tersedia untuk platform tertentu. Sesetengah sistem pengendalian asli PHP pakej kekal dalam pelancaran secara beransur-ansur. | Sahkan keluarga pakej dan repositori yang digunakan oleh pelayan anda. Ketersediaan pakej masih memerlukan pemasangan dan perkhidmatan yang berkaitan dimulakan semula. Kemas kini CloudLinux |
| Cloudways | Cloudways melaporkan perlindungan sementara dan pelancaran berperingkat. Ia melaporkan aplikasi Autonomi telah ditambal pada jam 9:02 pagi pada 22 Oktober. Kemas kini jam 3:03 petang menyatakan bahawa kebanyakan pelayan telah ditambal, dengan kerja yang tinggal dijangka selesai menjelang jam 5 petang. | Pada tarikh akhir pelaporan ini, penyiapan keseluruhan pelancaran belum disahkan. Semak kemas kini insiden semasa dan produk yang mengehoskan aplikasi anda. Cloudways PHP kejadian |
| AltusHost | AltusHost telah menerbitkan satu nasihat pada 21 Oktober. Ia menjelaskan tentang kelemahan dan tanggungjawab yang berbeza untuk pengehosan kongsi, terurus dan tidak terurus. | Sahkan status perkhidmatan anda. Tarikh penerbitan nasihat sahaja bukanlah cap masa untuk penyiapan merentasi semua pelayan. Nasihat AltusHost |
| Serverfreak | Notis Serverfreak pada 22 Oktober menyatakan semua pelayan kongsi telah ditambal. Ia juga menerangkan tampalan pelayan terurus yang berkenaan dan memberi amaran bahawa pembetulan yang disandarkan mungkin meninggalkan paparan PHP versi tidak berubah. | Semak sama ada perkhidmatan anda dikongsi, diurus atau diurus sendiri. Pelanggan yang diurus sendiri kekal bertanggungjawab untuk mengemas kini pelayan mereka. Notis Serverfreak |
| Qikify | Pembangun aplikasi Shopify berkata semua aplikasinya berjalan dengan tampalan PHP dalam pengeluaran menjelang 11:07 pagi, 22 Oktober. | Kenyataan ini merangkumi aplikasi Qikify. Ia tidak menetapkan status tampalan platform teras Shopify atau aplikasi pembangun lain. Notis Qikify |
Cloudways Penyelenggaraan Laman Web dan Penampalan Pelanggan Adalah Peristiwa Berasingan
Pada malam 21 Oktober di Malaysia, kami melihat Cloudways mengalihkan laman web awamnya ke halaman statusnya. CloudwaysRekod insiden awam mengesahkan bahawa laman web dan portal afiliasinya tidak tersedia semasa PHP tampalan telah digunakan. Ia melaporkan kedua-dua perkhidmatan telah dipulihkan pada jam 3:48 pagi pada 22 Oktober (sumber).
Insiden itu harus dibezakan daripada pelanggan PHP pelancaran (maklumat lengkap di sini). Cloudways melaporkan tampalan selesai untuk aplikasi Autonomi sementara kemas kini Fleksibel diteruskan. Notisnya tidak menetapkan bahawa semua laman web pelanggan telah dilumpuhkan.
Apa yang Kami Terima dan Dengar Daripada Hos Web
Kami menerima e-mel amaran daripada AltusHost, Atlantic.Net, DigitalOcean, Shopify, dan BionicWPMesej-mesej ini adalah sebahagian daripada rekod langsung kami tentang cara penyedia menyampaikan isu tersebut. Menerima makluman membuktikan bahawa penyedia telah menghantar amaran; susunan kata mesej menentukan sama ada ia juga mengesahkan kemas kini yang telah selesai.
Semasa perbualan sokongan pada pagi 22 Oktober, waktu Malaysia, wakil di Serverfreak, TMDHosting, Kinsta, Flashcloud, HostPapa, dan ScalaHosting memberitahu kami bahawa penampalan telah selesai. Itu adalah pengesahan sokongan untuk perkhidmatan yang dibincangkan. Kami belum mengaudit setiap pelayan yang dikendalikan oleh penyedia ini secara bebas.
Pertukaran tersebut menunjukkan respons yang pantas semasa semakan kami. Ia tidak menetapkan kedudukan penyedia yang ditambal dahulu. Perbandingan yang adil memerlukan skop perkhidmatan yang sepadan dan masa penyiapan yang disahkan.
Apa yang Perlu Anda Lakukan Hari Ini
- Kenal pasti PHP persekitaran yang melayani laman web anda. Semak panel pengehosan anda. WordPress pengguna boleh membuka Alatan → Kesihatan Tapak → Maklumat → Pelayan. Tanya hos anda sama ada versi yang ditunjukkan adalah milik laman web langsung.
- Sahkan bahawa kedua-dua CVE telah ditetapkan. Minta pakej atau binaan yang dipasang, skop perkhidmatan yang terjejas dan masa penyiapan. Untuk pelayan yang diurus sendiri, pentadbir anda mesti memasang kemas kini vendor yang sesuai.
- Semak setiap aplikasi dan pelayan yang berkaitan. Sertakan subdomain, tapak pementasan dan lain-lain PHP aplikasi. Tanya sama ada pelayan atau pekerja tambahan masih memerlukan kemas kini.
- Sandarkan dan uji fungsi penting. Simpan salinan fail dan pangkalan data anda yang terkini. Selepas penampalan dan perkhidmatan yang diperlukan dimulakan semula, semak log masuk, borang, pembayaran dan tugasan yang dijadualkan.
- Meningkatkan kelewatan. PHP mengatakan langkah sementara tidak memberikan perlindungan sepenuhnya. Tanyakan kepada pentadbir anda tentang langkah rasmi semasa dan sama ada perkhidmatan yang terjejas harus dihadkan sementara atau diambil di luar talian.
Anda boleh menghantar soalan ini kepada hos anda:
Mempunyai setiap PHP persekitaran yang melayani laman web kami telah ditambal untuk CVE-2026-109618 dan CVE-2026-109619? Sila sahkan pakej atau binaan yang sedang berjalan, perkhidmatan yang dilindungi dan bila kemas kini selesai.
Untuk kejadian ini, pengesahan yang berguna akan menamakan perkhidmatan yang terjejas dan pembaikan yang sebenarnya sedang berjalan. Simpan pengesahan tersebut dengan rekod penyelenggaraan laman web anda.
NotaTarikh akhir pelaporan 22 Oktober 2026, 4:23 petang waktu Malaysia (08:23 UTC). Semua waktu di bawah menggunakan waktu Malaysia melainkan dinyatakan sebaliknya.
