2 Celah Kritis PHP2Shell Ancam Hampir Semua Server PHP, Patch Dirilis 21 Oktober

Bug-nya bekerja di bawah lapisan aplikasi, jadi situs "Hello World" pun bisa ikut rentan — dan yang dipertaruhkan kali ini bukan satu plugin, melainkan fondasi sebagian besar web.

Tim keamanan PHP merilis perbaikan untuk dua celah eksekusi kode jarak jauh (remote code execution/RCE), CVE-2026-109618 dan CVE-2026-109619, pada Rabu (21/10/2026). Peneliti Wiz, yang menamai rangkaian celah ini PHP2Shell, menyebut tingkat keparahannya mencapai CVSS 9,2 dan menilai temuan tersebut termasuk yang paling parah pernah ditemukan di PHP.

Dua bug di jalur penanganan error

Menurut Wiz, kedua celah berpangkal pada cara PHP menangani kegagalan fatal, terutama saat memori habis. CVE-2026-109618 berupa kerusakan memori ketika persiapan sebuah request terputus di tengah jalan, sehingga data yang baru setengah diinisialisasi dianggap valid saat pembersihan. CVE-2026-109619 terjadi ketika status global milik satu request masih bertahan setelah memorinya dibebaskan, lalu dipakai ulang oleh request berikutnya di worker yang sama.

Wiz menggambarkan serangan ini bisa dipicu dari jauh tanpa autentikasi, dalam beberapa kasus dengan cukup mudah. Eksploitasi sampai tahap eksekusi kode tetap butuh rangkaian langkah rumit dan penyesuaian pada tata letak memori target. Pada rantai serangan terhadap worker PHP, memori dari request lain dapat terbaca, termasuk kata sandi, token, dan kunci API.

Versi yang sudah ditambal

Menurut laporan Help Net Security, perbaikan tersedia di PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. Untuk PHP 7.4, 8.0, dan 8.1, tim keamanan PHP hanya menyediakan backport minimal bagi pengguna yang membangun dari kode sumber atau tidak punya vendor dukungan jangka panjang. Proyek PHP sendiri sudah tidak mendukung 8.1 ke bawah.

Setiap instalasi yang melayani permintaan web terdampak, mulai dari PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, hingga LiteSpeed. Konfigurasi mod_php disebut paling berisiko. Pengguna repositori sukarelawan rpms.remirepo.net belum mendapat pembaruan saat artikel sumber terbit, sehingga disarankan beralih ke paket distribusi atau membangun sendiri.

Exploit sudah didemonstrasikan, serangan nyata belum terkonfirmasi

Help Net Security tidak mengonfirmasi adanya eksploitasi di dunia nyata, tetapi menyebut sebuah exploit yang bekerja sudah didemonstrasikan. Peneliti Kevin Beaumont memperkirakan "the PHP situation will lead to a mass of incidents", sementara Hal Pomeranz berkomentar "there will be a long tail for this one".

Badan keamanan siber Inggris, NCSC, menganjurkan sistem yang belum bisa diperbarui segera dikeluarkan dari jaringan. Wiz juga meminta administrator memantau tanda-tanda berikut karena log aplikasi bisa minim konteks: request multipart tak lazim yang disusul galat batas memori, respons HTTP 500 berulang, cookie PHPSESSID yang sangat besar atau rusak, dan pergantian worker PHP yang tak terjelaskan.

Cloudflare memasang aturan WAF lebih dulu

Bagi yang belum sempat memperbarui, Cloudflare sudah menerapkan aturan web application firewall (WAF) awal untuk vektor serangan yang dikenal. Chief Technology Officer Cloudflare, Dane Knecht, menyatakan situs PHP di belakang Cloudflare sudah memperoleh perlindungan awal itu. Pelanggan paket gratis ikut mendapat aturan tersebut. Wiz tetap menegaskan bahwa pembaruan PHP adalah satu-satunya perbaikan menyeluruh.

Ditemukan dalam hitungan hari, dibantu model AI

Wiz mencatat bug PHP pertama ditemukan pada 19 Agustus 2026. RCE tanpa autentikasi dikonfirmasi pada Drupal sehari kemudian dan pada WordPress pada 21 Agustus. Laporan ke tim keamanan PHP dikirim 24 Agustus, tim itu mengakuinya pada 21 September, dan pengungkapan publik baru terjadi bersamaan dengan rilis patch.

Dalam risetnya Wiz menyebut memakai Wiz Atlas, Gemini 4 Argon, dan GPT-5.6 Sol. Raluca Ada Popa, Head of Gemini Security di Google DeepMind, dikutip menyebut "frontier AI is a game-changer for cyber defense". Kecepatan serupa terlihat di sisi penyerang, ketika satu peretas memakai agen AI untuk membobol lebih dari 100 situs perusahaan. Bagi pengembang yang baru mengenal fitur PHP 8.5, peringatannya jelas: rilis 8.5.12 yang memuat perbaikan sebaiknya segera naik ke server produksi.

Yang belum terjawab adalah seberapa cepat penyerang mengubah demonstrasi itu menjadi serangan massal, sementara banyak situs masih berjalan di versi yang tak lagi didukung.