PHP2Shell: na-patch na ang mga system namin
Noong Oktubre 21, 2026, inanunsyo ng PHP project ang PHP2Shell, dalawang malalang butas sa PHP. Sinuri namin ang lahat ng hino-host namin para sa aming mga kliyente: naka-install na ang naayos na PHP, kasama ang hosted POS, at wala kaming nakitang senyales na may nakapasok.
Ano ang nangyari
Ang PHP ay programming language na ginagamit ng maraming website at online system, kasama ang hosted POS ng mga botika namin at ang mga website ng kliyente na hino-host namin. Noong Oktubre 21, 2026, inanunsyo ng PHP project ang dalawang butas sa PHP mismo, na tinatawag na PHP2Shell (CVE-2026-109618 at CVE-2026-109619).
Pareho silang critical: puwedeng magpatakbo ng sariling command sa isang server ang attacker mula sa internet, kahit hindi naka-sign in. May mga security company na nag-report ng mga atake sa mismong araw na iyon.
Ano ang sinuri namin
Lahat ng hino-host namin: ang hosted POS ng bawat botikang gumagamit nito, ang mga website ng kliyente na pinapatakbo namin, at ang website na ito, na walang PHP kahit kaunti.
Hindi gawa sa PHP ang Radiance Store, kaya hindi ito apektado ng PHP2Shell.
Ano ang nakita namin
Sa loob ng isang araw mula sa anunsyo, naka-install na ng host namin ang naayos na PHP sa bawat bersyon na gamit ng mga system namin, kasama ang hosted POS. Na-restart na rin ang lahat ng nagpapatakbo ng PHP para gamitin ang naayos na bersyon, kaya wala nang tumatakbo sa luma.
Naka-off ang upload-progress feature ng PHP, ang kumpirmadong daanan ng isa sa dalawang butas, sa server kung saan tumatakbo ang mga system namin.
Hinanap din namin kung may senyales na may nakapasok bago ang patch: mga program file na nagbago, mga program file sa mga folder na para lang sa upload, at mga scheduled task na hindi kami ang gumawa. Lahat ng nakita naming pagbabago ay galing sa sarili naming mga update. Wala nang iba.
Ano ang kailangan mong gawin
Wala. Walang nagbago sa POS mo, sa data nito at sa website mo, at ganoon pa rin ang pag-sign in.
Hindi kami kailanman humihingi ng password sa email, text o Messenger. Kapag may message tungkol sa PHP2Shell na humihingi nito, o nagpapa-install sa iyo ng kung ano, hindi iyon galing sa amin.
Mga tanong
Itanong sa amin ang kahit ano tungkol dito: mag-email sa hello@radianceph.com, o i-message kami sa Messenger (magbubukas sa bagong tab).