Dosari katika PHP yaweka mamilioni ya tovuti hatarini

Timu inayosimamia PHP, lugha ya programu inayotumika kuendesha sehemu kubwa ya mtandao, ilitoa marekebisho ya dharura Jumatano, tarehe 21 Oktoba 2026, kwa dosari mbili kubwa za usalama. Dosari hizo zinafuatiliwa kama CVE-2026-109618 na CVE-2026-109619, na kila moja imepewa alama 9.2 kati ya 10 kwenye kipimo cha ukubwa wa hatari cha CVSS. Watafiti wamezipa jina la utani "php2shell".

Inakadiriwa kwamba PHP inaendesha 70 hadi 80% ya tovuti ambazo lugha ya seva yake inajulikana, zikiwemo tovuti zilizojengwa kwa WordPress, Drupal, Joomla na Laravel. Kwa mujibu wa watafiti, dosari hizo zingeweza kumruhusu mshambuliaji kuendesha msimbo kwenye seva ya tovuti na kuidhibiti. Zaidi ya seva milioni 1.3 zilizounganishwa kwenye intaneti huenda zikaathirika.

Dosari hizo ziligunduliwa kwa msaada wa akili bandia. Kampuni ya usalama Calif iligundua moja kwa kutumia modeli ya OpenAI, na Wiz ilisema iligundua hitilafu kadhaa za usalama wa kumbukumbu katika PHP kwa kutumia zana za akili bandia za OpenAI, Google na zake yenyewe. Wiz inasema akili bandia inarahisisha kutumia hitilafu tata kama hizi.

Mashirika ya usalama, yakiwemo CERT-EU na Kituo cha Taifa cha Usalama wa Mtandao cha Uingereza, yalihimiza taasisi kusasisha haraka, au kutenganisha tovuti zao na intaneti iwapo haziwezi kusasisha mara moja. Wakati wa ripoti hizo, shirika la Marekani CISA lilisema halikuwa limeona dosari hizo zikitumika katika mashambulizi, huku baadhi ya kampuni zikiripoti washambuliaji wakichunguza intaneti kutafuta seva ambazo hazijarekebishwa.

Seva nyingi huenda zikaendelea kuwa hatarini: takriban seva 758,000 zinazoonyesha toleo lao la PHP zinatumia matoleo ya zamani ambayo hayapati tena masasisho ya usalama.