Hinimok ng South Korea ang Pag-update ng PHP Matapos Magdulot ng Pandaigdigang Tugon sa Seguridad ang Dalawang Kahinaan

Tinutugunan ng mga agarang pag-aayos ang dalawang kahinaan sa malawakang ginagamit na software sa web

Hinimok ng Korea Internet & Security Agency (KISA) ng South Korea ang mga nagpapatakbo ng website na i-update ang PHP noong Oktubre 21, 2026, matapos matukoy ang dalawang kahinaan sa seguridad sa software na ginagamit sa pagpapatakbo ng mga pahina sa pag-login, serbisyo sa pamimili at mga talakayan. Kabilang sa naiulat na mga panganib ang kakayahan ng mga umaatake na magpatakbo ng code sa server nang hindi muna nagla-login.

Tinukoy ng KISA ang mga kahinaan bilang CVE-2026-109618, na may kinalaman sa maling pangangasiwa sa mga pambihirang kondisyon, at CVE-2026-109619, na may kinalaman sa paggamit ng memorya matapos itong pakawalan. Saklaw ng mga itinakda nitong bersyon para sa pag-update ang apat na sangay ng PHP: 8.2.35, 8.3.36, 8.4.27 at 8.5.12.

Naglabas ng mga kahilingan para sa seguridad ang Ministry of Science and ICT ng South Korea at ang KISA noong gabi ng Oktubre 21 para sa mga negosyo at institusyong kabilang sa mga pambansang network ng cybersecurity. Inilarawan ng mga awtoridad ng gobyerno ang mga hakbang na ito noong Oktubre 22. Isinasaalang-alang ang agarang tulong para sa maliliit na negosyo upang mai-install ang mga patch.

Nagdulot ng pandaigdigang tugon ang mga kahinaang sama-samang tinawag na PHP2Shell. Iniulat na sinuspinde bilang pag-iingat ng ilang institusyon ng gobyerno sa Netherlands at Finland ang kanilang mga website, habang hinimok ng mga awtoridad sa cybersecurity sa Europe, Japan at Australia ang mga update. Iniulat din na pinayuhan ng mga ahensiya ng US na alisin muna sa internet ang mga apektadong sistema kung imposibleng mailapat agad ang mga patch.

Aling mga bersyon ng PHP ang kailangang bigyang-pansin?

Nagtakda ang payo ng KISA ng magkakaibang minimum na bersyon para sa bawat apektadong sangay ng PHP. Ang sangay ay isang pamilya ng mga bersyon: halimbawa, kailangang gamitin ng website na nagpapatakbo ng PHP 8.3 ang naitama nang bersyon sa pamilyang iyon o ang angkop na mas bagong bersyong sinusuportahan.

• PHP 8.2: i-update ang mga bersyong mas luma sa 8.2.35.
• PHP 8.3: i-update ang mga bersyong mas luma sa 8.3.36.
• PHP 8.4: i-update ang mga bersyong mas luma sa 8.4.27.
• PHP 8.5: i-update ang mga bersyong mas luma sa 8.5.12.

Nagbabala rin ang KISA na hindi na saklaw ng opisyal na suporta sa seguridad ang PHP 8.1 at mga naunang bersyon. Pinayuhan ang mga nagpapatakbo ng mga bersyong iyon na lumipat sa sinusuportahang bersyon sa halip na manatili sa software na hindi na tumatanggap ng opisyal na pagpapanatili sa seguridad.

Para sa may-ari ng negosyo, ang praktikal na unang hakbang ay alamin ang bersyon ng PHP na tumatakbo sa server ng website. Maaaring pangasiwaan ng hosting company ang software na iyon, o maaaring responsibilidad ito ng panloob na pangkat sa teknolohiya. Iba ang bahaging naaapektuhan ng pag-update sa browser ng laptop.

Ano ang maaaring idulot ng dalawang kahinaan

May kinalaman ang CVE-2026-109618 sa mga pambihirang kondisyon, o mga sitwasyong may nakakaharap ang software na hindi bahagi ng normal nitong paggana. Kailangang ligtas na pangasiwaan ng mga programa ang gayong mga sitwasyon. Kapag nagkulang ang pangangasiwang ito, maaaring kumilos ang software sa paraang hindi inaasahan.

