Noong Miyerkules, halos pinagdudaan ng internet ang isang open-source network technology na PHP na mayroon nang ilang dekada dahil sa dalawang vulnerability na kahit na matagal nang nakatulog, ay kahit na lamang ngayon ay natuklasan ng mga researcher ang paraan para gamitin.
Ang dalawang butas na ito ay tinatawag na PHP2Shell, na may opisyal na numero na CVE-2026-109618 at CVE-2026-109619. Sa simpleng salita, pinapayagan ng mga butas na ito ang anumang tao na alam kung paano gamitin ang mga ito upang masira ang mga online na sistema na nagpapatakbo ng PHP, tulad ng mga website o mga server na nakalink sa internet, nang walang kailangang password, at makapag-access o baguhin ang mga data dito.
Batay sa seriedad ng sitwasyon, malaki ang insidente na nagpaksil sa milyun-milyong tao sa buong mundo na mabilis na i-patch ang sistema bago gamitin ng masasamang hacker.
Inilabas ng PHP Foundation, na responsable sa pagpapanatili ng PHP web software, ang patch para sa pagpapabuti noong Miyerkules, na makakapigil sa pag-atake sa mga web server pagkatapos ng pag-install. Nagsagawa na ang基金会 ng maagang pag-access sa patch para sa ilang pinakamalalaking internet company at web hosting provider na nakasalalay sa PHP.
Sa pamamagitan ng mga pribadong komunikasyon at maingat na koordinasyon sa loob ng ilang linggo, ang buong mundo ay nakaiwas sa pangkalahatang paggamit ng malawakang internet. Mula sa Miyerkules, ang mga ahensya ng gobyerno ay nagsimulang hikayatin ang mga mamamayan at mga negosyo na may website na mag-aksiyon upang bawasan ang kanilang sariling panganib. Ang mga bangko, retailers, mga website ng laro, online stores, mga ospital, at ilang ahensya ng gobyerno ay isinara ang kanilang mga server upang maiwasan ang pag-atake.
Ngunit nagbabala ang mga researcher sa kaligtasan na ang mga bagay ay hindi pa tapos, at maraming sistemang global ay hindi pa na-patch at patuloy na vulnerable sa pag-atake at pagkawala ng datos.
Ito rin ay malamang hindi ang huling malaking krisis sa software ng internet. Ilan ay umaasahang ang pagkakaroon ng artificial intelligence ay mabilis na makakahanap ng higit pang mga butas na hindi pa nakikilala, naghhintay na mahanap at mabuhusan.
Ano ang nangyari?
Nakakita ang mga siyentipiko sa kaligtasan ng California ng dalawang mga butas sa PHP. Ang PHP ay isang programming language na malawakang ginagamit sa buong mundo para sa pagbuo ng mga website at web application, na ginagamit pareho sa internet at sa mga lokal na sistemang naka-host sa corporate network, tulad ng intranet at internal websites.
Nakita ang dalawang butas noong 2024, ngunit hindi ito itinuturing na mapapakinabangan noong panahong iyon, kaya hindi ito pinag-ayos. Kamakailan ay natuklasan ng mga researcher sa seguridad ang paraan upang gamitin ang mga ito, kaya binigyan nila ng babala ang mga developer ng software na iayos ito nang maaga.
Nilalaman ng Calif ang PHP Foundation, na agad ay nagsimula na ayusin ang vulnerabilities at mag-coordinate sa disclosure. Ang foundation ay nagbigay ng impormasyon at patch sa loob ng isang mahigpit na panahon ng confidentiality—kung saan ito ay itinutupad nang nakatago hanggang sa isang tiyak na deadline—upang bigyan ng pagkakataon ang mga malalaking kumpanya na i-install ang patch bago ang pagsasalaysay.
Bakit ganito kalubos ang mga butas na ito?
Ang PHP2Shell ay malubha dahil maaaring gamitin nang malayo sa pamamagitan ng internet, at ang mga biktima ay hindi kailangang i-click ang link o buksan ang file. Ito ay tinatawag na remote code execution, isa sa pinakamasamang uri ng vulnerabilities, dahil maaari itong bigyan ng halos buong kontrol sa mga sistema na apektado at walang patch mula sa anumang bahagi ng mundo.
Mas masama pa, ang mga partikular na PHP vulnerability na ito ay nagpapahintulot sa mga attacker na mabuksan ang anumang hindi na-update na sistema sa internet nang walang password o iba pang credentials, isang bagay na tinatawag na unauthenticated access.
