Bukan dari plugin
Ada di Zend VM core
PHP polosan tanpa CMS atau framework tetap rentan kalau melayani request HTTP.
Semua link konten
Advisory keamanan · PHP2Shell
Peringatan kritis PHP: unauthenticated RCE (CVSS 9.2).
Celah eksekusi kode jarak jauh di core runtime PHP. Penyerang bisa ambil alih server tanpa login. Ini versi terdampak dan cara mitigasinya.
01 — Matriks versi
Terdampak vs target upgrade aman.
| Cabang | Versi terdampak | Target upgrade |
|---|---|---|
| PHP 8.5 | 8.5.0 – 8.5.11 | 8.5.12+ |
| PHP 8.4 | 8.4.0 – 8.4.26 | 8.4.27+ |
| PHP 8.3 | 8.3.0 – 8.3.35 | 8.3.36+ |
| PHP 8.2 | 8.2.0 – 8.2.34 | 8.2.35+ |
| ≤ 8.1 | Semua versi (EOL) | Tidak ada patch resmi |
Aturan utama
Server dengan PHP di bawah target versi wajib segera diperbarui atau diisolasi dari jaringan publik. Cabang 8.1 ke bawah wajib migrasi atau pakai backport distro LTS (Ubuntu ESM/Debian).
Rincian versi per Oktober 2026, dari konten advisory BYTEQ.
02 — Miskonsepsi
Di mana letak sebenarnya celah ini?
Login & 2FA tidak menolong
Serangan tanpa autentikasi
Payload menyerang alokasi memori runtime tanpa melewati form login.
Docker tidak otomatis aman
Base image ikut rentan
Container dengan base image PHP versi rentan tetap bisa dieksekusi shellcode.
03 — Mitigasi
Langkah untuk server produksi.
Validasi fungsi aplikasi di staging sebelum deploy ke produksi.
- 01
Patch PHP 8.2–8.5.
Terapkan patch resmi lewat package manager OS atau upstream official.
- 02
Rebuild container.
Rebuild image dengan base image PHP bertag versi patch terbaru.
- 03
WAF sementara.
Kalau patch belum bisa diterapkan, batasi ukuran request multipart (file upload) di WAF.
- 04
Audit multi-node.
Periksa worker background, queue runner, dan cronjob yang menjalankan PHP-CLI.
- 05
Isolasi jaringan.
Batasi port manajemen dan taruh service di balik reverse proxy berfilter ketat.
04 — Mekanisme
Anatomi 2 celah.
CVE-2026-109618
OOM interrupt via longjmp()
Request multipart yang melampaui memory_limit memutus eksekusi saat struktur request belum siap, lalu cleanup merusak heap.
CVE-2026-109619
Stale global state di PHP-FPM
Worker persisten tidak me-reset state request yang gagal, meninggalkan stale pointer (use-after-free) untuk request berikutnya.
05 — Konten lainnya
Link dari konten lain.
DeveloperKomen KARPATHY
AI kamu nggak bodoh. Cuma belum dikasih aturan.
Ini file CLAUDE.md dan cara pasang yang kami janjikan lewat DM. Satu file teks, dirangkum dari pengamatan Andrej Karpathy soal kesalahan AI saat menulis kode.
/link/karpathy-claude-mdBuka AIKomen SPRITE
Claude nulis gamenya, SpriteCook yang gambar.
Ini link plugin dan panduan setup yang kami janjikan lewat DM. Sekitar lima menit dari clone sampai sprite pertama.
/link/spritecookBuka DeveloperKomen CLAUDE
Claude Code kamu baru kepakai setengah.
Ini contekan yang kami janjikan lewat DM: referensi Claude Code 5 halaman untuk AI engineer, dari /init sampai keamanan dan biaya token.
/link/claude-code-ai-engineerBuka 06 — Kontak
Punya ide? Mari kita bangun.
Ceritakan kebutuhan aplikasi atau website Anda. Tim BYTEQ akan membantu dari awal.