“Website saya masih elok. Perlu juga hubungi hosting?”
Jika laman anda menggunakan PHP, semakan ini wajar dibuat. Laman yang boleh dibuka dan menerima pesanan belum tentu sudah menerima pembaikan untuk PHP2Shell.
Anda tidak perlu memahami semua butiran teknikal. Mulakan dengan meminta penyedia hosting mengesahkan status PHP yang menjalankan laman anda.
Apa itu PHP2Shell?
PHP2Shell merujuk kepada dua kelemahan kritikal dalam PHP, iaitu CVE-2026-109618 dan CVE-2026-109619. Kelemahan ini boleh membolehkan penyerang menjalankan kod pada pelayan tanpa perlu log masuk.
Pasukan PHP mengeluarkan pembaikan pada 21 Oktober 2026 dan menggesa pengguna terjejas mengemas kini segera. Laman yang belum dibaiki berisiko, tetapi itu tidak bermakna laman tersebut sudah digodam.
Adakah WordPress dan Laravel turut terjejas?
Kedua-duanya menggunakan PHP. Oleh itu, laman WordPress, aplikasi Laravel dan sistem PHP lain boleh terjejas jika PHP pada pelayannya belum menerima pembaikan.
Kemas kini WordPress, tema, plugin atau Laravel sahaja tidak memasang pembaikan PHP pada pelayan. Bahagian ini perlu diurus melalui penyedia hosting atau pentadbir pelayan.
Apa yang perlu ditanya kepada hosting?
Minta pengesahan khusus untuk laman anda, terutama jika akaun hosting mempunyai beberapa domain yang menggunakan versi PHP berbeza.
| Perkara | Soalan yang boleh ditanya |
|---|---|
| Versi PHP | Apakah versi penuh PHP yang sedang digunakan oleh laman saya? |
| Pembaikan keselamatan | Adakah pembaikan bagi kedua-dua kelemahan PHP2Shell sudah dipasang? |
| Status penggunaan | Adakah laman saya sudah menggunakan PHP yang dibaiki, atau versi itu baru tersedia untuk dipilih? |
| Tindakan seterusnya | Jika belum selesai, bilakah pembaikan akan dibuat dan apakah langkah sementara yang dicadangkan? |
Versi pembaikan yang diumumkan ialah PHP 8.2.35, 8.3.36, 8.4.27 dan 8.5.12.
Sesetengah penyedia turut membekalkan pembaikan melalui pakej mereka sendiri tanpa menggunakan nombor versi yang sama. Dalam keadaan ini, minta pengesahan bahawa kedua-dua kelemahan tersebut sudah ditangani.
Untuk memudahkan urusan, salin mesej ini:
“Mohon semak PHP yang digunakan oleh domain saya dan sahkan sama ada pembaikan CVE-2026-109618 serta CVE-2026-109619 sudah aktif. Jika belum, mohon maklumkan jadual pembaikan dan tindakan yang diperlukan daripada saya.”
Apa yang perlu dibuat sebelum dan selepas kemas kini?
Sediakan sandaran fail serta pangkalan data. Minta pembangun menyemak keserasian aplikasi, kemudian uji fungsi penting selepas kemas kini—seperti log masuk, borang pertanyaan, muat naik fail dan pembayaran.
Jika pembaikan segera belum dapat dilakukan, minta pentadbir menilai keperluan mengehadkan atau menghentikan akses awam sementara. CERT-EU mengesyorkan pertimbangan ini sehingga pembaikan dipasang dan disahkan. Langkah sementara bukan pengganti pembaikan PHP.
Hubungi hosting dan simpan jawapan mereka sebagai rekod. Yang perlu dipastikan ialah laman anda benar-benar menggunakan PHP yang sudah dibaiki.
Sumber rujukan:
