១. ព័ត៌មានទូទៅ
ក្រុមការងារអភិវឌ្ឍន៍ PHP បានបញ្ចេញបច្ចុប្បន្នភាពសន្ដិសុខដើម្បីជួសជុលចំណុចខ្សោយដែលមានកម្រិតគ្រោះថ្នាក់ធ្ងន់ធ្ងរបំផុតចំនួនពីរនៅលើ PHP Runtime ដែលត្រូវបានគេស្គាល់ថា PHP2Shell (មានកូដសម្គាល់ CVE-2026-109618 និង CVE-2026-109619)។ ចំណុចខ្សោយទាំងពីរនេះមានកម្រិតហានិភ័យខ្ពស់ អាចអនុញ្ញាតឱ្យចោរព័ត៌មានវិទ្យា ឬហេកគ័រ ដែលគ្មានគណនីអាចបញ្ជាកូដចូលទៅក្នុងម៉ាស៊ីនមេ (Remote Code Execution) និងអាចលួចអានទិន្នន័យសំខាន់ៗក្នុង Memory ដូចជា ពាក្យសម្ងាត់ (Passwords), API Keys, Tokens និង Certificates ព្រមទាំងអាចគ្រប់គ្រងប្រព័ន្ធទាំងស្រុងបាន។
ដោយសារតែចំណុចខ្សោយនេះស្ថិតនៅលើ PHP Engine ផ្ទាល់ ដូច្នេះរាល់ប្រព័ន្ធគេហទំព័រ និងសេវាអនឡាញទាំងអស់ដែលប្រើប្រាស់ PHP គឺសុទ្ធតែស្ថិតក្នុងហានិភ័យ ទោះបីជាកូដរបស់គេហទំព័រនោះមានសុវត្ថិភាពយ៉ាងណាក៏ដោយ ហើយបច្ចុប្បន្នត្រូវបានសង្កេតឃើញថាមានការព្យាយាមវាយប្រហារយ៉ាងសកម្មនៅលើសាកលលោកផងដែរ។
២. ផលិតផលដែលរងផលប៉ះពាល់
- PHP កំណែ 8.5 ឬ PHP ដែលមានកំណែក្រោម 8.5.12
- PHP កំណែ 8.4 ឬ PHP ដែលមានកំណែក្រោម 8.4.27
- PHP កំណែ 8.3 ឬ PHP ដែលមានកំណែក្រោម 8.3.36
- PHP កំណែ 8.2 ឬ PHP ដែលមានកំណែក្រោម 8.2.35
៣. ដំណោះស្រាយ
ការិយាល័យ CamCERT សូមធ្វើការណែនាំដល់អ្នកប្រើប្រាស់ និងអ្នកគ្រប់គ្រងប្រព័ន្ធទាំងអស់ សូមធ្វើបច្ចុប្បន្នភាពកម្មវិធីដែលបានរងផលប៉ះពាល់ខាងលើជាបន្ទាន់ ទៅកាន់កំណែចុងក្រោយបំផុត (Latest version) ដូចខាងក្រោម៖
- PHP កំណែ5 ត្រូវអាប់ដេតឡើងយ៉ាងហោចណាស់ទៅកំណែ 8.5.12
- PHP កំណែ 4 ត្រូវអាប់ដេតឡើងយ៉ាងហោចណាស់ទៅកំណែ 8.4.27
- PHP កំណេ3 ត្រូវអាប់ដេតឡើងយ៉ាងហោចណាស់ទៅកំណែ 8.3.36
- PHP កំណែ 2 ត្រូវអាប់ដេតឡើងយ៉ាងហោចណាស់ទៅកំណែ 8.2.35 បន្ទាប់ពីអាប់ដេតរួច ត្រូវធ្វើការ Restart លើ Apache, PHP-FPM និង PHP Workers ទាំងអស់ជាបន្ទាន់។
វិធានការបណ្តោះអាសន្ន (ក្នុងករណីមិនទាន់អាចអាប់ដេតបានភ្លាមៗ)៖
- សម្រាប់ CVE-2026-109618៖ ត្រូវកំណត់ memory_limit=-1 រក្សា post_max_size ឱ្យនៅទាប និងកំណត់ដែនកំណត់ទំហំសំណើ (Request-size limits) នៅលើ Web Server ឬ Proxy (សូមហាមឃាត់ការប្រើប្រាស់ RLIMIT_AS ឬ RLIMIT_DATA ជំនួសឱ្យសោះ)។
- សម្រាប់ CVE-2026-109619៖ ត្រូវកំណត់upload_progress.enabled=0 (និង fatal_error_backtraces=0 លើ PHP 8.5) ហើយធ្វើការ Restart លើ Worker ទាំងអស់។ (បញ្ជាក់៖ វិធានការនេះគ្រាន់តែជួយទប់ស្កាត់ផ្លូវវាយប្រហារខ្លះប៉ុណ្ណោះ មិនមែនជាការការពារទាំងស្រុងឡើយ ព្រោះមានតែការអាប់ដេតប៉ុណ្ណោះ ទើបជាដំណោះស្រាយស្របច្បាប់ និងសុវត្ថិភាពបំផុត)។
៤. ឯកសារពាក់ព័ន្ធ
- – https://thehackernews.com/2026/10/php-issues-emergency-patches-for-two.html
- – https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
- – https://www.mycert.org.my/portal/advisory?id=MA-1484.102026
