PHP2Shell berpotensi membolehkan penyerang melaksanakan kod dari jauh pada pelayan (server) yang menggunakan versi PHP terjejas tanpa memerlukan pengesahan pengguna. Kerentakan ini melibatkan semua pelayan web (web server) yang menjalankan PHP 5.4 dan ke atas.
Pada 21 Oktober 2026, kedua-dua kerentanan ini yang dikenal pasti sebagai CVE-2026-109618 dan CVE-2026-109619 mendapat critical score setinggi CVSS 9.2. Jika berjaya dieksploitasi, kelemahan ini boleh memberikan peluang kepada penyerang untuk menjalankan kod atau mengakses maklumat sensitif dalam memori server.
Versi PHP yang Terjejas
PHP2Shell melibatkan enjin PHP itu sendiri, sekali gus berpotensi menjejaskan pelbagai aplikasi web yang menggunakan runtime terdedah, termasuk WordPress, Drupal, Joomla, Laravel dan lain-lain.
| PHP Terjejas | Versi Tampalan (patches) |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
| 8.1 dan kebawah | Tiada patches yang ditawarkan |
Pengguna PHP 8.1 dan versi lebih lama juga perlu mengambil tindakan kerana cabang tersebut tidak lagi menerima kemas kini rasmi daripada projek PHP, meskipun sesetengah vendor mungkin menyediakan tampalan tersendiri.
Pembangun (developer) dan pemilik sistem disaran menyemak versi PHP yang digunakan oleh web server. Mengemas kini framework atau plugin sahaja tidak mencukupi untuk membaiki kelemahan yang berpunca daripada enjin PHP.
Sumber: Cloudflare
Leave a Reply