PHP2Shell: dua cacat PHP kritis yang memaksa pemerintah untuk pergi offline

PHP2Shell adalah julukan untuk cacat-cacat dalam bahasa pemrograman PHP itu sendiri, bukan dalam situs web atau aplikasi tunggal apa pun. Mereka dilacak sebagai CVE-2026-109618 dan CVE-2026-109619, dan tim keamanan PHP sendiri menilai keduanya 9.2 dari 10 pada skala CVSS v4.0, tingkat 'kritis'-nya, menurut halaman arsip resmi proyek PHP 2026.

Apa yang sebenarnya dilakukan oleh kedua cacat itu

Menurut penasihat keamanan proyek PHP sendiri, CVE-2026-109618 dipicu ketika PHP kehabisan memori saat menangani permintaan web. Kesalahan kehabisan memori dapat menghentikan PHP sebelum data permintaan internal sepenuhnya disiapkan, dan proses pembersihan yang mengikuti dapat menganggap data yang tidak lengkap itu sebagai valid, yang dapat menyebabkan korosi memori dan eksekusi kode jarak jauh.

CVE-2026-109619 dijelaskan oleh PHP sebagai bug 'status global basi': data yang terikat pada permintaan satu pengunjung dapat tetap di memori server setelah harus dihapus, dan permintaan pengunjung berikutnya yang ditangani oleh proses worker yang sama dapat berakhir bertindak atas sisa-sisa tersebut. Perusahaan keamanan watchTowr, yang menjalankan jaringan sistem pemantauan global, mengatakan kedua bug memungkinkan penyerang menjalankan kode tanpa login yang diperlukan, bahkan sebelum kode situs web sendiri mulai dieksekusi.

Perusahaan keamanan Belanda Sansec menambahkan detail teknis lebih lanjut, mengatakan salah satu jalur ke eksploitasi berjalan melalui fitur 'kemajuan unggahan' sesi PHP dan dapat mengekspos data seperti kata sandi, kunci API, dan kunci enkripsi yang kebetulan duduk di memori server dari permintaan lain yang tidak terkait.

Mengapa banyak situs web terbuka

Bug-bug berada di dalam mesin PHP, jadi situs web atau aplikasi apa pun yang dibangun dengan PHP berpotensi terbuka, terlepas dari sistem konten mana yang berjalan di atasnya. Ini mencakup platform yang banyak digunakan seperti WordPress, Drupal, Joomla, Magento, dan Nextcloud, menurut Sansec. PHP tetap menjadi salah satu bahasa pemrograman sisi server yang paling banyak digunakan di web, yang merupakan salah satu alasan bug diperlakukan sebagai risiko yang luas dan skala besar.

Peneliti keamanan di Wiz mengidentifikasi cacat-cacat tersebut, dan Help Net Security melaporkan bahwa peneliti mengatakan kemajuan dalam alat AI perbatasan telah secara signifikan menurunkan hambatan teknis untuk mengubah masalah penanganan memori yang lama dikenal dan sulit untuk dieksploitasi menjadi eksploitasi yang berfungsi.

Mengapa pemerintah membawa situs offline

Detail teknis cacat-cacat tersebut bocor sebelum patch resmi PHP siap, memotong keunggulan kepala yang biasanya didapat pembela sebelum perbaikan menjadi publik. Blog keamanan Safeguard melaporkan bahwa pada 21 Oktober 2026, Belanda menutup layanan termasuk situs pusat keamanan siber nasionalnya sendiri, Overheid.nl, situs web Dewan Perwakilan, dan beberapa situs rumah sakit dan partai politik sebagai tindakan pencegahan. Penyedia IT negara Finlandia Valtori membawa layanan jaringan pemerintah offline sebagai langkah pencegahan, dan perusahaan IT kota Denmark Kombit menutup beberapa layanan termasuk platform komunikasi sekolah nasional. Kementerian Dalam Negeri Prancis sementara menutup situs prefektur dan administratif lokal, mengatakan menunggu patch PHP diterapkan. Penyedia IT federal Jerman ITZBund dan Kementerian Luar Negeri Belgia juga membawa situs offline, meskipun Safeguard melaporkan mereka memberikan alasan berbeda: ITZBund mengatakan tidak mengetahui adanya insiden keamanan, sementara Kementerian Luar Negeri Belgia mengutip laporan serangan.

watchTowr mengatakan jaringan honeypot-nya, Attacker Eye, mencatat upaya eksploitasi dunia nyata mulai 21 Oktober 2026, sehari setelah kebocoran dan hari yang sama PHP menerbitkan perbaikannya.

Kedua cacat dibandingkan

Cara melindungi situs dan data Anda

1. Jika Anda menjalankan situs web di PHP: perbarui ke versi yang diperbaiki — PHP 8.5.12, 8.4.27, 8.3.36, atau 8.2.35 — dan mulai ulang semua proses worker PHP setelahnya, karena penasihat PHP dan runZero menekankan bahwa pembaruan adalah satu-satunya perbaikan lengkap.
2. Jika Anda masih berada di PHP 7.4, 8.0, atau 8.1, yang tidak lagi menerima pembaruan resmi, dapatkan patch keamanan yang di-backport dari distribusi Linux atau penyedia hosting Anda, karena proyek PHP sendiri telah berhenti memelihara cabang-cabang tersebut, menurut halaman arsip PHP.
3. Sampai Anda dapat melakukan patch, runZero merekomendasikan langkah-langkah interim di tingkat server atau proxy: batasi batas memori sehingga aplikasi tidak dapat menggantinya, menerapkan batas ukuran permintaan yang rendah dan batas unggahan multipart, dan nonaktifkan fitur 'kemajuan unggahan' sesi.
4. Periksa log akses server web Anda untuk permintaan POST multipart/form-data yang tidak biasa, yang Sansec katakan umum untuk upaya eksploitasi yang diketahui, dan perhatikan lonjakan memori PHP yang tidak terduga atau kesalahan fatal.
5. Sebagai pengguna internet sehari-hari, Anda tidak dapat melakukan patch pada server yang tidak Anda kontrol, tetapi Anda dapat memantau pemberitahuan pelanggaran dari layanan yang Anda gunakan, menggunakan kata sandi unik untuk setiap akun, dan mengaktifkan autentikasi dua faktor sehingga kata sandi yang bocor saja tidak cukup untuk mengakses akun Anda.

Apa yang masih tidak jelas

Hingga pelaporan yang ditinjau, ada ketidaksepakatan di antara para ahli tentang seberapa luas eksploitasi aktif yang sudah terjadi pada saat beberapa pemerintah memutuskan untuk membawa situs offline; Safeguard melaporkan bahwa pemerintah Belanda mengatakan tidak ada tanda-tanda eksploitasi aktif saat bertindak, sementara watchTowr secara terpisah mengkonfirmasi upaya serangan nyata terhadap honeypot-nya keesokan harinya.