PHP2Shell: Cacat PHP Kritis Memicu Keadaan Darurat Patch Global dan Penutupan Situs

Pada 21 Oktober 2026, proyek PHP merilis pembaruan darurat—versi 8.5.12, 8.4.27, 8.3.36, dan 8.2.35—untuk memperbaiki dua cacat keamanan kritis yang peneliti keamanan dan vendor juluki 'PHP2Shell,' menurut Help Net Security dan Pusat Keamanan Siber Kanada. Cacat ini dilacak sebagai CVE-2026-109618 dan CVE-2026-109619, keduanya dijelaskan sebagai masalah tingkat keparahan kritis; sumber yang ditinjau untuk artikel ini tidak mengutip skor CVSS numerik resmi.

Apa yang dilakukan kerentanan ini

Kedua cacat adalah bug keamanan memori dalam cara PHP menangani permintaan dalam kondisi abnormal, menurut Bleeping Computer dan Help Net Security. CVE-2026-109618 terjadi ketika kesalahan kehabisan memori mengganggu PHP saat data permintaan internal hanya sebagian diatur, sehingga rutinitas pembersihan nanti memperlakukan data yang tidak lengkap itu sebagai valid. CVE-2026-109619 adalah cacat stale-state: memori yang terikat pada satu permintaan dapat dibebaskan dan kemudian digunakan kembali oleh permintaan nanti di pekerja yang sama sebelum direset dengan benar, yang dapat mengekspos data atau memungkinkan eksekusi kode.

Pusat Keamanan Siber Kanada mengklasifikasikan keduanya sebagai kerentanan Use-After-Free (CWE-416) dan mengatakan serangan yang berhasil memungkinkan penyerang yang tidak terautentikasi menjalankan kode sembarang di server, tanpa memerlukan kata sandi atau tindakan apa pun dari pengguna. Agensi mengatakan penyebaran mod_php menghadapi risiko tertinggi, karena eksploitasi yang terbukti dapat memicu cacat sebelum kode aplikasi apa pun memiliki kesempatan untuk berjalan — deskripsi yang juga digunakan oleh tim keamanan PHP, menurut Bleeping Computer.

Cacat memengaruhi setiap instalasi PHP yang melayani permintaan web, termasuk PHP-FPM, mod_php Apache, php-cgi, FrankenPHP, dan LiteSpeed, menurut Bleeping Computer dan penyuluhan Kanada. Kode yang mendasari telah ada di PHP selama lebih dari satu dekade, menurut Fortune, meskipun perbaikan resmi dikeluarkan untuk cabang 8.2–8.5 yang didukung secara aktif, dengan backport tingkat sumber tersedia untuk 7.4 melalui 8.1, yang melampaui tanggal akhir dukungan mereka.

Bagaimana itu ditemukan, dan mengapa AI penting di sini

Menurut Fortune, kode yang cacat telah ada di PHP selama lebih dari satu dekade, tetapi tiga pihak terpisah berkumpul di atasnya pada Agustus 2026: firma keamanan Wiz, sebuah perusahaan yang disebut Calif, dan OpenAI, bekerja dengan Yayasan PHP pada perbaikan dan pengungkapan terkoordinasi. Fortune melaporkan bahwa Wiz menggunakan model AI termasuk GPT-5.6 Sol OpenAI dan Gemini 4 Argon Google untuk membantu memahami kelemahan dan mengubahnya menjadi eksploitasi yang berfungsi. Wiz mengatakan kepada Fortune kasus ini mewakili pergeseran yang didorong oleh AI, dengan mengatakan bahwa meskipun kode yang cacat telah ada selama lebih dari satu dekade, apa yang berubah adalah kemampuan peneliti untuk menggunakan AI untuk memahami kelemahan dan mengubahnya menjadi eksploitasi yang berfungsi.

Fortune juga melaporkan bahwa OpenAI, dalam pernyataannya sendiri, mengatakan episode tersebut menunjukkan bagaimana AI dapat membantu mengungkap cacat keamanan dengan dampak skala internet, sambil mengakui bahwa kemampuan AI yang sama dapat juga membantu penyerang mengembangkan alat ofensif dan eksploitasi lebih cepat.

Upaya pemanfaatan dan respons cepat Cloudflare

Cloudflare mengatakan di blognya sendiri bahwa ia mengaktifkan aturan Web Application Firewall pada 03:02 UTC pada 21 Oktober, yang dijelaskan sebagai kira-kira sembilan jam sebelum kerentanan diungkapkan secara publik. Perusahaan meluncurkan tujuh 'Aturan Generik – Eksekusi Anomali' untuk pelanggan tingkat gratis dan serangkaian tujuh aturan setara terpisah untuk paket berbayar, ditambah satu aturan tambahan yang memeriksa permintaan dan respons dalam transaksi yang sama, menurut pos Cloudflare seperti diringkas oleh ppc.land. Pos yang sama mengatakan Cloudflare mengamati penyerang mengubah muatan eksploitasi mereka setelahnya dalam upaya jelas untuk menghindari aturan baru, meskipun tidak menerbitkan angka volume serangan yang tepat.