Ito ay magpapahintulot sa mga masamang hacker na i-deploy ang malware sa iyong computer, tulad ng pagkukuha ng data, o kaya ay magpanatili ng matagalang pagkakaroon upang makabalik muli sa hinaharap.
Bakit 70% ng mga webpage ang naapektuhan?
Ang PHP ay isa lamang sa maraming lumang teknolohiya na patuloy pa ring gumagana, na nakalampas sa maraming pagbabago at henerasyon ng internet, at ngayon ay nasaan-man, halos parang glue na sumusuporta sa karamihan ng paggana ng internet. Madalas, ang mga kasangkapan na ito ay nilikha ng mga tagapagpanatili ng open source na hindi nakakatanggap ng kapalit para sa kanilang gawain, kaya hindi sila kayang magbigay ng third-party security audit—ngunit ang mga negosyo ay patuloy na nakikibatay sa mga proyektong ito nang hindi nagbibigay ng pondo.
Natuklasan ba ng artificial intelligence ang mga butas na ito?
Kinilala ang mga siyentipiko sa kaligtasan mula sa Calif dahil sa pagkakatuklas nila sa mga vulnerability noong maagang bahagi ng taon habang nag-audit ng PHP code. Kasali si Calif sa programa na Hack the Planet na inilunsad ng OpenAI at ang cloud security giant na Wiz, na sumigurado na ang proof-of-concept exploit code na nilikha ni Calif.
Sa pagsasalaysay ni Calif (na kasama rin ang komiks—maganda, dapat tingnan), ipinaliwanag ng mga mananaliksik na ginamit ang artificial intelligence upang tulungan ang pagpapakita ng vulnerability, ngunit ang karamihan sa trabaho ay nakabatay pa rin sa dating kaalaman ng mga mananaliksik at sa kanilang kamalayan sa PHP codebase at kasaysayan ng exploit.
Sinulat ni Calif: "Walang anumang modelo na maaaring maghukay ng 'lahat ng mga butas' gamit ang simpleng prompt lamang. Sa kasalukuyan, hindi pa ito posible."
Bakit ginamit ang mga vulnerability na ito bago ito isinagawa?
Sa kabila ng mga pagsisikap ng lahat ng bahagi na panatilihin ang detalye ng vulnérabilidad nang mahigpit hanggang Miyerkules, tila may ilang pagpapalabas na naganap sa PHP2Shell bago ang patch ay ipinakalabas.
Dahil sa malaking sukat at mataas na pagkakakilanlan, may malaking pag-unawa ang Amazon sa mga online na banta. Sinabi ng kumpanya sa isang blog post na nakakita ito ng mga tanda ng paggamit ng PHP2Shell nang isang linggo bago ang paglabas ng PHP patch, na nagpapakita na may isang tao o lugar na alam kung paano gamitin ang mga butas bago magkaroon ng malawakang pagkakalat ng detalye nito. Sinabi ng Amazon na hindi pa alam kung paano natuklasan ng mga hacker ang mga butas, ngunit dapat magbalik-tanaw ang mga tagapagtanggol sa Oktubre 17 upang hanapin ang mga ebidensya ng paggamit.
May ilang bersyon tungkol sa pagkakasunod-sunod ng pangyayari. Pagkatapos maayos ang butas, maaaring agad na maging malinaw ang detalye ng patch, lalo na sa open-source code tulad ng PHP, kung saan maaaring tingnan ng sinuman nang pampubliko. Maaaring hindi madali gamitin ang mga butas, ngunit ang pagkakaalam kung saan ang butas at paano ito naayos ay maaaring tumulong sa mga masamang hacker na matukoy ang mga layunin at gamitin ang code para sa pag-atake.
Maaari rin na may leakage sa loob ng panahon ng pagbabawal o may pagkakawala ng komunikasyon. Ang open-source community ay malaki, at ang pagkontrol sa impormasyon sa paraang ito ay nakadepende sa integridad at pakikipag-ugnayan ng lahat ng bahagi.
Bukod dito, maaari rin naming ipagpalagay na ang mga hacker ay nakuha ang mga butas na ito nang mag-isa sa harap, o natutuhan sila sa pamamagitan ng espionaje.
Sinabi ng mga siyentipiko na kailangan ng malaking pagsisikap upang gawing tunay na mapaggamit ang mga butas, at ang pagpapawer ng mga butas ay laging isang hamon—ngunit hindi imposible—na nagpapaliwanag kung bakit hindi pa natin nakikita ang malawakang paggamit.
