Cacat PHP Kritis Memaksa Situs Pemerintah Offline Sebelum Patch Darurat

Tim pengembangan PHP menjadwalkan rilis keamanan di luar siklus untuk 14:00 UTC pada 21 Oktober 2026, untuk memperbaiki dua kerentanan kritis setelah detail bocor online sehari sebelumnya, menurut The Hacker News dan firma keamanan Sansec. Cacat-cacat tersebut dilacak sebagai CVE-2026-109618 dan CVE-2026-109619 dan secara informal diberi julukan "PHP2Shell" oleh peneliti, nama yang tim PHP sendiri tidak mengadopsi, The Hacker News melaporkan.

Apa kerentanannya

Menurut penjelasan teknis Sansec, CVE-2026-109618 adalah bug use-after-free dalam penanganan kemajuan unggahan PHP yang dapat membocorkan memori server — termasuk kata sandi, token sesi, dan kunci pribadi TLS — melalui cookie PHPSESSID, dengan cara yang dibandingkan firma dengan bug Heartbleed 2014. CVE-2026-109619 adalah use-after-free terpisah yang dipicu ketika kesalahan fatal terjadi selama kehabisan memori, dikombinasikan dengan kebingungan tipe dalam OPcache PHP, yang Sansec katakan memungkinkan eksekusi kode jarak jauh. Kedua bug dicapai melalui permintaan multipart/form-data, format yang digunakan halaman web untuk unggahan file.

Pusat Keamanan Siber Nasional Inggris (NCSC) menggambarkan risiko dalam pemberitahuannya tanggal 21 Oktober sebagai memungkinkan penyerang untuk "mengeksekusi perintah di server web apa pun yang menjalankan PHP" tanpa perlu masuk, dan menilai masalah tersebut sebagai kritis.

Mengapa pemerintah dan platform offline

Karena PHP mendasari bagian besar web, beberapa organisasi memilih untuk menutup situs yang menghadap publik daripada menunggu patch. Techzine melaporkan bahwa layanan pemerintah Belanda termasuk MijnOverheid, DigiD, dan sistem parlemen diambil offline sementara, dan cerita kawat berita yang dibawa oleh KSL mengatakan agensi keamanan siber di Belanda dan Finlandia menarik situs pemerintah sebagai tindakan pencegahan. Techzine juga melaporkan bahwa NCSC Inggris dan Badan Keamanan Infrastruktur Siber dan Keamanan Siber Inggris Raya (CISA) mengeluarkan peringatan yang mendorong administrator untuk menambal atau menonaktifkan sistem yang terpengaruh, sementara Wikipedia dan Meta terus berjalan dengan menerapkan runtime PHP yang dimodifikasi dan aturan firewall aplikasi web daripada menjadi gelap.

Sansec melaporkan bahwa pengembang inti PHP Gina Peter Banyard menggambarkan pengambilan server offline sebelum patch tiba sebagai opsi paling masuk akal bagi organisasi yang tidak dapat menerapkan perbaikan segera — nasihat yang diikuti beberapa badan Belanda.

Cloudflare mengatakan ia mulai melihat upaya eksploitasi sebelum patch resmi dirilis. Menurut laporan KSL, kepala teknologi Cloudflare mengatakan perusahaan mengamati serangan awal dan terus memperbarui mitigasinya saat metode serangan baru muncul, menggambarkan perlindungan Cloudflare sebagai penghentian sementara sampai perbaikan resmi PHP tiba. Sansec secara terpisah melaporkan bahwa Cloudflare mendeteksi serangan mulai pada 07:43 UTC pada 21 Oktober, kira-kira enam jam sebelum patch yang dijadwalkan PHP.

• WordPress, Drupal, Joomla, dan Magento, sistem manajemen konten dan e-commerce yang dibangun di PHP
• Versi spesifik yang dinamakan Sansec sebagai dikonfirmasi rentan: Magento 2.4.9, WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11, dan Symfony 8.1
• Platform hosting bersama dan panel kontrol yang mengikat PHP, menurut pemberitahuan NCSC
• Layanan pemerintah Belanda DigiD dan MijnOverheid, menurut Techzine

Skala paparan: perkiraan bervariasi

Apa yang diketahui dan apa yang tidak

Tim PHP mengkonfirmasi bahwa PHP 8.2, 8.3, 8.4, dan 8.5 akan menerima perbaikan resmi — diharapkan sebagai versi 8.5.12, 8.4.27, 8.3.36, dan 8.2.35, menurut The Hacker News — sementara cabang akhir hidup 8.1 dan lebih lama tidak akan diperbaiki oleh vendor. Sansec, bagaimanapun, mengatakan kode yang cacat mendasar berasal dari PHP 5.4.0, berarti banyak instalasi lama yang tidak didukung kemungkinan besar tetap rentan tanpa perbaikan resmi yang tersedia. Menurut The Hacker News, tidak ada exploit proof-of-concept publik yang tersedia pada laporan 21 Oktobernya, dan cacat belum ditambahkan ke katalog Kerentanan yang Diketahui Dieksploitasi CISA pada waktu itu — meskipun pernyataan Cloudflare yang lebih baru menunjukkan upaya serangan sudah berlangsung.

Latar belakang: bagaimana cacat ditemukan

Garis waktu Sansec melacak bug pertama ke penelitian yang dimulai pada 1 Agustus 2026, oleh peneliti yang menggunakan pegangan "Calif" bekerja dengan OpenAI, yang melaporkannya ke tim keamanan PHP pada 11 Agustus. Laporan terkait kedua datang dari tim Wiz Research — dinamakan oleh Sansec sebagai Sagi Tzadik, Shir Tamari, Nir Ohfeld, dan Tomer Schwartz — pada 24 Agustus. Sansec mengatakan kedua tim penelitian mengakreditasi model AI dengan mempercepat pekerjaan menemukan dan beradaptasi exploit di seluruh versi PHP, dengan salah satu peneliti dilaporkan mencapai eksploitasi kerja dalam sekitar seminggu. Detail pengungkapan embargo terkoordinasi bocor kepada publik pada 20 Oktober, mendorong PHP untuk memajukan pengumumannya dan menetapkan rilis patch 21 Oktober.