PHP2Shell: dua celah kritis PHP dan langkah tanggap

Apa yang dirilis dan mengapa perlu bertindak

Informasi 22 Oktober 2026. PHP merilis pembaruan 21 Oktober untuk CVE-2026-109618 dan CVE-2026-109619, disebut PHP2Shell. Masalahnya pada mesin PHP pemroses permintaan web, bukan hanya plugin CMS. Eksploitasi dapat memungkinkan eksekusi kode tanpa autentikasi pada server rentan. Perlu tindakan mendesak, tetapi tidak membuktikan situs tertentu sudah disusupi.

Peringatan mencakup PHP-FPM, Apache mod_php, php-cgi, FrankenPHP danLiteSpeed. PHP menilai mod_php berisiko tertinggi dengan eksploitasi terdemonstrasi sebelum kode aplikasi. Situs kecil, tanpa login atau plugin terkini tidak cukup. Identifikasi PHP yang sebenarnya melayani permintaan serta perbaikannya. Paparan bergantung versi, penyedia dan konfigurasi; artikel tidak menentukan status server individual.

Dua masalah dan versi perbaikan

CVE-2026-109618 terkait korupsi memori saat menangani kehabisan memori. CVE-2026-109619 menyangkut keadaan internal yang bertahan setelah memori dibebaskan lalu digunakan permintaan berikut pada pekerja sama. PHP Foundation menjelaskan penyebab dan perbaikan. Pembedaan mencegah anggapan satu resep konfigurasi universal. Tidak perlu mereproduksi serangan untuk memutuskan pembaruan; tidak tersedia uji eksploitasi layanan publik atau perintah sengaja merusak.

Rilis perbaikan 21 Oktober ialah 8.5.12,8.4.27,8.3.36 dan 8.2.35. Periksa pemberitahuan terbaru sebelum bertindak karena revisi lanjutan dapat muncul. Distribusi bisa melakukan backport tanpa angka dasar sama; Ubuntu mencantumkan paket dalamUSN-8948-1. Cocokkan paket dan pengumuman penyedia, bukan string interpreter saja. PHP 8.1 dan sebelumnya di luar dukungan proyek; perbaikan distributor tidak menghidupkan kembali dukungan upstream.

CVE-2026-109618 / CVE-2026-109619
PHP 8.2.35 | 8.3.36 | 8.4.27 | 8.5.12

Yang ditanyakan ke hosting dan diperiksa administrator

Pada hosting terkelola, minta konfirmasi keduaCVE, paket terpasang, layanan terdampak dan proses aktif memakai perbaikan. Sertakan domain, pool, kontainer serta produk berisi PHP, bukan hanya terminal utama. Versi command line belum tentu yang melayani web. Administrator perlu memakai kanal terdokumentasi dengan akses pemulihan dan cadangan sesuai. Jangan mengambil tambalan dari pesan atau repositori tidak terverifikasi.

Setelah pemasangan, perbarui proses menurut penyedia dan verifikasi paket berjalan. Uji fungsi penting serta catat waktunya. Memperbarui CMS saja atau mengosongkan cache bukan perbaikan runtime. Jika ada tanda intrusi, simpan bukti dan aktifkan respons insiden: patch tidak membatalkan perubahan penyerang. Ini pemeriksaan penyelesaian operasional, bukan diagnosis jarak jauh. Beranda kembali terbuka tetap membutuhkan konfirmasi teknis serta validasi fungsi.

Jika tidak bisa segera memperbarui dan batas WikiURL

PHP menegaskan hanya pembaruan menjadi solusi lengkap. Mitigasi sementara mengurangi jalur tertentu, tidak menjadikan instalasi aman. Jangan menyalin pengaturan memori atau sesi tanpa memahami akibatnya. ENISA mengutamakan sistem terekspos dan mempertimbangkan isolasi dari jaringan publik bila belum bisa diperbaiki. Koordinasikan akses administrasi aman dan pemberitahuan gangguan. AturanWAF atau aplikasi berfungsi tidak menggantikan patch atau menjamin perlindungan menyeluruh.

WikiURL memeriksa responsHTTP dan tujuan publik setelah pemeliharaan, bukan versiPHP nyata atau buktiCVE diperbaiki.200 dan gembokHTTPS bukan penilaian kerentanan. Jangan kirim rahasia atau terbitkanphpinfo sebagai bukti. Simpan konfirmasi penyedia, verifikasi proses dan tes layanan terpisah. Perlu pembaruan mendesak dan hasil teruji, tanpa tuduhan intrusi tanpa bukti atau rasa aman karena halaman terbuka. Artikel tidak mengesahkan status perbaikan instalasi tertentu.