PHP2Shell merupakan sebutan bagi dua kerentanan, yakni CVE-2026-109618 dan CVE-2026-109619. Keduanya dapat memungkinkan eksekusi kode tanpa autentikasi atau login.
Tim PHP menyebut instalasi yang melayani permintaan web berisiko, termasuk PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Risiko dinilai paling tinggi pada mod_php, dengan eksploitasi yang dapat berlangsung sebelum kode aplikasi dijalankan.
Perbaikan untuk kedua celah telah dirilis pada 21 Oktober 2026 melalui versi berikut:
Pengguna paket dari distributor Linux atau penyedia dukungan jangka panjang perlu memeriksa pembaruan vendor. Perbaikan dapat disediakan melalui paket vendor, sehingga pemeriksaan tidak cukup mengandalkan nomor versi utama.
Tim PHP menegaskan pembaruan merupakan solusi lengkap untuk kedua kerentanan tersebut. Mitigasi sementara hanya mengurangi paparan terhadap jalur serangan tertentu.
