Keamanan · 4 November 2026
Kerentanan Kritis PHP2Shell Memungkinkan Eksekusi Program Jarak Jauh
Bahasa pemrograman PHP mengalami kerentanan keamanan serius yang dikenal sebagai PHP2Shell. Masalah ini memungkinkan pihak ketiga yang tidak masuk ke sistem untuk menjalankan program pada peladen jika kondisi tertentu terpenuhi.
PHP2Shell merupakan istilah kolektif untuk dua kerentanan, yaitu CVE-2026-109618 dan CVE-2026-109619. Karena masalah ini terletak pada fondasi umum PHP dan bukan pada situs web atau pengaya tertentu, cakupan dampaknya sangat luas. Pengembang PHP memberikan skor 9,2 dengan kategori darurat berdasarkan CVSS v4.0.
Tim pengembang PHP telah merilis versi perbaikan pada 21 Oktober, yang mencakup versi 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. CISA dari Amerika Serikat mendesak organisasi untuk segera menerapkan perbaikan tersebut, sementara IPA dan JPCERT/CC di Jepang juga telah mengeluarkan peringatan.
Serangan ini dapat terjadi sebelum fungsi masuk ke sistem bekerja. Menurut tim pengembang PHP, CVE-2026-109618 telah terbukti mencapai jalur sebelum kode aplikasi berjalan pada mod_php milik Apache, sedangkan pada PHP-FPM, eksekusi kode jarak jauh terkonfirmasi melalui jalur kode sisi aplikasi. Hal ini berarti keberadaan fungsi masuk saja tidak menjamin keamanan. Selain itu, karena masalah terjadi sebelum pemrosesan aplikasi dimulai, riwayat pengoperasian situs web mungkin tidak memberikan petunjuk serangan yang cukup.
Para peneliti melaporkan bahwa meskipun program ilegal tidak dijalankan, informasi seperti kata sandi, token autentikasi, dan kunci API dapat dibaca dari memori yang disimpan PHP selama pemrosesan. Tim perburuan ancaman Tanium mengonfirmasi bahwa eksekusi kode dapat dicapai hanya dengan permintaan HTTP untuk CVE-2026-109619 dalam lingkungan laboratorium menggunakan Apache mod_php dengan PHP 8.5.11 yang belum diperbaiki.
CISA menyatakan pada 23 Oktober bahwa belum ada pengamatan keberhasilan eksploitasi di lingkungan nyata. Namun, pada 26 Oktober, CISA menambahkan CVE-2026-109618 dan CVE-2026-109619 ke dalam Katalog Known Exploited Vulnerabilities. Penambahan ini menunjukkan adanya bukti terpercaya mengenai upaya atau keberhasilan eksploitasi di lingkungan nyata, termasuk upaya serangan terhadap honeypot. Lembaga pemerintah federal Amerika Serikat diberikan tenggat waktu penanganan hingga 29 Oktober waktu Amerika Serikat.
Di Jepang, beberapa layanan dihentikan sementara untuk pencegahan dan konfirmasi keamanan sebelum versi perbaikan dirilis. Layanan yang terdampak meliputi beranda dan aplikasi bank daerah, sistem pencarian dokumen publik pemerintah daerah, serta sebagian fungsi penyedia hosting dan layanan pembuatan situs web. Semua tindakan tersebut dilaporkan sebagai langkah pencegahan dan bukan akibat serangan.