JawabanDipublikasikan23 sumber
PHP2Shell: Dua Celah Kritis PHP dan Versi Perbaikan yang Perlu Dipasang
PHP2Shell adalah sebutan untuk dua celah kritis di PHP, CVE 2026 109618 dan CVE 2026 109619. Perbaikan tersedia untuk PHP 8.2.35, 8.3.36, 8.4.27, dan 8.5.12.
Diterbitkan olehDiedit dengan GPT-6 LunaGambar dibuat dengan GPT Image 2
Jawaban penelitian
Poin-poin penting
- PHP2Shell adalah sebutan untuk dua celah kritis di PHP, CVE 2026 109618 dan CVE 2026 109619.
- Perbaikan tersedia untuk PHP 8.2.35, 8.3.36, 8.4.27, dan 8.5.12. Laporan menyebut rentang terdampak dimulai dari PHP 5.4; pengguna cabang lama perlu mengikuti panduan vendor masing masing.
AI Perintah
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, why are both rated 9.2 out of 10, how do they enable unauthentic. Article summary: PHP2Shell is the collective name for two critical PHP flaws, CVE-2026-109618 and CVE-2026-109619, reported to permit unauthenticated remote code execution; emergency fixes were released on October 21, 2026. [3][5] The av. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell adalah nama untuk dua celah kritis pada inti PHP: CVE-2026-109618 dan CVE-2026-109619. Keduanya mendapat skor 9,2—Kritis—berdasarkan CVSS v4.0 dan dapat memungkinkan penyerang menjalankan kode di server yang rentan tanpa perlu login. Tim PHP merilis pembaruan darurat pada 21 Oktober 2026. 
Bagi pengelola sistem, langkah utama adalah memperbarui PHP. Laporan tentang percobaan eksploitasi—termasuk temuan di honeypot Amazon sebelum pengungkapan publik—menjadi alasan untuk bergerak cepat. Namun, laporan percobaan bukan bukti bahwa sistem produksi telah berhasil dibobol. 36
Apa yang dilakukan dua celah PHP2Shell?
Kedua celah memiliki mekanisme yang berbeda menurut laporan:
- CVE-2026-109618 berkaitan dengan penanganan kondisi kehabisan memori (out-of-memory/OOM). Saat kondisi ini terjadi, PHP dapat menghentikan pemrosesan ketika data internal permintaan baru terbentuk sebagian. Dalam proses pembersihan, PHP kemudian dapat memperlakukan data tidak valid seolah-olah valid.
58
- CVE-2026-109619 berkaitan dengan status internal yang tertinggal. Laporan menyebut status terkait permintaan dapat tetap digunakan setelah memori yang menopangnya dibebaskan. Kondisi ini dikenal sebagai use-after-free.
9
Celah ini menyangkut cara PHP menangani permintaan HTTP yang dirancang khusus, termasuk data formulir multipart/form-data yang lazim dipakai saat mengunggah berkas. 1
Mengapa skornya 9,2—dan apa yang tidak dijelaskan skor itu?
Kedua celah dilaporkan mendapat skor 9,2 dari 10, Kritis, menurut CVSS v4.0. Risiko eksekusi kode dari jarak jauh tanpa autentikasi menjadi alasan utama tingkat keparahannya: penyerang tidak perlu masuk ke akun terlebih dahulu untuk mencoba menjalankan kode pada server yang terdampak.
Materi sumber yang tersedia tidak memuat vektor CVSS lengkap. Karena itu, informasi tersebut belum cukup untuk menguraikan secara persis bagaimana setiap faktor menghasilkan skor 9,2. Skor ini menggambarkan tingkat keparahan, bukan seberapa besar kemungkinan server tertentu diserang atau apakah percobaan yang terdeteksi berhasil.
Versi yang terdampak dan pembaruan yang perlu dipasang
Laporan menyebut rentang versi terdampak dimulai dari PHP 5.4. 55 Untuk cabang PHP 8.x, versi perbaikan darurat yang tercantum adalah:
| Cabang PHP | Versi yang sudah diperbaiki |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Versi-versi tersebut dirilis pada 21 Oktober 2026. Tingkatkan ke versi perbaikan untuk cabang yang digunakan, atau ke versi yang lebih baru dalam cabang tersebut.
