Pemeriksa php2shell OpenAI menandakan risiko PHP, bukannya membuktikan bahawa ia selamat
OpenAI telah mengeluarkan php2shell-checker, alat sumber terbuka untuk memeriksa sama ada pemasangan PHP mungkin terjejas oleh dua kerentanan kritikal, CVE-2026-109618 dan CVE-2026-109619. Kelemahan ini boleh membolehkan penyerang tanpa pengesahan menjalankan kod pada pelayan melalui permintaan HTTP yang direka khas.
php2shell-checker boleh dijalankan sebagai kemahiran Codex atau melalui arahan Node.js. Pemeriksaan URL hanya menghantar permintaan HEAD dan membaca pengepala pelayan; alat ini tidak menghantar kod eksploit. Hasilnya dilabelkan OK, VULNERABLE atau UNKNOWN, dan output JSON tersedia untuk imbasan automatik.
OpenAI memberi amaran bahawa keputusan OK berdasarkan nombor versi dan tidak mengesahkan secara berasingan bahawa pembaikan itu berkesan. Pengepala tersembunyi dan backport keselamatan Linux juga boleh menghasilkan UNKNOWN, yang tidak bermakna sistem telah ditampal. Pentadbir perlu menyemak versi PHP mereka berdasarkan panduan keselamatan rasmi dan menaik taraf kepada keluaran yang telah diperbaiki. CISA menyenaraikan PHP 8.5.12, 8.4.27, 8.3.36 dan 8.2.35 sebagai versi yang telah ditampal.
Isu ini penting kepada perniagaan kripto kerana banyak laman web menggunakan PHP, termasuk platform yang mungkin mengehos halaman bursa atau projek. Laman yang diceroboh boleh digunakan untuk pancingan data atau mengubah alamat dompet. Alat pemeriksa ini membantu dalam inventori awal, tetapi tidak menggantikan pemasangan tampalan atau perlindungan tembok api aplikasi web.
Neutral
Pelancaran php2shell-checker ialah perkembangan keselamatan siber, bukannya pencetus langsung kepada harga mata wang kripto. Ia tidak mengubah bekalan token, ekonomi protokol, keadaan kawal selia atau akses perdagangan, maka tindak balas pasaran yang meluas serta-merta tidak mungkin berlaku. Namun, pedagang mungkin memantau laporan tentang bursa atau laman web projek kripto yang diceroboh, kerana kejadian sedemikian boleh mencetuskan pancingan data, manipulasi alamat dompet atau gangguan perkhidmatan sementara. Artikel itu menyebut laporan yang bercanggah tentang eksploitasi yang diperhatikan, menjadikan skala sebarang insiden tidak pasti.
Dalam jangka pendek, kesan pasaran yang berpotensi utama adalah didorong sentimen dan khusus kepada syarikat: pencerobohan yang disahkan boleh menjejaskan keyakinan terhadap platform yang terlibat dan meningkatkan turun naik tokennya atau aset berkaitan. Ini menyerupai kerentanan perisian berprofil tinggi pada masa lalu seperti Log4Shell, apabila perhatian tertumpu pada perkhidmatan yang terdedah dan risiko operasi, bukannya pergerakan seragam merentas pasaran kripto. Dalam jangka panjang, alat ini mungkin menggalakkan pemeriksaan keselamatan yang lebih pantas, tetapi ia tidak membaiki sistem; naik taraf, perlindungan WAF dan pengesahan yang betul masih diperlukan. Secara keseluruhan, berita ini wajar dinilai sebagai neutral bagi pasaran kripto yang lebih luas, dengan risiko penurunan bersyarat bagi mana-mana platform yang kemudian disahkan telah diceroboh.