Korea Selatan Desak Kemas Kini PHP Selepas Dua Kelemahan Cetus Tindak Balas Keselamatan Antarabangsa

Pembaikan kecemasan sasar dua kelemahan dalam perisian web yang digunakan secara meluas

Agensi Internet dan Keselamatan Korea Selatan (KISA) menggesa pengendali laman web mengemas kini PHP pada 21 Oktober 2026, selepas dua kelemahan keselamatan dikenal pasti dalam perisian yang digunakan untuk mengendalikan halaman log masuk, perkhidmatan beli-belah dan papan perbincangan. Risiko yang dilaporkan termasuk penyerang menjalankan kod pada pelayan tanpa perlu log masuk terlebih dahulu.

KISA mengenal pasti kelemahan itu sebagai CVE-2026-109618, yang melibatkan pengendalian keadaan luar biasa secara tidak wajar, dan CVE-2026-109619, yang melibatkan penggunaan memori selepas ia dilepaskan. Ambang kemas kininya meliputi empat cabang keluaran PHP: 8.2.35, 8.3.36, 8.4.27 dan 8.5.12.

Kementerian Sains dan ICT Korea Selatan serta KISA menyusuli dengan permintaan keselamatan pada malam 21 Oktober kepada perniagaan dan institusi dalam rangkaian keselamatan siber negara. Pihak berkuasa kerajaan memperincikan usaha menghubungi pihak berkenaan itu pada 22 Oktober. Bantuan kecemasan untuk membantu perniagaan lebih kecil memasang tampalan sedang dipertimbangkan.

Kelemahan itu, yang secara kolektif digelar PHP2Shell, mencetuskan tindak balas antarabangsa. Beberapa institusi kerajaan di Belanda dan Finland dilaporkan menggantung laman web sebagai langkah berjaga-jaga, manakala pihak berkuasa keselamatan siber di Eropah, Jepun dan Australia menggesa pengguna mengemas kini perisian. Agensi AS juga dilaporkan menasihatkan supaya sistem terjejas ditutup jika tampalan segera tidak dapat dilakukan.

Versi PHP mana yang perlu diberi perhatian?

Saranan KISA menetapkan versi minimum yang berbeza bagi setiap cabang PHP terjejas. Cabang ialah satu keluarga keluaran: sebagai contoh, laman web yang menggunakan PHP 8.3 memerlukan keluaran yang telah diperbetulkan dalam keluarga itu atau versi disokong yang lebih baharu dan bersesuaian.

• PHP 8.2: kemas kini versi yang lebih awal daripada 8.2.35.
• PHP 8.3: kemas kini versi yang lebih awal daripada 8.3.36.
• PHP 8.4: kemas kini versi yang lebih awal daripada 8.4.27.
• PHP 8.5: kemas kini versi yang lebih awal daripada 8.5.12.

KISA turut memberi amaran bahawa PHP 8.1 dan versi lebih awal telah mencapai penghujung sokongan keselamatan rasmi. Pengendali yang menggunakan keluaran tersebut dinasihatkan beralih kepada versi yang disokong, dan bukannya terus menggunakan perisian yang penyelenggaraan keselamatan rasminya telah tamat.

Bagi pemilik perniagaan, langkah praktikal pertama ialah mengenal pasti versi PHP yang berjalan pada pelayan laman web. Syarikat pengehosan mungkin menguruskan perisian itu, atau tanggungjawab tersebut mungkin terletak pada pasukan teknologi dalaman. Mengemas kini pelayar pada komputer riba mengubah bahagian sistem yang berbeza.

Perkara yang boleh dilakukan oleh kedua-dua kelemahan

CVE-2026-109618 berkaitan keadaan luar biasa, iaitu situasi apabila perisian menghadapi sesuatu di luar operasi biasanya. Program perlu mengendalikan situasi tersebut dengan selamat. Kegagalan dalam pengendalian itu boleh menyebabkan perisian berfungsi dengan cara yang tidak dijangka.

