Keamanan · 24 Oktober 2026
PHP Merilis Patch Darurat untuk Mengatasi Kerentanan Kritis PHP2Shell
PHP telah merilis pembaruan darurat untuk memperbaiki dua kerentanan kritis dalam runtime PHP yang secara kolektif disebut sebagai PHP2Shell. Celah keamanan ini memungkinkan penyerang tanpa akun pengguna untuk menjalankan kode pada server web.
Kerentanan yang diidentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619 ini masing-masing memiliki skor CVSS v4.0 sebesar 9,2. Temuan ini dihasilkan oleh Wiz Research, Calif, dan tim Codex Security dari OpenAI. Masalah ini berdampak pada hampir semua versi PHP hingga versi 5.4, dengan patch yang tersedia pada versi 8.5.12, 8.4.27, 8.3.36, dan 8.2.35.
Bahaya utama dari kerentanan ini terletak pada mesin PHP itu sendiri dan bukan pada kode aplikasi, sehingga situs web dengan kode aman atau halaman sederhana tetap berisiko. Semua instalasi PHP yang melayani web terancam, termasuk PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Sistem yang menggunakan Apache mod_php menghadapi risiko tertinggi karena adanya demonstrasi eksploitasi yang hanya membutuhkan satu permintaan tanpa autentikasi sebelum kode aplikasi dijalankan.
Untuk PHP-FPM, CVE-2026-109619 terbukti dapat menjalankan kode, sementara CVE-2026-109618 dianggap berisiko meskipun belum ada demonstrasi eksploitasi yang lengkap. Selain itu, penyerang dapat membaca memori proses worker PHP tanpa menjalankan kode, yang berpotensi mengungkap kata sandi, token autentikasi, kunci API, dan sertifikat dari permintaan lain.
Administrator diminta segera memperbarui runtime PHP dan memulai ulang Apache, PHP-FPM, serta seluruh worker PHP. Pembaruan aplikasi seperti WordPress atau Laravel tidak memperbarui runtime PHP karena runtime berasal dari paket server, penyedia hosting, atau citra kontainer. Untuk PHP 7.4, 8.0, dan 8.1 yang tidak lagi menerima pembaruan resmi, tim keamanan PHP telah menyediakan source backport.
WatchTowr dan Cloudflare melaporkan telah menemukan upaya serangan. Cloudflare mencatat bahwa penyerang mengubah muatan untuk menghindari aturan WAF mereka, meskipun belum ada laporan tentang peretasan yang berhasil dikonfirmasi. Tim peneliti menyarankan pemantauan terhadap permintaan multipart yang tidak biasa, kesalahan batas memori, kesalahan HTTP 500 yang berulang, cookie PHPSESSID yang berukuran besar, serta restart worker PHP yang tidak diketahui penyebabnya.