Pertanyaan yang sering diajukan
Versi PHP mana yang terdampak?
Setiap versi sebelum 8.5.12, 8.4.27, 8.3.36 dan 8.2.35 pada cabang yang didukung. PHP 8.1 dan yang lebih lama sudah berakhir masa dukungannya dan tidak mendapat rilis dari proyek PHP; anggap terdampak kecuali vendor Anda mengonfirmasi adanya perbaikan backport.
Situs saya tidak menampilkan versi PHP. Apakah saya aman?
Belum tentu. Menyembunyikan versi (expose_php = Off) adalah praktik yang baik, tetapi tidak menambal apa pun. Periksa di server dengan php -v atau tanyakan ke penyedia Anda.
Pemeriksa menampilkan versi lama, tetapi hosting saya mengatakan sudah ditambal. Siapa yang benar?
Mungkin keduanya. Distribusi Linux seperti Debian, Ubuntu, dan RHEL sering mem-backport perbaikan keamanan tanpa mengubah nomor versi. Tanyakan ke hosting Anda build paket mana yang terpasang dan apakah changelog-nya menyebutkan CVE-2026-109618 dan CVE-2026-109619.
Apakah WordPress, Laravel, atau CMS saya terdampak?
Celahnya ada di PHP itu sendiri, sehingga setiap aplikasi yang berjalan di PHP yang terdampak ikut terekspos. Para peneliti mendemonstrasikan serangan tanpa autentikasi terhadap WordPress, Drupal, dan Joomla, tetapi itu hanya contoh — bahkan halaman “Hello World” biasa pun sudah cukup. Memperbarui WordPress atau plugin tidak memperbaikinya; PHP harus diperbarui.
Bisakah data bocor meskipun tidak ada kode yang dieksekusi?
Ya. CVE-2026-109619 dapat membocorkan memori proses PHP — kata sandi, token sesi, API key, dan sertifikat dari permintaan lain — tanpa penyerang menjalankan kode. Kebocoran seperti ini tidak meninggalkan file dan sulit dideteksi, jadi ganti rahasia setiap situs yang menjalankan versi terdampak di internet.
Apakah menonaktifkan session.upload_progress memperbaikinya?
Tidak. php.net mencantumkan session.upload_progress.enabled=0 sebagai mitigasi parsial untuk beberapa jalur CVE-2026-109619 yang sudah dikonfirmasi. Ini tidak mencakup semua varian dan tidak berpengaruh apa pun terhadap CVE-2026-109618.
Apakah web application firewall sudah cukup?
WAF atau pembatasan permintaan dapat mengurangi paparan selama Anda memperbarui, tetapi masalahnya ada pada cara PHP menangani permintaan dan memori. Pembaruan tetap diperlukan.
Apakah saya perlu me-restart sesuatu setelah memperbarui?
Ya. PHP-FPM, Apache, LiteSpeed, dan worker yang berjalan lama tetap menjalankan kode lama sampai di-restart. Container harus dibuat ulang dari image baru.
Apa sebenarnya yang dilakukan pemeriksa ini?
Pemeriksa mengirim satu permintaan HEAD (atau GET jika HEAD tidak diizinkan) ke alamat yang Anda masukkan, mengikuti hingga tiga pengalihan, dan membaca header respons seperti X-Powered-By dan Server. Pemeriksa tidak pernah mengirim payload eksploit, permintaan besar, atau upload, dan tidak memindai path lain.
Apakah legal memeriksa situs web mana pun?
Hanya periksa situs milik Anda atau yang Anda berwenang untuk menilainya. Permintaannya sama dengan kunjungan biasa, tetapi penggunaan yang bertanggung jawab adalah tanggung jawab Anda. Kami membatasi pemeriksaan per jaringan dan per situs.
Apakah PHP 8.5.12 sudah diperbaiki sepenuhnya?
Laporan tentang crash di 8.5.12 beredar pada 22 Oktober 2026, tetapi tidak dikonfirmasi sebagai kerentanan jarak jauh. Kami mengikuti php.net; jika ada rilis baru, situs ini akan diperbarui dan tanggal “terakhir diverifikasi” akan berubah.
Di mana saya dapat membaca detail resminya?
Di php.net dan dalam advisori GitHub proyek PHP GHSA-w8hw-w9fx-j79w serta GHSA-6wmf-4rv5-p3rp. Tim peneliti (Wiz Research, OpenAI Codex Security, dan Calif) menerbitkan temuannya di php2shell.com.
Siapa yang menemukan kerentanan ini?
Peneliti dari Wiz Research, OpenAI Codex Security, dan Calif, melalui pengungkapan terkoordinasi dengan tim keamanan PHP yang menyiapkan perbaikannya. Lihat tulisan The PHP Foundation tentang rilis ini.