CVE-2026-109619 digambarkan sebagai kerentanan penggunaan selepas dibebaskan (use after free). Perisian memperuntukkan ruang memori komputer buat sementara waktu dan melepaskannya apabila selesai digunakan. Jenis kelemahan ini berlaku apabila program kemudian cuba menggunakan ruang yang telah dilepaskannya, sekali gus berpotensi mengakses data yang telah berubah atau dimiliki oleh operasi lain.

Bahaya yang dilaporkan ialah pelaksanaan kod dari jauh tanpa pengesahan. Dalam istilah mudah, seseorang di luar laman web berpotensi menyebabkan pelayannya menjalankan arahan tanpa memberikan nama pengguna atau kata laluan yang sah. Serangan yang berjaya boleh mendedahkan maklumat, memasang perisian hasad atau mengganggu perkhidmatan.

Konfigurasi pelayan dan syarat permintaan yang tepat untuk mengeksploitasi setiap kelemahan tidak dinyatakan dalam pengumuman yang diterangkan kepada umum. Oleh itu, pengendali perlu menyemak versi perisian yang terjejas dan mendapatkan panduan teknikal untuk pemasangan masing-masing.

Mengapa WordPress menjadikan isu ini dekat dengan perniagaan biasa

PHP berjalan pada pelayan laman web, bukannya pada telefon atau komputer pelawat. Apabila pembeli meminta untuk melihat sejarah pesanan, program PHP boleh mendapatkan rekod berkaitan daripada pangkalan data dan menyediakan halaman untuk dihantar semula ke pelayar. Sistem log masuk, komen dan papan mesej juga boleh berfungsi dengan cara yang sama.

WordPress, yang menyediakan alat untuk mencipta dan mengurus laman web, turut berjalan menggunakan PHP. Ini menjadikan tindak balas keselamatan tersebut berkaitan dengan blog, laman web syarikat dan kedai dalam talian yang pemiliknya mungkin jarang berurusan secara langsung dengan bahasa pengaturcaraan asas itu.

Angka yang dikaitkan dengan perkhidmatan pengukuran teknologi web W3Techs menunjukkan PHP digunakan oleh kira-kira 75% laman web yang bahasa pengaturcaraan pelayannya dapat dikenal pasti. WordPress pula digunakan oleh kira-kira 43% daripada semua laman web. Angka PHP menggunakan kumpulan ukuran yang lebih terhad berbanding angka WordPress: laman web dengan bahasa pelayan yang dapat dikenal pasti, bukannya semua laman web.

Angka tersebut menjelaskan skop tindak balas yang luas. Banyak laman web yang dikendalikan secara berasingan bergantung pada perisian asas yang sama, maka satu kempen pembaikan boleh melibatkan institusi awam, syarikat besar dan perniagaan kecil serentak.

Korea Selatan menghubungi perniagaan menerusi dua saluran keselamatan

Kementerian Sains dan ICT serta KISA mengarahkan permintaan mereka pada 21 Oktober kepada ahli C-TAS, iaitu sistem untuk menganalisis dan berkongsi maklumat ancaman siber, serta syarikat yang diwajibkan mendaftarkan ketua pegawai keselamatan maklumat (CISO).

C-TAS mempunyai kira-kira 5,900 syarikat dan institusi yang mengambil bahagian. Kira-kira 30,000 syarikat diwajibkan di bawah undang-undang rangkaian maklumat dan komunikasi Korea Selatan untuk melantik CISO dan memaklumkan kementerian. CISO ialah pegawai kanan yang bertanggungjawab terhadap keselamatan maklumat sesebuah organisasi.

Kedua-dua angka itu merujuk kepada kumpulan penerima maklumat yang berbeza, dan mungkin terdapat pertindihan antara kedua-duanya. Kerajaan turut menggunakan portal keselamatan siber awam KISA, yang dikenali sebagai Boho Nara, untuk menyarankan kemas kini keselamatan dan pemasangan tampalan.