Inilalarawan ang CVE-2026-109619 bilang kahinaang use after free. Pansamantalang naglalaan ang software ng mga bahagi ng memorya ng computer at pinakakawalan ang mga ito kapag tapos na. Nangyayari ang ganitong uri ng kahinaan kapag sinubukang gamitin muli ng programa ang bahaging pinakawalan na nito, na posibleng magbigay-daan sa pag-access sa datos na nagbago na o ginagamit ng ibang operasyon.

Ang naiulat na panganib ay ang remote code execution nang walang pagpapatunay ng pagkakakilanlan. Sa madaling salita, maaaring mapatakbo ng isang taong nasa labas ng website ang server nito nang hindi nagbibigay ng wastong username o password. Kung magtagumpay ang pag-atake, maaaring malantad ang impormasyon, makapag-install ng mapaminsalang software o maantala ang mga serbisyo.

Hindi tinukoy sa mga pampublikong anunsiyo ang eksaktong mga konfigurasyon ng server at kondisyong kailangan upang mapagsamantalahan ang bawat kahinaan. Kaya kailangang suriin ng mga nagpapatakbo ng website ang mga apektadong bersyon ng software at humingi ng teknikal na gabay para sa sarili nilang instalasyon.

Bakit abot-kamay ng mga karaniwang negosyo ang isyu dahil sa WordPress

Tumatakbo ang PHP sa server ng website, hindi sa telepono o computer ng bisita. Kapag humiling ang mamimili na makita ang kasaysayan ng mga order, maaaring kunin ng programang PHP ang kaugnay na mga tala mula sa database at ihanda ang pahinang ipapadala pabalik sa browser. Gayundin gumagana ang mga sistema sa pag-login, komento at talakayan.

Tumatakbo rin sa PHP ang WordPress, na nagbibigay ng mga kasangkapan para gumawa at mamahala ng mga website. Dahil dito, saklaw ng pagtugon sa isyu sa seguridad ang mga blog, website ng kumpanya at online shop na maaaring bihirang direktang makipag-ugnayan ng mga may-ari nito sa batayang programming language.

Batay sa mga bilang na iniuugnay sa W3Techs, isang serbisyo sa pagsukat ng teknolohiya sa web, ginagamit ang PHP ng humigit-kumulang 75% ng mga website na natukoy ang wika ng programming na ginagamit sa kanilang server. Umaabot naman sa humigit-kumulang 43% ng lahat ng website ang WordPress. Mas makitid ang pangkat na sinusukat para sa bilang ng PHP kaysa sa bilang ng WordPress: mga website na natukoy ang wika ng server, hindi lahat ng website.

Ipinapakita ng mga bilang na ito kung bakit malawak ang naging tugon. Umaasa sa iisang batayang software ang maraming website na pinatatakbo nang magkakahiwalay, kaya maaaring sabay-sabay na masangkot sa isang kampanya ng pag-aayos ang mga pampublikong institusyon, malalaking kumpanya at maliliit na negosyo.

Gumagamit ang South Korea ng dalawang security channel upang maabot ang mga negosyo

Itinuro ng Ministry of Science and ICT at KISA ang kanilang mga kahilingan noong Oktubre 21 sa mga miyembro ng C-TAS, isang sistema para suriin at magbahagi ng impormasyon tungkol sa mga banta sa cyber, at sa mga kumpanyang inaatasang magtalaga ng punong opisyal sa seguridad ng impormasyon, o CISO.

May humigit-kumulang 5,900 kalahok na kumpanya at institusyon ang C-TAS. Inaatasan naman ng batas ng South Korea tungkol sa mga network ng impormasyon at komunikasyon ang humigit-kumulang 30,000 kumpanya na magtalaga ng CISO at ipaalam ito sa ministeryo. Ang CISO ang nakatataas na opisyal na responsable sa seguridad ng impormasyon ng isang organisasyon.

Magkakaibang pangkat ang tinutukoy ng dalawang bilang na ito, bagaman maaaring may magkakasamang kabilang sa mga ito. Ginamit din ng gobyerno ang pampublikong portal ng KISA para sa cybersecurity, na kilala bilang Boho Nara, upang magrekomenda ng mga update sa seguridad at paglalagay ng mga patch.

