Dua kerentanan pada inti PHP dapat berdampak pada website, data, dan operasional bisnis. Pahami apa yang perlu diperiksa, apa yang perlu diperbaiki, dan bagaimana menyusun respons bersama tim Anda.
Runtime memproses permintaan web dan menjalankan kode aplikasi. Perbaikan perlu menjangkau setiap runtime dan worker yang aktif.
Model sederhana · kondisi nyata berbeda menurut deployment.
Rujukan riset, dampak, dan panduan upgrade dari tim pengungkapan PHP2Shell.
PHP2Shell adalah nama untuk dua kerentanan pada runtime PHP yang dapat memungkinkan eksekusi kode jarak jauh (RCE) tanpa login. Dampaknya bergantung pada build, integrasi server, konfigurasi, dan alur aplikasi. Ini persoalan runtime, sehingga pembaruan plugin atau dependensi aplikasi saja tidak cukup.
Pembaruan WordPress, plugin, atau dependensi aplikasi tetap penting. Untuk PHP2Shell, runtime PHP di bawahnya juga harus diperbarui.
CVE-2026-109618: kegagalan memori dapat meninggalkan data internal tidak valid. RCE dikonfirmasi pada mod_php; analisis mendukung kerentanan FPM, tetapi advisory ini belum mendemonstrasikan eksploit FPM lengkap.
Sumber: PHP advisory ↗CVE-2026-109619: state permintaan dapat tertinggal di worker setelah memorinya dilepas. Eksploitasi memerlukan jalur penghasil dan pemakai state pada worker yang sama. Jalur FPM tervalidasi bergantung pada operasi aplikasi yang sesuai.
Sumber: PHP advisory ↗Pemilik website berbasis PHP, tim IT, penyedia hosting, dan agensi yang mengelola situs klien. WordPress, Drupal, Joomla, Laravel, dan aplikasi PHP kustom termasuk contoh ekosistem yang perlu diinventarisasi. Nama platform saja tidak menentukan apakah suatu instalasi dapat dieksploitasi.
Dampak bergantung pada konfigurasi, alur aplikasi, dan hak akses worker. Kerentanan bukan bukti bahwa organisasi telah mengalami kompromi.
Riset mendemonstrasikan pembacaan memori proses PHP. Rahasia atau data permintaan dapat terekspos tanpa harus mengeksekusi kode terlebih dahulu.
Sumber ↗Eksekusi kode sebagai akun worker dapat membuka akses ke file, aplikasi, atau kredensial yang diizinkan untuk akun tersebut. Hak akses menentukan luas dampaknya.
Sumber ↗Respons dapat memerlukan pembatasan akses, penggantian worker, atau pemulihan layanan. Rencanakan dampak pada transaksi, upload, integrasi, dan pekerjaan terjadwal bersama pemilik bisnis.
Rekomendasi operasionalMulai dari cakupan aset dan pemiliknya. Batasi paparan bila diperlukan, terapkan patch PHP, lalu verifikasi runtime aktif dan alur bisnis. Investigasi dapat berjalan paralel jika ada dugaan kompromi.
Inventaris aplikasi, runtime PHP, semua origin, dan pemilik layanan.
Kurangi paparan sistem kritis dan simpan bukti yang tersedia.
Koordinasikan patch vendor, uji kompatibilitas, dan ganti worker lama.
Tinjau aktivitas mencurigakan dan kebutuhan pemulihan bersih.
Periksa bukti tiap backend dan uji alur bisnis yang penting.
Tetapkan pemilik patch, dukungan versi, logging, dan cadangan.
Batas rilis upstream yang diperbaiki ditunjukkan di bawah. Paket distribusi dapat memiliki backport; cocokkan build lengkap dengan advisory vendor. Ganti worker lama dan periksa seluruh backend.
Sumber: PHP ↗| Cabang | Perbaikan minimum |
|---|---|
| PHP 8.2.x | 8.2.35 |
| PHP 8.3.x | 8.3.36 |
| PHP 8.4.x | 8.4.27 |
| PHP 8.5.x | 8.5.12 |
WAF, workaround konfigurasi, atau hasil scanner negatif tidak membuktikan origin sudah ditambal. Patch juga tidak menghapus persistence dari kompromi sebelumnya.
Panduan interaktif dan ruang kerja lokal tersedia untuk membantu menyusun tugas, pemilik, dan bukti.
Ceritakan situasi organisasi Anda kepada Samsu Sempena. Diskusikan cakupan PHP, koordinasi dengan hosting atau software house, dan langkah respons yang perlu diprioritaskan.
Cakupan bantuan dan langkah berikutnya disepakati setelah konteks awal ditinjau.
Tulis ringkasan awal, tinjau drafnya, lalu kirim melalui aplikasi email Anda. Isi inquiry tidak dikirim atau disimpan oleh halaman ini.
php2shell.com memberikan ringkasan riset dan dampaknya. Untuk keputusan patch, cocokkan advisory PHP dengan paket dan lingkungan vendor Anda. Tanggal publikasi ditampilkan jika tersedia.
Halaman edukasi ini tidak memindai atau memverifikasi infrastruktur Anda. Penilaian aktual memerlukan bukti dari pengelola sistem.