Apa itu PHP2Shell?
PHP2Shell mencakup CVE-2026-109618 dan CVE-2026-109619, cacat memori PHP dengan CVSS v4.0 9,2. Eksekusi kode tanpa autentikasi dan kebocoran memori telah didemonstrasikan. Perbaikan dirilis 21 Oktober 2026. Masalahnya pada interpreter, bukan hanya satu CMS.
Instalasi mana yang diperiksa?
Perbarui semua instalasi Web: FPM, mod_php, php-cgi, FrankenPHP dan LiteSpeed. WordPress, Drupal, Joomla, MediaWiki, Laravel dan aplikasi sendiri mewarisi risiko. Sertakan panel, perangkat, pengujian dan kontainer. Pembaruan aplikasi tidak mengganti PHP.
Apakah FPM dikecualikan?
Tidak. FPM menghentikan anak jika startup permintaan gagal, memblokir sebagian urutan awal. Jalur aplikasi dan lintas permintaan tetap ada. Tidak semua lingkungan identik dengan mod_php, tetapi FPM tetap membutuhkan patch.
PHP 8.1 dan sebelumnya
Tidak ada rilis PHP reguler. Backport sumber minimal 7.4, 8.0 dan 8.1 adalah pengecualian; build dan validasi tanggung jawab operator. Vendor OS atau LTS mungkin memelihara paket. Riset dari 5.4 dengan kondisi berbeda. Migrasikan dan verifikasi patch sementara.
PHP2Shell dengan bahasa sederhana
PHP adalah mesin WordPress, Laravel dan plugin. Memperbarui plugin tidak memperbarui PHP. Dua cacat memori dapat mengubah pembersihan permintaan abnormal menjadi kebocoran atau eksekusi kode. Pemeriksaan publik memberi petunjuk; admin harus membuktikan runtime Web dan patch sebenarnya.
Alat PHP2Shell →Bukti menurut runtime PHP
| Runtime | CVE-2026-109618 ↗ | CVE-2026-109619 ↗ |
|---|---|---|
| Apache mod_php | RCE didemonstrasikan | RCE didemonstrasikan |
| PHP-FPM | Risiko bergantung aplikasi; exploit FPM lengkap untuk CVE ini belum didemonstrasikan | RCE didemonstrasikan melalui jalur aplikasi yang sesuai |
Perbarui juga php-cgi, FrankenPHP, dan LiteSpeed. PHP menyarankan semua instalasi Web diperbarui. Tabel membedakan jalur demonstrasi dari paparan umum.