<?php Pemeriksaan keamanan PHP independen
Apakah PHP Anda terdampak PHP2Shell?
Dua celah kritis di dalam PHP itu sendiri memungkinkan eksekusi kode jarak jauh. Keduanya diperbaiki pada 21 Oktober 2026. Periksa apa yang diungkapkan sebuah situs tentang versi PHP-nya, atau tempelkan string versi — lalu lihat persis apa yang perlu dilakukan.
- Pasif: satu permintaan biasa, tanpa eksploit
- Gratis, tanpa daftar, tanpa iklan
- Berdasarkan php.net dan advisori resmi
2Periksa versi
Dievaluasi di browser Anda — tidak ada yang dikirim ke kami. Satu versi per baris, maksimal 20.
01 · php.net · 2026-10-23
Versi yang sudah diperbaiki
| Cabang | Diperbaiki di | Status cabang |
|---|---|---|
| PHP 8.5 | 8.5.12 | Didukung aktif |
| PHP 8.4 | 8.4.27 | Didukung aktif |
| PHP 8.3 | 8.3.36 | Hanya perbaikan keamanan |
| PHP 8.2 | 8.2.35 | Hanya perbaikan keamanan — akhir masa dukungan pada 31 Des 2026 |
| PHP 8.1 · 8.0 · 7.x · 5.x | Tidak ada rilis resmi | Akhir masa dukungan — tidak ada rilis dari proyek PHP |
Sumber: peringatan keamanan php.net, 21 Oktober 2026. Terakhir diverifikasi 2026-10-23.
Apa itu PHP2Shell?
PHP2Shell adalah nama yang diberikan para peneliti untuk dua kerentanan di mesin PHP: CVE-2026-109618 (kerusakan memori ketika PHP kehabisan memori saat mengurai permintaan) dan CVE-2026-109619 (status internal yang tetap tersisa dari satu permintaan ke permintaan berikutnya pada worker yang sama). Keduanya bernilai CVSS v4.0 9.2.
Penyerang tanpa autentikasi dapat mengeksekusi kode di server atau membaca memori proses PHP — termasuk kata sandi, token sesi, API key, dan sertifikat milik permintaan lain — tanpa menjalankan kode sama sekali. Menurut php.net, kerentanan ini memengaruhi PHP yang melayani permintaan web: PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Para peneliti mendemonstrasikan serangan terhadap WordPress, Drupal, dan Joomla, tetapi tidak diperlukan aplikasi tertentu: bahkan halaman “Hello World” sederhana pada PHP yang terdampak pun terekspos.
Yang perlu dilakukan sekarang
- Perbarui ke 8.5.12, 8.4.27, 8.3.36 atau 8.2.35 — atau paket distribusi Anda yang sudah ditambal.
- Restart setiap proses PHP: PHP-FPM, Apache, queue worker, container. Pembaruan belum aktif sebelum itu.
- Periksa setiap PHP di server — panel sering memasang beberapa versi secara berdampingan.
02 · shell
Periksa langsung di server
Pemeriksaan situs web hanya melihat apa yang dipilih server untuk ditampilkan. Di server, perintah berikut memberikan jawaban yang sebenarnya:
# versi PHP default
php -v
# versi PHP lain yang dipasang oleh panel atau paket
ls -d /usr/bin/php* /usr/sbin/php-fpm* /opt/alt/php*/usr/bin/php /opt/cpanel/ea-php*/root/usr/bin/php /opt/plesk/php/*/bin/php 2>/dev/null
# pengaturan terkait mitigasi parsial
php -i | grep -E 'session.upload_progress.enabled|post_max_size|memory_limit|fatal_error_backtraces'
# apa yang ditampilkan situs Anda kepada pengunjung
curl -sI https://situs-anda.com/ | grep -i -E '^(x-powered-by|server):'03 · FAQ
Pertanyaan umum
Versi PHP mana yang terdampak?
Setiap versi sebelum 8.5.12, 8.4.27, 8.3.36 dan 8.2.35 pada cabang yang didukung. PHP 8.1 dan yang lebih lama sudah berakhir masa dukungannya dan tidak mendapat rilis dari proyek PHP; anggap terdampak kecuali vendor Anda mengonfirmasi adanya perbaikan backport.
Situs saya tidak menampilkan versi PHP. Apakah saya aman?
Belum tentu. Menyembunyikan versi (expose_php = Off) adalah praktik yang baik, tetapi tidak menambal apa pun. Periksa di server dengan php -v atau tanyakan ke penyedia Anda.
Pemeriksa menampilkan versi lama, tetapi hosting saya mengatakan sudah ditambal. Siapa yang benar?
Mungkin keduanya. Distribusi Linux seperti Debian, Ubuntu, dan RHEL sering mem-backport perbaikan keamanan tanpa mengubah nomor versi. Tanyakan ke hosting Anda build paket mana yang terpasang dan apakah changelog-nya menyebutkan CVE-2026-109618 dan CVE-2026-109619.
Apakah WordPress, Laravel, atau CMS saya terdampak?
Celahnya ada di PHP itu sendiri, sehingga setiap aplikasi yang berjalan di PHP yang terdampak ikut terekspos. Para peneliti mendemonstrasikan serangan tanpa autentikasi terhadap WordPress, Drupal, dan Joomla, tetapi itu hanya contoh — bahkan halaman “Hello World” biasa pun sudah cukup. Memperbarui WordPress atau plugin tidak memperbaikinya; PHP harus diperbarui.
Bisakah data bocor meskipun tidak ada kode yang dieksekusi?
Ya. CVE-2026-109619 dapat membocorkan memori proses PHP — kata sandi, token sesi, API key, dan sertifikat dari permintaan lain — tanpa penyerang menjalankan kode. Kebocoran seperti ini tidak meninggalkan file dan sulit dideteksi, jadi ganti rahasia setiap situs yang menjalankan versi terdampak di internet.