PHP Version များတွင် PHP2Shell RCE နှစ်ခုအတွက် PHP မှ အရေးပေါ် Patch များ ထုတ်ပြန်

Unauthenticated Remote Code Execution - RCE သည် PHP စနစ်တွင် ကြီးမားသောခြိမ်းခြောက်မှုတစ်ခုဖြစ်လာသည်။ဤအခြေအနေသည်ဆိုက်ဘာလုံခြုံရေးလောကတွင် အန္တရာယ်အရှိဆုံးနှင့်အဆိုးရွားဆုံးဖြစ်စဉ်တစ်ခုအဖြစ် သတ်မှတ်ခံထားရပြီး PHP Version အသုံးပြုထားသောစနစ်များကို ချက်ချင်းအရေးပေါ် (Patch) ပြုလုပ်ရန် တိုက်တွန်းရခြင်း ဖြစ်သည်။

Background (နောက်ခံသမိုင်း)

PHP သည် Website နှင့် Web Applications အများအပြားတွင် တွင်ကျယ်စွာအသုံးပြုနေသော Script ရေးသားသည့် ဘာသာစကားတစ်ခုဖြစ်ပြီး အလွန်အရေးကြီးသောလုံခြုံရေးအားနည်းချက် နှစ်ခုဖြစ်သော CVE-2026-109618 နှင့် CVE-2026-109619 ကိုပြင်ဆင်ရန်အတွက် Security Update များကို PHP မှထုတ်ပြန်ထားပြီးဖြစ်ပါသည်။အဆိုပါ အားနည်းချက် နှစ်ခုစလုံးသည် CVSS v4.0 အားနည်းချက်အမှတ်ပေးစနစ်အရ အမှတ် ၁၀ တွင် ၉.၂ မှတ် အထိရရှိထားသည့်အတွက်ကြောင့်အလွန်စိုးရိမ်ရသည့် Critical အဆင့် ဖြစ်ပါသည်။

Impact (အကျိုးသက်ရောက်မှု)   

ဤအားနည်းချက်များကိုအောင်မြင်စွာအသုံးချခံရပါကအောက်ပါအကျိုးဆက်များဖြစ်ပေါ်လာစေနိုင်ပါသည် -

CVE-2026-109618 - Memory ကုန်ဆုံးမှုကို ကိုင်တွယ်ဖြေရှင်းပုံ မှားယွင်းသည့် အားနည်းချက် (Out-of-Memory Handling Vulnerability) ဖြစ်ပြီး၊ အကောင့်သို့ဝင်ရန်မလိုအပ်သော Unauthenticated Remote Attacker အနေဖြင့် ထိခိုက်မှုရှိသောစနစ်များပေါ်တွင်  မိမိတို့စိတ်ကြိုက်ကုဒ်များကို ထည့်သွင်းမောင်းနှင်ခွင့် (Execute arbitrary code) များရရှိသွားနိုင်ပါသည်။

CVE-2026-109619 - ဖျက်သိမ်းပြီးဖြစ်သော Memory နေရာကို ပြန်လည်အသုံးပြုမိသည့် အားနည်းချက် (Use-After-Free Vulnerability) ဖြစ်ပြီး၊ Unauthenticated Remote Attacker အနေဖြင့်ထိခိုက်မှုရှိသောစနစ်များပေါ်တွင်မိမိတို့စိတ်ကြိုက်ကုဒ်များကို ထည့်သွင်းမောင်းနှင်ခွင့် (Execute arbitrary code) ရရှိသွားနိုင်ပါသည်။

ဤအားနည်းချက်သည် PHP ၏ Version အားလုံးကို ထိခိုက်စေနိုင်ပါသည်။

အသုံးချခံရမှု အခြေအနေ (Known Exploitation)

ဤအားနည်းချက်များကို ပစ်မှတ်ထား၍ ကျယ်ပြန့်စွာတိုက်ခိုက်အသုံးချရန်ကြိုးပမ်းမှုများ Widespread Exploitation Attempts ရှိနေကြောင်း အစီရင်ခံစာများ ထွက်ပေါ်နေသည့်အပြင်၊ ၎င်းတို့ကို အတည်ပြုစမ်းသပ်မှုဆိုင်ရာ Proof-of-Concept - PoC အမြောက်အမြားလည်း ပေါ်ထွက်နေပြီဖြစ်ကြောင်းသတင်းရရှိထားပါသည်။

 အကြံပြုချက်များ(Recommendations)

သက်ဆိုင်ရာ PHP Product များကို အသုံးပြုသူများနှင့် စီမံခန့်ခွဲသူများအနေဖြင့် နောက်ဆုံးထွက်  Version များသို့ ချက်ချင်း Update ပြုလုပ်ကြရန် အကြံပြုထားပါသည်။အကယ်၍ Product တစ်ခုကို ချက်ချင်း Update ပြုလုပ်ရန် မဖြစ်နိုင်ပါက တိုက်ခိုက်မှုလမ်းကြောင်းအချို့မှတစ်ဆင့် ထိခိုက်နိုင်ခြေကို လျှော့ချရန်အတွက် ယာယီဆောင်ရွက်နိုင်မည့်နည်းလမ်းများကို

https://www.php.net/archive/2026.php#2026-10-21-5 တွင်ဖော်ပြထားသည့် PHP ၏ လမ်းညွှန်ချက်များအတိုင်းလိုက်နာဆောင်ရွက်နိုင်ပါသည်။
အဖွဲ့အစည်းများအနေဖြင့် PHP Version တစ်ခုခုကို အသုံးပြု၍ လည်ပတ်နေသော စနစ်များကို ရှာဖွေဖော်ထုတ်ပြီး လုံခြုံရေးဆိုင်ရာ Update များကို လုပ်ဆောင်သင့်ပါသည်။ ဤနေရာတွင် အင်တာနက်မှတစ်ဆင့် တိုက်ရိုက်ဝင်ရောက်အသုံးပြုနိုင်သော စနစ်များ Internet-Facing Systems ကို ဦးစားပေးဆောင်ရွက်ရမည်ဖြစ်သည်။ထို့အပြင် အဖွဲ့အစည်းများအနေဖြင့် ၎င်းတို့၏ ပင်မ Websites များတွင် PHP ကို အသုံးမပြုထားသော်လည်း Web Server များ၌ PHP ထည့်သွင်းအသုံးပြုထားခြင်း ရှိ၊ မရှိကို စစ်ဆေးသင့်ပါသည်။ ထို့အပြင် Third-Party Applications များ သို့မဟုတ် စနစ်အပိုင်းအစများ Components မှတစ်ဆင့် PHP ကို အသုံးပြုနေခြင်းများလည်း ပါဝင်နိုင်ပါသည်။

ထို့အပြင်အဖွဲ့အစည်းများသည် PHP ၏ တရားဝင် လမ်းညွှန်ချက်များကို ဆက်လက်စောင့်ကြည့် လေ့လာ၍ နောက်ဆုံးရ Update များကို အချိန်နှင့်တစ်ပြေးညီသိရှိနိုင်စေရန်ပြုလုပ်ထား သင့်ပါသည်။

References –

https://www.csa.gov.sg/alerts-and-advisories/alerts/al-2026-151

https://thehackernews.com/2026/10/php2shell-two-unpatched-critical-php.html