May praktikal na suliranin sa tauhan ang maliliit na negosyo: walang empleyado ang ilan na kayang tumukoy sa apektadong instalasyon, magsaayos ng update at tiyaking gumagana pa rin ang website pagkatapos nito. Sinabi ng isang opisyal ng ministeryo na una nang namahagi ang gobyerno ng gabay sa seguridad at isinasaalang-alang nito ang agarang tulong sa paglalagay ng patch. Walang inanunsiyong petsa ng pagsisimula o mga tuntunin sa pagiging kuwalipikado para sa tulong na iyon.

Pagkakasunod-sunod ng pagtugon

Nagsimula umano ang mga pangyayari sa isang panlabas na audit sa seguridad noong 2024 at humantong sa pinabilis na paglalabas ng mga pag-aayos noong Oktubre 2026. Narito ang mahahalagang petsa:

• 2024: Iniulat na nakatukoy ang isang panlabas na audit ng mga palatandaan ng ilang depekto. Binanggit ang panloob na hindi pagkakasundo at mga alalahanin tungkol sa pagiging tugma sa umiiral na software bilang mga dahilan kung bakit hindi itinuloy noon ang pagbuo ng patch.
• Oktubre 21, 2026: Iniulat na naglabas ang mga developer ng PHP ng mga pag-aayos para sa dalawang kahinaan, at naglabas ang KISA ng payo tungkol sa pag-update.
• Gabi ng Oktubre 21: Nagpadala ang mga awtoridad ng South Korea ng mga kahilingan para sa seguridad sa pamamagitan ng mga channel para sa negosyo at institusyon.
• Oktubre 22: Inilarawan ng mga awtoridad ng South Korea ang mga hakbang na ito. Ito rin ang orihinal na nakatakdang petsa ng paglalabas ng mga patch.

Iniulat na iniusog nang isang araw ang paglalabas ng mga patch matapos tumagas ang impormasyon tungkol sa mga kahinaan. Naiulat ding may natukoy nang mga pagtatangkang umatake bago naging pampubliko ang mga pag-aayos, kaya lalo pang napilitang kumilos agad ang mga nagpapatakbo ng website.

Itinuturo rin ng ulat tungkol sa audit noong 2024 ang hamon sa pagpapanatili ng software. Maaaring makaapekto sa mga aplikasyong binuo ayon sa dati nitong paggana ang pagbabago sa software na pinagsasaluhan ng marami. Maaaring magpahirap sa pagsasaayos ng mga pag-aayos ang mga alalahanin sa pagiging tugma, lalo na kapag sinusuportahan ng isang wika ang maraming iba't ibang website at kaayusan sa hosting.

Pagtuklas gamit ang AI at independiyenteng pananaliksik sa seguridad

Iniulat na natukoy ng kompanyang pang-cybersecurity na Calif ang mga kahinaan gamit ang isang modelong OpenAI na inilarawang GPT-5.6 Sol. Inilarawan ang mga depektong ito bilang mga problemang hindi natukoy sa loob ng mahigit isang dekada.

Iniulat na independiyenteng natuklasan at isinumite rin ng Wiz, isang kompanyang pang-cybersecurity na kaanib ng Google, ang dalawang kahinaan. Inilarawan ni Ami Luttwak, kasamang tagapagtatag ng Wiz, ang mga ito bilang pinakamalulubhang kahinaang natuklasan gamit ang AI, at sinabing magiging napakahirap tuklasin ang mga ito dahil sa pagiging masalimuot ng mga ito kung wala ang AI.

Sinabi ng OpenAI na ginugol nito ang nakaraang dalawang buwan sa pakikipag-ugnayan sa mga mananaliksik at kompanyang pang-cybersecurity upang suportahan ang pagtugon. Inihula rin nito ang matinding pagdami ng mga kahalintulad na tuklas gamit ang AI sa mga susunod na buwan.

Nananatiling kongkreto ang agarang kailangang gawin ng mga nagpapatakbo ng website: tukuyin ang naka-install na software, ilapat ang naaangkop na pag-aayos at tiyaking patuloy na gumagana ang mga serbisyo. Dagdag na bahagi ng kuwento ang paggamit ng AI sa pagtuklas, kasabay ng independiyenteng pananaliksik, koordinasyon ng mga developer at pamamahagi ng mga patch.

