PHP2Shell: Dua Kerentanan PHP Kritis Memicu Penutupan Situs Global

PHP, bahasa scripting yang menjalankan sebagian besar kode sisi server web, terkena dua cacat keamanan kritis yang diungkapkan pada Oktober 2026. Dialiaskan sebagai "PHP2Shell" dan dilacak sebagai CVE-2026-109618 dan CVE-2026-109619, bug-bug ini memungkinkan penyerang tanpa akun atau kata sandi untuk mengeksekusi kode sembarang di server web yang terkena dampak.

Apa yang dilakukan kerentanan

Menurut firma keamanan watchTowr, CVE-2026-109618 terjadi ketika PHP kehabisan memori di tengah penyiapan permintaan masuk, meninggalkan data permintaan internal hanya sebagian diinisialisasi; rutinitas pembersihan PHP kemudian keliru memperlakukan data yang tidak valid itu sebagai valid. CVE-2026-109619 melibatkan status internal yang terikat pada satu permintaan bertahan setelah memori yang ditunjuknya telah dibebaskan, jadi permintaan yang ditangani nanti oleh proses pekerja yang sama dapat menggunakan status basi itu sebelum inisialisasi normal mengaturnya ulang.

Firma penelitian Wiz, yang memeriksa cacat tersebut, mengatakan kepada Help Net Security bahwa masalah ini tidak terdeteksi selama bertahun-tahun dan termasuk di antara yang paling parah yang pernah ditemukan dalam bahasa tersebut. Selain eksekusi kode jarak jauh penuh, watchTowr mengatakan bug dapat juga menghancurkan proses pekerja PHP, memungkinkan pembacaan file sembarang, atau membocorkan memori server.

Siapa yang menemukannya, dan kapan

Kedua cacat ini dilaporkan melalui upaya penelitian terpisah. Penasihat WatchTowr mengakreditasi tim penelitian keamanan di Calif dengan penemuan tersebut, sementara cakupan Help Net Security mengatribusikan identifikasi dan pengungkapan kepada peneliti di Wiz. Garis waktu pengungkapan tidak biasa: detail yang dimaksudkan tetap di bawah embargo bocor ke publik pada 20 Oktober 2026, dan watchTowr mengkonfirmasi informasi yang bocor itu asli. Pengelola PHP merespons dengan merilis patch sehari lebih awal dari tanggal 22 Oktober yang direncanakan, pada 14:00 UTC pada 21 Oktober 2026.

Ruang lingkup: siapa yang menjalankan PHP yang rentan

PHP tetap menjadi salah satu bahasa sisi server paling banyak digunakan di web, dan cacat dapat mempengaruhi penyiapan apa pun yang memproses permintaan HTTP masuk melaluinya. Penyiapan yang terkena dampak mencakup PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP dan LiteSpeed, menurut watchTowr, yang berarti bug berada di lapisan server itu sendiri daripada di aplikasi tunggal apa pun.

Karena PHP 7.4, 8.0 dan 8.1 tidak lagi didukung secara resmi, watchTowr mengatakan tidak ada patch dari proyek inti PHP untuk situs yang masih menjalankan cabang tersebut, meskipun backport vendor distribusi atau dukungan jangka panjang mungkin tersedia sebagai opsi sementara; sebaliknya instalasi tersebut perlu pindah ke cabang yang didukung. PHP 7.3 dan lebih lama tidak memiliki perbaikan sama sekali, menurut watchTowr. Penasihat PHP menyatakan bahwa tidak ada perubahan konfigurasi yang sepenuhnya menutup kerentanan selain memperbarui perangkat lunak.

Dampak dan eksploitasi

Help Net Security melaporkan bahwa jaringan honeypot yang dijalankan oleh Amazon mendeteksi upaya eksploitasi pada 17 Oktober 2026 — empat hari sebelum patch publik — menunjukkan beberapa penyerang memiliki akses awal ke detail exploit. WatchTowr mengatakan jaringan honeypot "Attacker Eye" miliknya mengamati eksploitasi aktif di alam liar yang berlanjut setelah rilis patch 21 Oktober. Sistem manajemen konten yang dibangun di PHP, termasuk WordPress, Drupal dan Joomla, bersama dengan aplikasi berbasis Laravel dan platform e-commerce, semuanya berada dalam jejak yang terkena dampak karena berjalan di atas mesin PHP yang rentan.

Saat patching dimulai, agensi pemerintah, forum online, platform game dan beberapa situs terkait infrastruktur dibawa offline sebagai tindakan pencegahan sementara operator menerapkan perbaikan, menurut cakupan yang dirangkum pada entri Wikipedia PHP2Shell. Pusat Keamanan Siber Nasional Inggris mendorong organisasi yang tidak dapat melakukan patch segera untuk membawa sistem yang rentan offline, lapor Help Net Security.

Penilaian keparahan dan apa yang harus dilakukan operator situs

Pengembang PHP sendiri menilai kedua cacat 9,2 dari 10 pada skala CVSS v4.0, skor "kritis" menurut penasihat watchTowr. Jalur remediasi yang jelas, menurut penasihat PHP dan watchTowr, adalah memperbarui ke PHP 8.5.12, 8.4.27, 8.3.36 atau 8.2.35 tergantung pada cabang mana yang dijalankan server; situs di 7.4, 8.0 atau 8.1 harus menggunakan backport distribusi atau pindah ke cabang yang didukung, sementara server di 7.3 atau lebih lama tidak memiliki perbaikan yang tersedia dan perlu ditingkatkan.