PHP Version များတွင် PHP2Shell RCE နှစ်ခုအတွက် PHP မှ အရေးပေါ် Patch များ ထုတ်ပြန်

Unauthenticated Remote Code Execution - RCE သည် PHP စနစ်တွင် ကြီးမားသောခြိမ်းခြောက်မှုတစ်ခုဖြစ်လာသည်။ ဤအခြေအနေသည် ဆိုက်ဘာလုံခြုံရေးလောကတွင် အန္တရာယ်အရှိဆုံးနှင့်အဆိုးရွားဆုံးဖြစ်စဉ်တစ်ခုအဖြစ် သတ်မှတ်ခံရပြီး စနစ်များကို ချက်ချင်း patch ပြုလုပ်ရန် (ချက်ချင်း အရေးပေါ် အဆင့်မြှင့်တင်ရန်) တိုက်တွန်းရခြင်း ဖြစ်သည်။

ဤအားနည်းချက်များကို အောင်မြင်စွာ အသုံးချခံရပါက အောက်ပါအကျိုးဆက်များ ဖြစ်ပေါ်လာနိုင်သည် -

CVE-2026-109618 -  ခွင့်ပြုချက်မရှိဘဲ ဝင်ရောက်လာသည့် Remote Attacker မှ Arbitrary Code ကို ထိခိုက်ခံရသည့် စနစ်များတွင်  run စေခြင်းဖြင့် out-of-Memory Handling Vulnerability  ဖြစ်ပွားစေခြင်း။

CVE-2026-109619: Remote Attacker များမှ ထိခိုက်ခံရသည့်စနစ်များတွင် use-after-free အားနည်းချက်ကို အသုံးပြု၍ Arbitrary Code ကို run စေနိုင်ခြင်း။

အသုံးချခံရမှု အခြေအနေ (Known Exploitation)

ဤလုံခြုံရေး အားနည်းချက်များကို ပစ်မှတ်ထားကာ ကျယ်ပြန့်စွာ တိုက်ခိုက်အသုံးချရန် ကြိုးပမ်းမှုများနှင့်အတူ အတည်ပြုစမ်းသပ်မှုဆိုင်ရာ Proof-of-Concept - PoC အမြောက်အမြား ပေါ်ထွက်လာကြောင်း သတင်းရရှိထားသည်။
 

ဤအားနည်းချက်သည် PHP ၏version အားလုံးကို ထိခိုက်စေနိုင်ပါသည်။

အကြံပြုချက်များ

သက်ဆိုင်ရာ Product များကို အသုံးပြုသူများနှင့် စီမံခန့်ခွဲသူများအနေဖြင့် နောက်ဆုံးထွက် ဗားရှင်းများသို့ ချက်ချင်း Update ပြုလုပ်ကြရန် အကြံပြုအပ်ပါသည်။ အကယ်၍ Product တစ်ခုကို ချက်ချင်း Update ပြုလုပ်ရန် မဖြစ်နိုင်ပါက တိုက်ခိုက်မှုလမ်းကြောင်းအချို့မှတစ်ဆင့် ထိခိုက်နိုင်ခြေကို လျှော့ချရန်အတွက် ယာယီဆောင်ရွက်နိုင်မည့် နည်းလမ်းများကို https://www.php.net/archive/2026.php#2026-10-21-5 တွင် ဖော်ပြထားသည့် PHP ၏ လမ်းညွှန်ချက်များအတိုင်း လိုက်နာဆောင်ရွက်နိုင်ပါသည်။
အဖွဲ့အစည်းများအနေဖြင့် PHP Versionတစ်ခုခုကို အသုံးပြု၍ လည်ပတ်နေသော စနစ်များကို ရှာဖွေဖော်ထုတ်ပြီး လုံခြုံရေးဆိုင်ရာ Update များကို လုပ်ဆောင်သင့်ပါသည်။ ဤနေရာတွင် အင်တာနက်မှတစ်ဆင့် တိုက်ရိုက်ဝင်ရောက်အသုံးပြုနိုင်သော စနစ်များ (internet-facing systems) ကို ဦးစားပေး ဆောင်ရွက်ရမည်ဖြစ်သည်။ ထို့အပြင် အဖွဲ့အစည်းများအနေဖြင့် ၎င်းတို့၏ ပင်မဝဘ်ဆိုက်များတွင် PHP ကို အသုံးမပြုထားသော်လည်း Web Server များ၌ PHP ထည့်သွင်းအသုံးပြုထားခြင်း ရှိ၊ မရှိ စစ်ဆေးသင့်ပါသည်။ ၎င်းတွင် ပြင်ပအဖွဲ့အစည်း (third-party) ၏ အက်ပ်လီကေးရှင်းများ သို့မဟုတ် အစိတ်အပိုင်းများ (components) မှတစ်ဆင့် PHP ကို အသုံးပြုနေခြင်းများလည်း ပါဝင်နိုင်ပါသည်။

ထို့အပြင် အဖွဲ့အစည်းများသည် PHP ၏ တရားဝင် လမ်းညွှန်ချက်များကို ဆက်လက်စောင့်ကြည့်လေ့လာပြီး နောက်ဆုံးရ Updateများကို အချိန်နှင့်တစ်ပြေးညီ သိရှိနိုင်အောင် ပြုလုပ်ထားသင့်ပါသည်။
 

Ref: https://www.csa.gov.sg/alerts-and-advisories/alerts/al-2026-151/