Keamanan · 24 Oktober 2026
PHP Rilis Patch untuk Vulnerabilitas PHP2Shell
PHP telah merilis patch untuk menutup celah keamanan kritis yang dikenal sebagai PHP2Shell. Patch ini mencakup versi 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. Celah ini memungkinkan eksekusi kode jarak jauh tanpa memerlukan login, dan berpotensi mempengaruhi hampir semua penggunaan PHP, dengan risiko tertinggi terjadi pada konfigurasi Apache + mod_php.
Celah keamanan ini dibagi menjadi dua entri, yaitu CVE-2026-109618 dan CVE-2026-109619. CVE-2026-109618 memanfaatkan kondisi kehabisan memori, di mana PHP dapat menginterpretasikan data yang rusak sebagai data yang valid, sehingga memungkinkan eksekusi kode. Sementara itu, CVE-2026-109619 berkaitan dengan pembacaan nilai internal di PHP, di mana setelah PHP mengembalikan memori, ia dapat meminta untuk membaca kembali data tersebut.
Bagi pengguna yang belum melakukan upgrade, disarankan untuk mengatur memory_limit menjadi -1, agar PHP dapat mengakses lebih banyak memori. Selain itu, pengaturan post_max_size juga disarankan untuk ditetapkan rendah, antara 8-32MB, serta mengatur session.upload_progress.enabled menjadi 0 dan fatal_error_backtraces menjadi 0. Pengguna juga diminta untuk merestart semua PHP worker setelah melakukan perubahan tersebut.
Linux telah mendapatkan patch lebih awal, dan pembaruan untuk Docker diharapkan akan segera dirilis.