Saya rangkum dari advisory PHP dan beberapa laporan riset keamanan.
Apa itu PHP2Shell? Dua kerentanan di inti PHP yang memungkinkan Remote Code Execution tanpa login. Artinya penyerang bisa menjalankan perintah di server dengan hak akses proses web worker. Salah satunya juga bisa membocorkan isi memori proses PHP yang mungkin berisi session, token, atau kredensial. PHP memberi skor CVSS v4.0 9.2 (Critical) untuk keduanya.
- CVE-2026-109618: bug saat out-of-memory. Ketika request selesai (shutdown), state yang baru setengah terinisialisasi dianggap valid.
- CVE-2026-109619: bug stale global state. PHP menyimpan state milik sebuah request setelah memorinya dibebaskan, lalu request berikutnya di worker yang sama memakai state basi itu.
Siapa yang terdampak? Semua instalasi PHP yang melayani request web: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, dan LiteSpeed.
Koreksi untuk pesan berantai: "upgrade ke PHP 8.2 ke atas" belum cukup. Yang aman hanya versi patch yang rilis 21 Oktober 2026:
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
PHP 8.2.20, misalnya, tetap rentan. PHP 8.1 ke bawah sudah EOL dan tidak mendapat patch resmi dari PHP. Penggunanya bergantung pada backport dari distro (Ubuntu, Debian, RHEL) atau vendor LTS pihak ketiga, atau harus migrasi.
Detail teknisnya sudah bocor sebelum patch rilis. Cloudflare, watchTowr, dan Hadrian melaporkan sudah melihat percobaan serangan, walaupun CISA dalam peringatan 21 Oktober belum mengamati eksploitasi. Lebih aman berasumsi serangan massal tinggal menunggu waktu.
