Kebiasaan yang baik: verifikasi dulu, lalu bertindak cepat. Untuk PHP2Shell, peringatannya benar, tetapi sarannya kurang tepat ("8.2 ke atas" seharusnya "versi patch terbaru").
Cara memverifikasi:
- Cari nomor CVE-nya di sumber primer: situs resmi proyek (php.net, GitHub Security Advisories), database CVE/NVD, dan katalog CISA KEV.
- Cocokkan dengan media keamanan tepercaya seperti BleepingComputer, SecurityWeek, Help Net Security, atau blog riset vendor keamanan.
- Perhatikan detail teknis: versi terdampak, versi perbaikan, dan mitigasi resmi. Peringatan tanpa detail ini perlu dicurigai.
- Waspadai sumber yang saling bertentangan. Pada kasus ini laporan soal eksploitasi aktif berbeda-beda, dan salah satu write-up yang bocor ternyata keliru secara teknis. Jadikan advisory resmi PHP sebagai acuan.
- Jangan unduh "tool pengecek" atau "patch" dari tautan tak dikenal. Momen panik seperti ini sering dimanfaatkan untuk menyebarkan malware.
Saat meneruskan peringatan, sertakan sumber dan versi perbaikan yang tepat supaya tidak menambah kebingungan.
