Saya rangkum dari advisory PHP dan beberapa laporan riset keamanan. Apa itu PHP2Shell? Dua kerentanan di inti PHP yang memungkinkan Remote Code Execution tanpa login. Artinya penyerang bisa menjalankan perintah di server dengan hak akses pr… (lanjut)

Menurut saya ada lima hal dasar yang perlu dimiliki: Inventaris aset. Daftar semua server dan aplikasi beserta versi OS, PHP, framework, penanggung jawab, dan apakah terbuka ke internet. Tanpa ini, kita tidak tahu apa yang harus ditambal. S… (lanjut)

Cek versi yang dipakai web, bukan hanya CLI. php -v di terminal bisa berbeda dengan versi PHP-FPM yang melayani website. Cek juga php-fpm8.x -v atau buat sementara file berisi <?php echo PHP_VERSION;, buka di browser, lalu segera hapus file… (lanjut)

Kebiasaan yang baik: verifikasi dulu, lalu bertindak cepat. Untuk PHP2Shell, peringatannya benar, tetapi sarannya kurang tepat ("8.2 ke atas" seharusnya "versi patch terbaru"). Cara memverifikasi: Cari nomor CVE-nya di sumber primer: situs … (lanjut)

Ini dilema klasik: risiko downtime vs risiko diretas. Pilihan realistisnya bertahap: Cek backport dari distro. Bila PHP berasal dari paket resmi distro yang masih didukung (misalnya Ubuntu/Debian/RHEL versi LTS), pantau apakah mereka merili… (lanjut)

PHP menerbitkan workaround, tetapi ingat: ini hanya menutup sebagian jalur serangan. Satu-satunya solusi lengkap tetap update. CVE-2026-109619: set session.upload_progress.enabled=0 di php.ini, lalu restart semua worker. Ini hanya memblokir… (lanjut)