Apa yang berlaku
Pada 21 Oktober 2026, PHP menerbitkan pembaikan bagi CVE-2026-109618 dan CVE-2026-109619, yang bersama-sama dikenali sebagai PHP2Shell. Kelemahan ini boleh membolehkan penyerang menjalankan kod pada pelayan web yang terjejas tanpa log masuk. Nasihat rasmi PHP menerangkan pemasangan yang terjejas dan kemas kininya. NSA menasihati pengendali supaya segera memasang tampalan dan mempertimbangkan untuk menghentikan sambungan sistem yang terjejas jika keselamatannya tidak dapat dipastikan. Penutupan sebagai langkah berjaga-jaga bukan dengan sendirinya bukti pencerobohan. Pengendali perlu menyemak panduan pembekal terkini, termasuk nasihat susulan, dan tidak menggunakan artikel ini sebagai senarai semak tampalan.
Kesannya terhadap data anda
Risiko langsung melibatkan perkhidmatan yang menggunakan pemasangan PHP yang terdedah dan maklumat yang boleh diakses oleh perkhidmatan tersebut. Ini bukan bukti bahawa semua storan dalam talian tidak selamat atau fail anda telah bocor. Sebagai pelawat, anda tidak boleh menampal pelayan penyedia. Anda boleh mengehadkan muat naik, mengemas kini perisian sendiri dan menyemak notis keselamatan rasmi penyedia. Jika akaun anda terjejas, ikuti arahan yang telah disahkan kesahihannya. Elakkan pautan tetapan semula kata laluan dalam mesej yang tidak dijangka; buka perkhidmatan itu secara terus. Simpan sandaran berasingan bagi fail yang terlalu penting untuk hilang.
Manfaat dan batas penyulitan
Menyulitkan fail pada peranti sebelum dimuat naik, dengan kunci disimpan di luar pelayan, membantu melindungi kandungannya jika salinan yang disimpan dicuri. Namun, ini tidak menjadikan setiap pencerobohan pelayan tidak berbahaya: penyerang masih boleh melihat metadata, memadam fail atau mengubah kod yang dihantar oleh aplikasi web ke pelayar. Kod itu boleh mencuri kunci ketika anda menggunakan aplikasi, seperti yang dijelaskan dalam model keselamatan Proton. Penyulitan yang kukuh juga memerlukan peranti selamat dan perisian yang dipercayai. Fail yang hanya berada pada peranti anda tidak terdedah akibat pencerobohan perkhidmatan yang tidak pernah menerima muat naik fail tersebut.
Pilih kandungan yang kekal pada peranti
Anda tidak boleh mencegah setiap kelemahan perisian, tetapi anda boleh memilih tempat menyimpan fail peribadi. Sealby menyulitkan kandungan peti simpanan pada peranti anda. Kekalkan peti simpanan pada peranti sahaja jika anda tidak mahu kandungannya dimuat naik; penyegerakan iCloud yang disulitkan adalah pilihan dan diaktifkan secara berasingan bagi setiap peti simpanan dalam Tetapan. Jika anda mengaktifkan penyegerakan atau membuat sandaran yang disulitkan, salinan boleh wujud di luar peranti. Perlindungannya tetap bergantung pada keselamatan maklumat buka kunci dan frasa pemulihan anda. Penyulitan tidak melindungi peti simpanan yang sudah dibuka daripada seseorang yang mengawal peranti, dan tidak memadam fail asal yang ditinggalkan dalam aplikasi atau perkhidmatan awan lain.