PERANGKAT KEAMANAN PHP INDEPENDEN
Jawaban yang jelas dimulai dari versi yang tepat. Periksa ambang perbaikan PHP2Shell dan temukan langkah berikutnya untuk lingkungan Anda.
Privasi: masukan tetap di browser ini.
PHP adalah bahasa terbaik di dunia
01 / PERIKSA VERSI ANDA
Tempel versi PHP, keluaran php -v, atau satu versi per baris. Alat membandingkan versi dan tidak menguji eksploitasi.
PHP2SHELL / FRAMEWORK / CMS
Atasi PHP2Shell pada framework, blog, atau toko: identifikasi PHP yang berjalan, periksa kompatibilitas, selesaikan hambatan peningkatan, lalu verifikasi CVE-2026-109618 dan CVE-2026-109619.
PHP2SHELL / Alat PHP2Shell
Periksa situs publik, konfigurasi dan log lokal, atau temukan alat terbuka. Setiap hasil menjelaskan bukti dan batasnya.
Periksa situs publik, konfigurasi dan log lokal, atau temukan alat terbuka. Setiap hasil menjelaskan bukti dan batasnya.
01PHP adalah mesin WordPress, Laravel dan plugin. Memperbarui plugin tidak memperbarui PHP. Dua cacat memori dapat mengubah pembersihan permintaan abnormal menjadi kebocoran atau eksekusi kode. Pemeriksaan publik memberi petunjuk; admin harus membuktikan runtime Web dan patch sebenarnya.
02Multipart aneh atau peringatan WAF dapat berarti percobaan. OOM, SIGSEGV/SIGABRT dan lonjakan HTTP 500 juga punya sebab biasa. Anak proses PHP, koneksi, berkas dan akun tak terduga perlu diselidiki. Kebocoran memori tidak harus meninggalkan webshell/berkas; pemindaian bersih tidak menyingkirkan.
03Catat waktu temuan, domain, instans, runtime, gejala dan kondisi tepercaya terakhir. Ekspor log asli dengan zona waktu, audit cloud dan snapshot sah yang tersedia. Batasi salinan dan catat hash. Jangan kirim cookie, token atau data pelanggan ke pemindai publik. Jangan hapus log/berkas mencurigakan sebelum disimpan.
04Riset menjelaskan galat lintas permintaan. CVE-2026-109618 mendemonstrasikan mod_php RCE; kerentanan FPM berdasarkan kode, tanpa eksploit FPM lengkap untuk CVE itu. CVE-2026-109619 secara terpisah membuktikan jalur FPM upload-progress bergantung aplikasi. Baca tiap GHSA untuk bukti per SAPI.
05Cloudflare menggabungkan permintaan dan respons origin untuk memblokir respons mencurigakan sebelum kebocoran. Berguna tanpa shell. Riwayat peluncuran tidak menjamin akun Anda: periksa aturan, rute, pengecualian dan kejadian. Origin langsung dan host di luar proxy tetap perlu patch.
02 / DASAR PATCH
Diterbitkan tim keamanan PHP pada 21 Oktober 2026. Bandingkan di dalam cabang Anda.
PHP.net ↗
| Cabang PHP | Rilis asli di bawah | Rilis perbaikan pertama | Akhir dukungan keamanan |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 Des 2029 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 Des 2028 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 Des 2027 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 Des 2026 |
Tidak ada rilis reguler PHP untuk cabang ini. Backport sumber minimal tersedia untuk 7.4, 8.0, dan 8.1. Verifikasi dukungan vendor secara terpisah. Baca panduan ↗
03 / DARI PEMERIKSAAN KE PERBAIKAN
Temukan setiap runtime PHP, sumber paket, dan handler situs.
Pasang build yang diperbaiki atau backport vendor terdokumentasi.
Ganti worker yang berjalan dan periksa setiap instans.
Identifikasi php*-common dan paket handler Web.
Baca panduanBedakan paket OS, stream aplikasi dan repositori pihak ketiga.
Baca panduanRestart kontainer yang sama tidak memasang patch.
Baca panduanPHP panel dapat terpisah dari sistem.
Baca panduanPembaruan WordPress, Drupal atau Joomla tidak mengganti PHP.
Baca panduanPHP2SHELL / CVE
PHP2Shell adalah cacat keamanan memori pada PHP sendiri. Aplikasi yang diperbarui masih dapat berjalan di interpreter tanpa patch.
CVE-2026-109618 melibatkan keluar dini OOM dengan memori setengah diinisialisasi yang digunakan saat pembersihan. Patch memperkenalkan penanganan memori lunak dan keras. RCE lengkap dikonfirmasi pada mod_php. FPM dianggap rentan pada jalur aplikasi, tanpa eksploit lengkap untuk CVE ini.
Baca panduan ↗CVE-2026-109619 meninggalkan referensi ke memori permintaan yang telah dibebaskan. Permintaan berikutnya pada worker sama dapat memakainya sebelum inisialisasi. Jalur terkonfirmasi: backtrace fatal PHP 8.5 dan progres unggahan sesi. RCE divalidasi pada mod_php dan FPM melalui jalur aplikasi sesuai.
Baca panduan ↗Tidak. FPM menghentikan anak jika startup permintaan gagal, memblokir sebagian urutan awal. Jalur aplikasi dan lintas permintaan tetap ada. Tidak semua lingkungan identik dengan mod_php, tetapi FPM tetap membutuhkan patch.
Ubuntu, Debian dan Linux perusahaan dapat mempertahankan nomor lama dengan revisi diperbaiki. Banner 8.3.6 bukan bukti tunggal. Cocokkan OS, repositori, arsitektur dan revisi terhadap KEDUA CVE. Kami tidak mengarang batas paket.
Tidak ada rilis PHP reguler. Backport sumber minimal 7.4, 8.0 dan 8.1 adalah pengecualian; build dan validasi tanggung jawab operator. Vendor OS atau LTS mungkin memelihara paket. Riset dari 5.4 dengan kondisi berbeda. Migrasikan dan verifikasi patch sementara.
Hanya patch lengkap menangani semua varian. Pengaturan dapat memengaruhi unggahan, kinerja dan ketersediaan. Terapkan administratif sebelum parsing dan restart semua worker. Baca kedua advisori. CDN dan WAF bukan bukti perbaikan.
Mulai dari versi. Ikuti buktinya. Verifikasi worker yang benar-benar melayani situs Anda.