Daftar ini mencakup cabang 8.2 hingga 8.5. Jika sistem masih memakai cabang yang lebih lama atau sudah tidak didukung, periksa ketersediaan perbaikan dan panduan peningkatan dari distributor PHP atau vendor sistem operasi. Jangan berasumsi salah satu versi dalam tabel langsung berlaku untuk cabang lama.
Pengungkapan dan eksploitasi: percobaan bukan berarti kebocoran berhasil
Informasi tentang celah ini muncul ke publik pada 20 Oktober, lebih awal dari jadwal pengungkapan yang direncanakan pada 22 Oktober. PHP merilis perbaikan darurat sehari setelahnya, pada 21 Oktober. 8
42 Sumber yang tersedia mendukung urutan pengungkapan awal dan percepatan rilis ini, tetapi tidak memastikan bahwa video demonstrasi Calif yang terbit secara tidak sengaja menjadi pemicunya.
Amazon Threat Intelligence melaporkan menemukan percobaan eksploitasi PHP2Shell dalam telemetri honeypot MadPot bertanggal 17 Oktober—empat hari sebelum pengungkapan publik. Amazon juga melaporkan menemukan sejumlah eksploitasi proof of concept sekitar waktu pembaruan dirilis pada 21 Oktober. Telemetri honeypot menunjukkan aktivitas yang menyasar sistem umpan, bukan kompromi yang terkonfirmasi pada organisasi sungguhan.
Cloudflare mengatakan telah menerapkan perlindungan saat pengungkapan berlangsung. Laporan pada periode yang sama juga menyebut penyedia keamanan melihat lalu lintas serangan atau percobaan eksploitasi. 55
35 Namun, laporan tentang skala dan keberhasilan eksploitasi tidak seragam: sebagian vendor menyatakan ada eksploitasi aktif atau berskala luas, sementara laporan lain mencatat lembaga pemerintah belum mengonfirmasi serangan yang berhasil.
33
36
Bukti yang ada cukup untuk membuat percobaan eksploitasi perlu ditanggapi serius. Namun, bukti tersebut tidak membenarkan anggapan bahwa setiap percobaan berhasil atau serangan sudah meluas. Saat menilai paparan risiko dan laporan insiden, bedakan dengan jelas antara percobaan, eksploitasi yang berhasil, dan kompromi sistem produksi yang terkonfirmasi.
Yang perlu dilakukan sambil menunggu proses pembaruan
Pasang versi PHP yang sudah diperbaiki sebagai langkah utama. AWS menyatakan bahwa peningkatan versi adalah satu-satunya perbaikan menyeluruh. Jika pembaruan belum bisa dilakukan segera, langkah sementara untuk mengurangi paparan dapat mencakup pemblokiran unggahan berkas multipart. Langkah ini bukan pengganti pembaruan.
Pusat Keamanan Siber Kanada menerbitkan peringatan kritis yang menjelaskan celah tersebut dan risiko eksekusi kode tanpa autentikasi. 2 Sumber yang tersedia juga melaporkan rekomendasi NSA agar sistem yang belum dapat diperbarui segera diputus dari jaringan.
27 Ikuti pula peringatan vendor dan otoritas yang berlaku untuk lingkungan Anda, terutama jika PHP disertakan dalam suatu produk atau dikelola penyedia hosting.
Intinya: inventarisasi server dan layanan yang menjalankan PHP, pasang perbaikan yang sesuai, lalu tinjau peringatan keamanan dengan cermat. PHP2Shell perlu ditangani segera, tetapi percobaan serangan, eksploitasi yang berhasil, dan pembobolan sistem produksi adalah tiga hal yang berbeda.
Studio Global AI
Lanjutkan penelitian Anda
Halaman ini berisi jawaban yang didukung sumber yang dapat Anda lanjutkan di dalam Studio Global.
Orang-orang juga bertanya
Apa jawaban singkat untuk "PHP2Shell: Dua Celah Kritis PHP dan Versi Perbaikan yang Perlu Dipasang"?
PHP2Shell adalah sebutan untuk dua celah kritis di PHP, CVE 2026 109618 dan CVE 2026 109619.
Apa poin penting yang harus divalidasi terlebih dahulu?
PHP2Shell adalah sebutan untuk dua celah kritis di PHP, CVE 2026 109618 dan CVE 2026 109619. Perbaikan tersedia untuk PHP 8.2.35, 8.3.36, 8.4.27, dan 8.5.12. Laporan menyebut rentang terdampak dimulai dari PHP 5.4; pengguna cabang lama perlu mengikuti panduan vendor masing masing.