Malawakang pagsasara sa internet, ngunit nagrerecover na. Nakaligtas ba tayo sa pinakamasamang sitwasyon?
Masyadong maaga pa ang paggawa ng konklusyon, ngunit wala pa ring mga tanda ng malawakang pagpapabaya, na isang mapag-asa signal—kahit pa man ay hindi pa tayo lubos na nasa labas ng panganib.
Sinabi ni Matthew Prince, CEO ng kompanya para sa网络安全 at pagmamasid na Cloudflare, na nakikita ng kumpanya ang exponential na pagtaas ng bilang ng mga pagsubok na pagsasamantala pagkatapos ng pagpapahayag ng vulnerability. Ito ay nagpapakita rin kung gaano kalakas ang mga masasamang actor sa pagtatangkang pagsasamantala ng mga kakulangan para sa kanilang sariling kapakanan.
Ang PHP ay hindi lamang ginagamit sa web server, kundi pati na rin sa pagbuo ng mga tool, command-line at terminal packages, at iba pang software components na ginagamit ng routers, storage devices, at enterprise security devices tulad ng firewalls at VPN.
Maaaring magkaroon pa ng pagpapalabas ng PHP2Shell sa susunod, dahil mas mabagal ang pag-update ng mga mas maliit na IT team at mga independiyenteng developer. Samantala, kailangan din ng maraming kumpanya na nag-iintegrate ng PHP sa kanilang sariling produkto at software na i-update, na magdudulot ng isang panahon ng transisyon.
Habang mas maraming mga device at sistema ang nakakumpleto ng update, maliit na maliit ang umuunlad na attack surface. Gayunpaman, ang cascade effect ng mga vulnerabilities na ito ay maaaring magpatuloy sa maraming taon, lalo na sa mga legacy systems na hindi makakapag-update.
Will this situation happen again?
Sa mga taon kong nagiging security journalist, isang makabuluhang araw ito na nakapagpapahinto sa internet. Noong 2016, isang malaking botnet ang nag-atake sa internet registry na Dyn gamit ang spam traffic, na nagresulta sa halos paghinto ng serbisyo ng maraming pangunahing website. Noong 2017, ginamit ng North Korea ang mga leaked na hacker tools ng US government upang i-infect ang sistema ng kalusugan sa UK at mag-release ng ransomware. Noong 2024, isang may kamalian na update ng CrowdStrike ang nagdulot ng malawakang global outage, na nagresulta sa pagkabigo ng karamihan sa mga Windows computer sa buong mundo nang sabay-sabay.
Sa lahat ng pananaw, ang internet ay nakaligtas sa isang araw na maaaring maging lubos na sakit at mapaminsala sa pamamagitan ng PHP2Shell. Ngunit hindi ito malamang ang huling malaking pangyayari na magdudulot ng epekto sa network, at maaaring ito ay ang unang pagkakataon sa isang serye ng mga pangyayari na nagpapakita ng mga kahinaan sa lumang teknolohiya. Sa malaking antas, dahil sa mga likas na kakulangan sa mga lumangunit at naroroon na software, na hindi pa natuklasan, kasama ang paggamit ng mga tool sa artificial intelligence na nagpapadali sa paghahanap ng mga vulnerabilities.
Ang PHP at iba pang mga web programming language at teknolohiya mula sa mga dekada na ang nakalipas ay kabilang sa mga “memory-unsafe” software, na nangangahulugan na maaaring maapektuhan ng isang buong klase ng mga vulnerabilities na nagdudulot ng pag-leak o pag-overflow ng sensitibong data mula sa memory storage. Sinabi ng National Security Agency ng Estados Unidos na humigit-kumulang 75% ng mga vulnerabilities na aktibong pinagagamit ay nagpapahayag ng mga memory-related defects, ibig sabihin, madalas ginagamit ng mga hacker ang mga vulnerabilities na ito.
Ito ang nagpapadala sa industriya patungo sa paggamit ng mga wika na memorya-safe, tulad ng Python, Rust, at Swift, na hindi ganoon kalaganap na maaaring pang-aping tulad ng mga butas sa memorya. Kaya, ang mga wika na ito ay malawakang imunong sa malaking bilang ng mga butas na nananatili pa ring nakakaapekto sa kanilang mga naunang bersyon.
Ngunit nananatili pa rin ang malaking bahagi ng internet na nagpapatakbo ng PHP, media at video codecs, mga library ng compression, at iba pang software na galing sa mga dekada ang nakalipas—at kapag may problema ang mga teknolohiyang ito, may malaking epekto sa buong network.