Apa itu PHP2Shell?
PHP2Shell mencakup CVE-2026-109618 dan CVE-2026-109619, cacat memori PHP dengan CVSS v4.0 9,2. Eksekusi kode tanpa autentikasi dan kebocoran memori telah didemonstrasikan. Perbaikan dirilis 21 Oktober 2026. Masalahnya pada interpreter, bukan hanya satu CMS.
Instalasi mana yang diperiksa?
Perbarui semua instalasi Web: FPM, mod_php, php-cgi, FrankenPHP dan LiteSpeed. WordPress, Drupal, Joomla, MediaWiki, Laravel dan aplikasi sendiri mewarisi risiko. Sertakan panel, perangkat, pengujian dan kontainer. Pembaruan aplikasi tidak mengganti PHP.
Apakah FPM dikecualikan?
Tidak. FPM menghentikan anak jika startup permintaan gagal, memblokir sebagian urutan awal. Jalur aplikasi dan lintas permintaan tetap ada. Tidak semua lingkungan identik dengan mod_php, tetapi FPM tetap membutuhkan patch.
Backport distribusi
Ubuntu, Debian dan Linux perusahaan dapat mempertahankan nomor lama dengan revisi diperbaiki. Banner 8.3.6 bukan bukti tunggal. Cocokkan OS, repositori, arsitektur dan revisi terhadap KEDUA CVE. Kami tidak mengarang batas paket.
PHP 8.1 dan sebelumnya
Tidak ada rilis PHP reguler. Backport sumber minimal 7.4, 8.0 dan 8.1 adalah pengecualian; build dan validasi tanggung jawab operator. Vendor OS atau LTS mungkin memelihara paket. Riset dari 5.4 dengan kondisi berbeda. Migrasikan dan verifikasi patch sementara.
Mitigasi sementara tidak lengkap
Hanya patch lengkap menangani semua varian. Pengaturan dapat memengaruhi unggahan, kinerja dan ketersediaan. Terapkan administratif sebelum parsing dan restart semua worker. Baca kedua advisori. CDN dan WAF bukan bukti perbaikan.
Patch tidak meniadakan kompromi
Perbandingan tidak mendeteksi eksploitasi masa lalu. Simpan log dan image, selidiki crash, file, proses dan koneksi keluar. Tidak ada galat bukan berarti aman. Jika dicurigai, isolasi lalu rotasi rahasia dari lingkungan tepercaya setelah insiden dibatasi.
Metode penilaian
Pemeriksaan manual membandingkan versi stabil lengkap dari empat cabang yang diterbitkan. Paket vendor memerlukan bukti kedua CVE; build tak diketahui tetap tak diketahui. Pemeriksaan publik mengumpulkan versi dan petunjuk, bukan bukti eksploitasi. Header tersembunyi, CDN atau satu replika terbarui tidak membuktikan semua runtime aman. Tanggal menunjukkan tinjauan editorial.
Pemindai gratis membuktikan peretasan?
Tidak secara pasti. Header/pola memberi petunjuk tanpa runtime lengkap, riwayat hilang atau kebocoran memori. Inventarisasi, simpan dan hubungkan. Jika akun, proses atau kebocoran tak terjelaskan, isolasi lalu libatkan hosting atau tim insiden.
Percobaan atau penyusupan berhasil? →