Perniagaan kecil menghadapi masalah kekurangan tenaga kerja dalam urusan praktikal: sesetengahnya tiada pekerja yang dapat mengenal pasti pemasangan terjejas, mengatur kemas kini dan memastikan laman web masih berfungsi selepas itu. Seorang pegawai kementerian berkata kerajaan terlebih dahulu mengedarkan panduan keselamatan dan sedang mempertimbangkan bantuan tampalan kecemasan. Tarikh pelaksanaan atau syarat kelayakan untuk bantuan itu belum diumumkan.

Bagaimana tindak balas berkembang

Urutan peristiwa yang dilaporkan bermula dengan audit keselamatan luar pada 2024 dan membawa kepada keluaran pembaikan yang dipercepatkan pada Oktober 2026. Tarikh penting termasuk:

• 2024: Audit luar dilaporkan mengenal pasti tanda-tanda beberapa kecacatan. Perselisihan dalaman dan kebimbangan tentang keserasian dengan perisian sedia ada disebut sebagai sebab pembangunan tampalan tidak diteruskan ketika itu.
• 21 Oktober 2026: Pembangun PHP dilaporkan mengeluarkan pembaikan bagi dua kelemahan, dan KISA mengeluarkan saranan kemas kini.
• Malam 21 Oktober: Pihak berkuasa Korea Selatan menghantar permintaan keselamatan menerusi saluran perniagaan dan institusi.
• 22 Oktober: Pihak berkuasa Korea Selatan memperincikan usaha menghubungi pihak berkenaan. Ini juga tarikh asal yang dirancang untuk mengeluarkan tampalan.

Tampalan itu dilaporkan dikeluarkan sehari lebih awal selepas maklumat mengenai kelemahan tersebut bocor. Percubaan serangan juga dilaporkan telah dikesan sebelum pembaikan diumumkan kepada umum, sekali gus menambah tekanan kepada pengendali supaya bertindak segera.

Laporan mengenai audit 2024 itu turut mengetengahkan cabaran penyelenggaraan. Perubahan pada perisian yang dikongsi boleh menjejaskan aplikasi yang dibina berdasarkan tingkah laku sedia ada. Kebimbangan tentang keserasian boleh menyukarkan penyelarasan pembaikan, terutamanya apabila sesuatu bahasa pengaturcaraan menyokong pelbagai laman web dan susunan pengehosan.

Penemuan AI dan penyelidikan keselamatan bebas

Syarikat keselamatan siber Calif dilaporkan mengenal pasti kelemahan tersebut menggunakan model OpenAI yang digambarkan sebagai GPT-5.6 Sol. Kecacatan itu dikatakan tidak dikesan selama lebih sedekad.

Syarikat keselamatan siber Wiz yang mempunyai kaitan dengan Google dilaporkan menemui dan menyerahkan laporan mengenai kedua-dua kelemahan itu secara bebas. Pengasas bersama Wiz, Ami Luttwak, menyifatkannya sebagai kelemahan paling serius yang ditemui menggunakan AI dan berkata kerumitannya akan menjadikan penemuan itu amat sukar tanpa AI.

OpenAI berkata pihaknya telah menggunakan dua bulan sebelumnya untuk menyelaraskan penyelidik dan syarikat keselamatan siber bagi menyokong tindak balas tersebut. Syarikat itu turut meramalkan peningkatan mendadak dalam penemuan seumpamanya menggunakan AI dalam beberapa bulan berikutnya.

Tugas segera pengendali laman web masih jelas: mengenal pasti perisian yang dipasang, menggunakan pembaikan yang sesuai dan memastikan perkhidmatan terus berfungsi. Penggunaan AI dalam penemuan menambah satu lagi aspek kepada perkembangan ini, di samping penyelidikan bebas, penyelarasan pembangun dan pengedaran tampalan.

