PHP2Shell adalah dua kerentanan kritis di inti PHP (CVE-2026-109618 dan CVE-2026-109619, CVSS 9.2) yang memungkinkan penyerang tanpa autentikasi menjalankan kode atau membaca memori proses. Karena celahnya ada di PHP, bukan di aplikasi, situs dengan kode yang aman pun tetap bisa terdampak.
Dampak
- Eksekusi kode tanpa autentikasi, didemonstrasikan peneliti pada WordPress, Drupal, dan Joomla.
- Kebocoran memori (password, token, API key, sertifikat) tanpa perlu eksekusi kode, sehingga lebih sulit terdeteksi.
- Versi terdampak sampai PHP 5.4, dan PHP dipakai sekitar 70% situs web.
Versi perbaikan
| Cabang PHP | Rentan | Sudah diperbaiki di |
|---|---|---|
| 8.2 | di bawah 8.2.35 | 8.2.35 |
| 8.3 | di bawah 8.3.36 | 8.3.36 |
| 8.4 | di bawah 8.4.27 | 8.4.27 |
| 8.5 | di bawah 8.5.12 | 8.5.12 |
Upgrade PHP adalah satu-satunya perbaikan menyeluruh. Update aplikasi tidak mengganti runtime di bawahnya, dan Apache/PHP-FPM harus di-restart setelah upgrade.
Jika belum bisa upgrade
Mitigasi sementara hanya mengurangi sebagian jalur serangan: memory_limit = -1 disertai batas cgroup v2 memory.max, matikan tampilan error PHP, dan jangan memakai RLIMIT_AS atau RLIMIT_DATA sebagai pengganti. Aturan WAF/CDN hanya lapisan tambahan.
