Keamanan · 29 Oktober 2026
Celah Keamanan PHP2Shell Berhasil Dieksploitasi dalam Serangan Nyata
Dua kerentanan eksekusi kode jarak jauh yang kritis, yang dilacak sebagai CVE-2026-109618 dan CVE-2026-109619, telah berhasil dieksploitasi dalam serangan nyata. Kerentanan ini secara kolektif dikenal sebagai PHP2Shell.
Bukti eksploitasi ini ditemukan oleh Adel Karimi dari Perplexity melalui perangkat jebakan yang mencatat eksekusi kode jarak jauh yang terkonfirmasi terhadap instalasi Apache mod_php yang menjalankan PHP 8.4.26. Karimi menyatakan bahwa ini adalah eksekusi kode jarak jauh yang terkonfirmasi dengan pengungkapan memori yang dapat digunakan, bukan sekadar kegagalan sistem yang diikuti oleh proses mencurigakan. Respons serangan tersebut memberikan tumpahan kuki terdekode sebesar 800 KiB, dan alamat fungsi yang berasal dari tumpahan tersebut muncul dalam muatan eksekusi berikutnya.
Temuan ini juga dikonfirmasi oleh peneliti ancaman dari Expel, Marcus Hutchins, yang telah melacak berbagai laporan dugaan eksploitasi PHP2Shell. Karimi menambahkan bahwa bukti tersebut menunjukkan rantai serangan pada profil mod_php pekerja tunggal yang sengaja dibuat menguntungkan, sehingga hal ini bukan merupakan ukuran keandalan eksploitasi pada jumlah pekerja, versi PHP, atau aplikasi lainnya.
Tim keamanan PHP telah merilis tambalan untuk celah PHP2Shell pada Rabu, 21 Oktober, setelah meminta administrator untuk bersiap memasang pembaruan keamanan. Sebelum tambalan tersedia, rincian mengenai celah keamanan tersebut, termasuk identitas CVE dan saran mitigasi bagi penyedia infrastruktur kritis, telah bocor di internet. Beberapa eksploitasi bukti konsep juga dipublikasikan, namun tim keamanan PHP menyatakan bahwa tidak ada yang berfungsi.
Beberapa perusahaan keamanan siber, termasuk Cloudflare, Hadrian, watchTowr, Previdian, dan Patchstack, mendeteksi upaya eksploitasi sebelum pengungkapan publik, tetapi menandai semuanya sebagai tidak berhasil. Peneliti di Amazon Threat Intelligence juga melihat penyerang menargetkan kerentanan PHP2Shell empat hari sebelum tambalan dirilis. Tim TRACE dari Dataminr menyebutkan bahwa hingga temuan Karimi, aktivitas berbahaya tersebut terbatas pada pemindaian, pemetaan sidik jari, dan penggunaan eksploitasi yang tidak berfungsi tanpa ada kompromi yang diketahui.
Sementara itu, Cybersecurity and Infrastructure Security Agency telah membagikan aturan deteksi SIGMA untuk upaya eksploitasi PHP2Shell pada hari Jumat, meskipun lembaga tersebut belum menandai celah tersebut sebagai telah dieksploitasi dalam serangan nyata. Selain itu, tim keamanan PHP membagikan langkah mitigasi untuk kerentanan eksekusi kode jarak jauh baru, CVE-2026-115560, yang belum memiliki tambalan dan hanya dapat dieksploitasi pada sistem dengan kombinasi konfigurasi dan kode aplikasi yang tidak biasa. Pengembang PHP menyarankan administrator untuk mengatur session.upload_progress.enabled=0 guna memblokir potensi serangan.