Logo resmi PHP sebagai ilustrasi berita pembaruan keamanan runtime PHP.
Logo resmi PHP oleh Colin Viebrock melalui Wikimedia Commons. Berkas dinyatakan berada di domain publik pada halaman sumber.

Versi perbaikan dirilis pada 21 Oktober

PHP Project merilis pembaruan keamanan pada 21 Oktober 2026 untuk dua kerentanan yang dikenal sebagai PHP2Shell, yaitu CVE-2026-109618 dan CVE-2026-109619. Versi perbaikan resmi untuk cabang PHP 8 adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Angka ini berasal dari pengumuman PHP Foundation dan advisori CISA, bukan perkiraan dari nomor versi berikutnya. [PHP Foundation] [CISA]

Cabang rentan dan batas dukungan

Menurut Google Cloud yang mengutip status PHP, kerentanan ini menjangkau cabang PHP sejak 5.4. Batas versi rentan perlu dibaca terpisah untuk setiap cabang. Cabang 8.2, 8.3, 8.4, dan 8.5 memiliki rilis perbaikan resmi seperti daftar di atas. PHP 8.1 dan versi lebih lama sudah berada di luar dukungan upstream. PHP Foundation menyediakan source backport terbatas untuk PHP 7.4, 8.0, dan 8.1, tetapi itu bukan pengganti otomatis untuk paket biner dari distribusi atau vendor dukungan jangka panjang. [Google Cloud]

The Hacker News merangkum batas versi dengan jelas: cabang 8.5 di bawah 8.5.12, 8.4 di bawah 8.4.27, 8.3 di bawah 8.3.36, dan 8.2 di bawah 8.2.35 masih memerlukan pembaruan. Untuk versi lama, paket distribusi atau vendor LTS dapat membawa backport dengan nomor versi yang tetap terlihat tua. Karena itu, pengelola sebaiknya memeriksa catatan paket yang mencantumkan CVE, bukan hanya membandingkan string versi. [The Hacker News]

Jangan hanya memperbarui CMS

BleepingComputer menekankan bahwa PHP2Shell berada di runtime. Memperbarui WordPress, Drupal, Laravel, atau aplikasi lain tidak otomatis memperbarui PHP yang dijalankan oleh server, image kontainer, panel hosting, atau appliance. Aset yang perlu dicatat mencakup PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, dan LiteSpeed. CISA juga meminta organisasi menginventarisasi PHP dari bukti runtime karena komponen itu sering tersembunyi di dalam produk lain. [BleepingComputer] [CISA]

Setelah pembaruan, worker tetap perlu dimuat ulang

Google Cloud mengingatkan bahwa memasang paket di disk belum tentu mengganti proses PHP yang sedang berjalan. Layanan web dan worker jangka panjang perlu dimuat ulang sesuai arsitektur setelah paket yang telah diperbaiki terpasang. CISA menyarankan prioritas pada sistem yang menghadap internet dan pemantauan proses PHP yang tidak lazim. Jika memakai PHP 8.1 atau lebih lama, keputusan aman bukan menunggu angka patch upstream yang tidak tersedia, melainkan bermigrasi ke cabang yang didukung atau memakai paket backport tepercaya dari vendor yang bertanggung jawab.

Untuk konteks keamanan yang berbeda, artikel tentang agen AI yang dipakai dalam pembobolan situs membahas kampanye lain dan tidak terkait langsung dengan PHP2Shell. Perbedaan ini penting agar pembaca tidak mengira setiap pembobolan situs pada Oktober merupakan akibat dua CVE PHP tersebut.

Nomor versi juga perlu dibaca sesuai sumber paket. Hosting terkelola, distribusi Linux, dan vendor appliance dapat mempertahankan nomor cabang lama sambil membawa perbaikan sebagai backport. Karena itu, pemeriksaan harus menggabungkan versi runtime yang aktif, changelog paket, tanggal rilis vendor, dan proses worker yang sedang melayani trafik. Catatan inventaris sebaiknya menyebut siapa pemilik layanan dan bagaimana pembaruan dilakukan, agar sistem lama tidak dianggap selesai hanya karena aplikasi utamanya telah diperbarui. Langkah tersebut bersifat pengelolaan patch dan tidak memerlukan pengujian ofensif.

Sumber rujukan