Dua Kerentanan PHP Kritis yang Dijuluki "PHP2Shell" Mengungkap Sebagian Besar Web

Pada 21 Oktober 2026, proyek PHP merilis versi patched dari bahasa setelah peneliti keamanan mengungkap dua kerentanan eksekusi kode jarak jauh yang kritis secara kolektif dijuluki "PHP2Shell." Kerentanan, dilacak sebagai CVE-2026-109618 dan CVE-2026-109619, ditemukan oleh perusahaan keamanan cloud Wiz Research, yang mengkreditkan organisasi Calif dan OpenAI karena berkontribusi pada penemuan, koordinasi dan verifikasi patch, menurut tulisan publik Wiz.

Apa yang dilakukan oleh dua kerentanan tersebut

Wiz mengatakan kedua CVE ini sebenarnya menggabungkan empat bug mendasar yang berbeda. CVE-2026-109618 mencakup kerentanan use-after-free dalam pemulihan serialisasi unggahan sesi PHP, yang dapat disalahgunakan untuk eksekusi kode jarak jauh, ditambah bug terkait yang dapat membocorkan memori dari proses worker PHP yang sedang berjalan tanpa autentikasi. CVE-2026-109619 mencakup use-after-free dalam penanganan backtrace kesalahan fatal PHP dan kerentanan kebingungan tipe terpisah di OPcache, cache bytecode memori bersama PHP.

Menurut Wiz, kedua masalah ini berada di jalur kode yang hampir setiap permintaan PHP melewati: manajemen memori dan penanganan kesalahan. Yayasan PHP membuat poin yang sama dalam komentar yang dilaporkan oleh outlet SecurityWeek.

Garis waktu penemuan

Tim penelitian Wiz — dinamai dalam posting blog mereka sebagai Sagi Tzadik, Shir Tamari, Nir Ohfeld dan Tomer Schwartz — mengatakan mereka menemukan bug pertama pada 19 Agustus 2026, dan mengkonfirmasi eksploitasi eksekusi kode jarak jauh yang bekerja terhadap instalasi WordPress dan Drupal pada dua hari berikutnya. Tim melaporkan temuannya ke tim keamanan PHP pada 24 Agustus 2026. Pengungkapan publik dan patch yang sesuai diikuti pada 21 Oktober 2026.

Wiz mengatakan mereka menggunakan model pengkodean AI, termasuk Google Gemini 4 Argon dan OpenAI GPT-5.6 Sol, untuk membantu membangun exploit proof-of-concept, menggambarkan pekerjaan yang sebelumnya membutuhkan waktu berbulan-bulan bagi peneliti khusus sebagai dapat dicapai dalam hitungan jam.

Siapa yang terpengaruh

Wiz menyatakan kerentanan yang mendasar ada di setiap versi PHP yang dirilis selama sekitar dekade terakhir, dengan setidaknya satu dari dua CVE hadir sejak PHP 5.4 dan seterusnya. Perusahaan mengatakan telah mengkonfirmasi eksekusi kode jarak jauh tanpa autentikasi terhadap rilis terkini dari tiga sistem manajemen konten yang banyak digunakan: WordPress, Drupal dan Joomla. SecurityWeek melaporkan bug mempengaruhi metode penerapan PHP umum, termasuk PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP dan LiteSpeed.

Wiz membingkai skala paparan sebagai mempengaruhi sekitar 70% Internet, referensi ke bagian situs web yang menjalankan PHP dalam beberapa bentuk, menurut tulisan perusahaan.

Upaya eksploitasi sejak pengungkapan

Beberapa firma keamanan memantau lalu lintas serangan di sekitar pengungkapan. SecurityWeek melaporkan bahwa firma watchTowr mendeteksi upaya eksploitasi pertama di alam liar sekitar waktu patch dikirim tetapi belum mengkonfirmasi kompromi yang berhasil. Hadrian mengatakan kepada SecurityWeek bahwa ia mengamati upaya eksploitasi skala besar sebelum patch bahkan dirilis, terkonsentrasi pada jalur kode unggahan sesi PHP. Patchstack, Cloudflare dan Vega mencatat upaya pada hari pengungkapan, dan Amazon mengatakan telah mengidentifikasi upaya eksploitasi empat hari sebelum patch dikirim.

Mengapa skala PHP membuat ini signifikan

PHP dibuat oleh programmer Dano-Kanada Rasmus Lerdorf, pertama kali dirilis pada 1995, dan tetap menjadi salah satu bahasa skrip sisi server yang paling banyak digunakan untuk membangun situs web, menurut Wikipedia. Sumber yang sama mencatat bahwa pada November 2025, lebih dari setengah situs web yang didukung PHP masih menjalankan cabang PHP 7 yang tidak didukung, dan sekitar 9,7% masih di PHP 5, yang dihentikan bertahun-tahun lalu — pola perangkat lunak warisan yang mengatakan peneliti keamanan memperumit patching cepat di seluruh ekosistem PHP yang lebih luas.