Dua kerentanan kritis di PHP, dilacak sebagai CVE-2026-109618 dan CVE-2026-109619 serta dikenal luas sebagai PHP2Shell, sudah di-patch pada 21 Oktober 2026. Keduanya punya skor CVSS v4.0 9.2. Detail penting: celahnya ada di inti PHP, bukan di plugin WordPress, middleware Laravel, atau kode aplikasi.
Artinya aplikasi yang bersih tetap bisa terpapar jika runtime PHP-nya belum di-update. Di beberapa setup, terutama Apache dengan mod_php, request yang dirancang khusus bisa memicu masalah sebelum kode aplikasi sempat jalan.
Apa yang dilakukan bug ini
Satu kerentanan terkait korupsi memori saat PHP kehabisan memori di tengah penanganan request. Yang lain terkait state internal yang bisa tertinggal antar request di worker yang sama. Peneliti sudah menunjukkan jalur remote code execution, dan laporan upaya eksploitasi muncul setelah detail bocor sebelum rilis terkoordinasi.
Lingkungan yang terdampak mencakup PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Risiko digambarkan paling tinggi pada mod_php.
Versi yang sudah diperbaiki
Rilis resmi yang aman:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
PHP 8.1 ke bawah sudah end-of-life. Ada source backport terbatas untuk 7.4, 8.0, dan 8.1, tapi langkah jangka panjang yang lebih jelas adalah pindah ke branch yang masih didukung. Distribusi dan vendor LTS juga sudah merilis paket — cek provider kamu.
Yang perlu dilakukan operator
Update runtime PHP ke versi yang sudah diperbaiki, lalu restart service terkait. Itu satu-satunya perbaikan lengkap. Perubahan konfigurasi sementara (seperti menonaktifkan session.upload_progress) bisa mengurangi paparan, tapi tidak menggantikan patch.
Tim yang mengelola infrastruktur untuk banyak aplikasi — termasuk colocation dan lingkungan managed — biasanya memprioritaskan patch runtime dan platform dengan cepat. Fasilitas yang dirancang untuk keandalan tinggi dan proses operasional yang jelas membuat roll-out update mendesak lebih mudah tanpa jendela downtime yang panjang.
Kalau kamu mengelola sistem berbasis PHP, anggap ini isu di tingkat fondasi. Lapisan aplikasi tidak bisa melindungi sepenuhnya sampai runtime-nya sendiri sudah mutakhir.