Bakit inirekomenda ng ilang awtoridad na alisin muna sa internet ang mga website

Iniulat na hinimok ng National Security Agency ng US ang mga organisasyong gumagamit ng PHP na mag-update agad, at nagbabala na maaaring makapasok ang mga umaatake sa file system o database ng server sa pamamagitan ng pagsasamantala sa mga kahinaan. Inirekomenda nitong alisin muna sa internet ang mga apektadong sistema hanggang malutas ang mga kahinaan kung imposibleng mag-update agad.

Iniulat na nagbigay rin ng katulad na payo ang FBI, at nagbabala tungkol sa remote code execution at posibleng pagkalantad ng sensitibong impormasyon at mga network. Sinuspinde ng ilang institusyon ng gobyerno sa Netherlands at Finland ang mga website bilang hakbang sa pag-iwas.

May agarang kapalit ang pag-aalis ng website sa internet: hindi na maaabot ng mga bisita ang mga serbisyong ibinibigay nito. Para sa tindahan, maaaring maantala ang mga benta; para sa pampublikong institusyon, maaaring hindi makuha ang impormasyon o magamit ang mga online form. Ipinapakita ng rekomendasyong ito ang bigat ng panganib kapag nananatiling maaabot ang isang lantad na server habang hinihintay ang pag-aayos.

Sinabi ng Cloudflare na ina-update nito ang mga hakbang sa proteksiyon upang tumugma sa mga ruta ng pag-atake. Pinayuhan pa rin ang mga nagpapatakbo ng website na i-install ang mga pag-aayos para sa PHP at i-update ang batayang software sa mga bersyong itinakda sa pagtugon sa seguridad.

Ano ang kailangang gawin ngayon ng mga nagpapatakbo ng website

Dapat alamin ng mga nagpapatakbo ng website kung sino ang kumokontrol sa instalasyon ng PHP at ihambing ang bersyon nito sa mga itinakda ng KISA. Kailangang kumpirmahin ng mga organisasyong gumagamit ng hosting provider ang bersyon ng server at mga kaayusan sa pag-update sa provider. Dapat direktang pangasiwaan ng mga pangkat na namamahala ng sarili nilang server ang pagbabago.

Dapat isama ng mga negosyong nagpapatakbo ng WordPress ang PHP runtime sa pagsusuring ito, kasabay ng karaniwang pagpapanatili ng website. Hiwalay na patong ng software ang PHP sa ilalim ng content management system, kaya hindi sapat na malaman lamang ang bersyon ng WordPress upang masaklaw ang buong instalasyon.

Kailangang lumipat sa sinusuportahang bersyon ang mga nagpapatakbo ng PHP 8.1 o mas luma. Para naman sa mga gumagamit na ng apektadong sangay, kailangan ang kaugnay na naitama nang bersyon o angkop na mas bagong bersyong sinusuportahan. Makakatulong ang pagsubok sa mahahalagang tungkulin, gaya ng pag-login ng kostumer, pagkuha ng mga order at pagbabayad, upang matukoy ang mga problema sa serbisyo habang nag-a-update.

Mahahalagang Punto

• Naglabas ang KISA ng payo sa pag-update ng seguridad para sa PHP noong Oktubre 21, 2026, at tinukoy ang CVE-2026-109618 at CVE-2026-109619.
• Ang mga itinakdang bersyon para sa pag-update ay PHP 8.2.35, 8.3.36, 8.4.27 at 8.5.12.
• Pinayuhan ng KISA ang mga gumagamit ng PHP 8.1 at mas luma na lumipat sa sinusuportahang bersyon.
• Kabilang sa mga naiulat na panganib ang kakayahan ng mga umaatake na magpatakbo ng code nang malayuan nang hindi nagla-login.
• Nakipag-ugnayan ang South Korea sa mga miyembro ng mga network ng seguridad at sa mga kumpanyang inaatasang magtalaga ng CISO.
• Isinasaalang-alang ang agarang tulong sa paglalagay ng patch para sa maliliit na negosyo sa South Korea.
• Hinimok ng mga internasyonal na awtoridad ang mga update, at inirekomenda ng ilan ang pansamantalang pagsasara kapag imposibleng maglagay agad ng patch.