Terpisah, tim Threat Intelligence Amazon mengatakan bahwa ia telah mendeteksi upaya pemanfaatan terhadap cacat yang dimulai pada 17 Oktober 2026—empat hari sebelum patch publik—menurut Bleeping Computer, menunjukkan bahwa beberapa aktor ancaman memiliki akses ke detail eksploitasi sebelum pengungkapan umum. Sebaliknya, penyuluhan Pusat Keamanan Siber Kanada menyatakan bahwa, pada saat ditulis, itu belum mengidentifikasi pemanfaatan aktif, sambil memperingatkan bahwa situasi dapat berubah dengan cepat. Kedua penilaian mencerminkan titik pengamatan dan waktu yang berbeda daripada kontradiksi faktual yang sebenarnya.

Jepang: pemerintah mendesak patch atau penutupan

Kerentanan ini menarik perhatian yang sangat intens di Jepang. Kantor Keamanan Siber Nasional Jepang, badan penerus NISC yang direorganisasi pada Juli 2025, mengeluarkan penyuluhan yang mendesak operator untuk memeriksa apakah situs web mereka menjalankan PHP dan bertindak cepat, menurut laporan BigGo Finance tentang pernyataan agensi. Perdana Menteri Sanae Takaichi memposting di X menyebutnya 'permintaan mendesak bagi semua orang untuk merespons malam ini,' dan mengatakan bahwa penangguhan sementara situs web dapat menjadi cara efektif untuk mengurangi risiko jika patching segera tidak mungkin, BigGo Finance melaporkan.

Mengikuti panduan tersebut, beberapa layanan online Jepang memasuki pemeliharaan darurat pada malam 21 Oktober, termasuk platform manajemen penitipan anak CoDMON, permainan kartu Shadowverse: Worlds Beyond, pembuat toko online BASE, dan penyedia hosting Sakura Internet, menurut laporan BigGo Finance. Patch resmi PHP dirilis sekitar pukul 10:40 malam waktu Jepang, sebelum target 11 malam yang diumumkan sebelumnya, laporan yang sama mengatakan.

Terpisah, Internet Watch (Impress) melaporkan bahwa penyedia komunikasi Jepang Baltec menangguhkan sekitar 23 layanan—mencakup alat cloud, reservasi, point-of-sale, dan manajemen pengeluaran—setelah mendeteksi akses tidak sah dengan kemungkinan paparan data pribadi. Baltec awalnya mengatribusikan insiden tersebut kepada serangan siber yang menargetkan kerentanan PHP, tetapi perusahaan mengeluarkan koreksi pada hari yang sama mengatakan penyebab sebenarnya adalah kerentanan di layanannya sendiri, bukan cacat PHP, setelah mengatakan bahwa itu telah membingungkan dua masalah saat meninjau langkah-langkah keamanan terkait PHP. Baltec menargetkan pemulihan layanan untuk 26 Oktober, Internet Watch melaporkan.

Skala paparan

PHP memberdayakan sekitar 70% situs web di seluruh dunia, termasuk situs WordPress, Wikipedia, Microsoft.com, dan Archive.org, menurut Fortune, mencatat bahwa sekitar 40% dari semua situs web berjalan di WordPress, yang sendiri bergantung pada PHP. Fortune juga mengutip pemindaian awal yang mengidentifikasi 22,6 juta kemungkinan instans PHP yang rentan terekspos ke internet.

Apa yang masih tidak diketahui

Berdasarkan laporan yang tersedia, tidak ada sumber yang mengkonfirmasi pelanggaran besar-besaran yang berhasil secara langsung disebabkan oleh eksploitasi PHP2Shell, sebagai lawan dari penutupan pencegahan. Angka untuk upaya pemanfaatan total bervariasi menurut sumber dan jendela pengukuran: CEO Cloudflare dikutip dalam cakupan Jepang melalui Yahoo! News sebagai menggambarkan jumlah upaya naik dari ribuan sebelum pengungkapan menjadi puluhan ribu dalam 45 menit dan mencapai ratusan ribu dalam dua jam, dengan total yang dijelaskan mencapai jutaan pada waktu laporan itu; pos blog Cloudflare sendiri tidak mengulangi angka spesifik ini. Pembaca harus memperlakukan angka volume serangan yang tepat sebagai awal dan tunduk pada revisi oleh organisasi yang melacaknya.