Mengapa sesetengah pihak berkuasa menyarankan penutupan laman web

Agensi Keselamatan Negara AS dilaporkan menggesa organisasi yang menggunakan PHP supaya mengemas kini perisian dengan segera, sambil memberi amaran bahawa eksploitasi boleh membolehkan penyerang mengakses sistem fail atau pangkalan data pelayan. Agensi itu menyarankan supaya sistem terjejas ditutup sehingga kelemahan diselesaikan jika kemas kini segera tidak dapat dilakukan.

FBI dilaporkan mengeluarkan nasihat serupa, memberi amaran tentang pelaksanaan kod dari jauh serta kemungkinan pendedahan maklumat dan rangkaian sensitif. Beberapa institusi kerajaan Belanda dan Finland menggantung laman web sebagai langkah pencegahan.

Menutup laman web membawa kesan serta-merta: pelawat tidak lagi dapat mengakses perkhidmatan yang disediakan. Bagi kedai, ini mungkin bermakna jualan terganggu; bagi institusi awam, maklumat atau borang dalam talian mungkin tidak tersedia. Saranan itu mencerminkan keseriusan membiarkan pelayan terdedah terus boleh diakses sementara menunggu pembaikan.

Cloudflare berkata pihaknya sedang mengemas kini langkah perlindungan untuk menangani laluan serangan. Pengendali laman web masih dinasihatkan memasang pembaikan PHP bagi menaik taraf perisian asas kepada versi yang dikenal pasti dalam tindak balas keselamatan tersebut.

Perkara yang perlu dilakukan pengendali sekarang

Pengendali laman web perlu mengenal pasti pihak yang mengawal pemasangan PHP mereka dan membandingkan versinya dengan ambang yang disenaraikan KISA. Organisasi yang menggunakan penyedia pengehosan perlu meminta penyedia itu mengesahkan versi pelayan dan aturan kemas kini. Pasukan yang menguruskan pelayan sendiri perlu melakukan perubahan itu secara langsung.

Perniagaan yang menjalankan WordPress perlu menyertakan persekitaran masa jalan PHP dalam semakan itu, bersama penyelenggaraan laman web biasa. PHP ialah lapisan perisian berasingan di bawah sistem pengurusan kandungan, maka mengetahui versi WordPress sahaja tidak memberikan gambaran lengkap tentang pemasangan tersebut.

Pengendali yang menggunakan PHP 8.1 atau versi lebih awal perlu beralih kepada keluaran yang disokong. Mereka yang sudah menggunakan cabang terjejas memerlukan versi berkaitan yang telah diperbetulkan atau keluaran disokong lebih baharu yang sesuai. Menguji fungsi penting seperti log masuk pelanggan, mendapatkan pesanan dan pembayaran dapat membantu mengenal pasti masalah perkhidmatan semasa kemas kini.

Perkara Utama

• KISA mengeluarkan saranan kemas kini keselamatan PHP pada 21 Oktober 2026, dengan mengenal pasti CVE-2026-109618 dan CVE-2026-109619.
• Ambang kemas kini yang disenaraikan ialah PHP 8.2.35, 8.3.36, 8.4.27 dan 8.5.12.
• KISA menasihatkan pengguna PHP 8.1 dan versi lebih awal supaya beralih kepada versi yang disokong.
• Risiko yang dilaporkan termasuk penyerang melaksanakan kod dari jauh tanpa log masuk.
• Korea Selatan menghubungi ahli rangkaian keselamatan serta syarikat yang diwajibkan melantik CISO.
• Bantuan tampalan kecemasan untuk perniagaan lebih kecil di Korea Selatan sedang dipertimbangkan.
• Pihak berkuasa antarabangsa menggesa kemas kini, dengan sesetengahnya menyarankan penutupan sementara jika tampalan segera tidak dapat dilakukan.