PHP2Shell Ancam Server, PHP Rilis Patch untuk Dua Celah Kritis

BeritaTop.id - PHP Foundation merilis pembaruan keamanan untuk menutup dua celah kritis pada PHP, yakni CVE-2026-109618 dan CVE-2026-109619, yang berpotensi memungkinkan peretas menjalankan kode dari jarak jauh tanpa autentikasi. Pengelola server diminta segera memasang tambalan untuk mencegah risiko pengambilalihan sistem.

Pembaruan tersebut tersedia melalui PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 yang dirilis pada Rabu (21/10/2026). PHP menyatakan seluruh instalasi yang melayani permintaan web berpotensi terdampak, termasuk PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Risiko dinilai paling tinggi pada konfigurasi Apache mod_php karena serangan dapat dipicu melalui permintaan tanpa autentikasi sebelum kode aplikasi dijalankan. (PHP.net)

Empat Versi PHP yang Perlu Diperbarui

Pengelola sistem perlu memastikan versi PHP yang benar-benar berjalan di server sudah diperbarui. Memperbarui aplikasi seperti WordPress saja tidak cukup apabila lingkungan PHP yang mendasarinya masih rentan.

Versi pembaruan keamanan yang tersedia meliputi:

• PHP 8.5.12

• PHP 8.4.27

• PHP 8.3.36

• PHP 8.2.35

Pemeriksaan juga perlu mencakup PHP yang digunakan dalam image kontainer, panel pengelolaan server, serta perangkat lunak pihak ketiga. Pembaruan pada sistem utama belum tentu otomatis memperbarui seluruh komponen tersebut.

PHP 8.1 dan versi yang lebih lama tidak lagi menerima pembaruan resmi dari proyek PHP. Meski sejumlah distributor Linux dan penyedia dukungan jangka panjang dapat menyediakan tambalan backport, pengelola sistem tetap disarankan menggunakan versi yang masih didukung dan mengikuti panduan keamanan dari vendor masing-masing. (PHP.net)

Dua Celah Berpotensi Memicu Eksekusi Kode Jarak Jauh

Kedua kerentanan tersebut dikenal dalam rangkaian yang disebut “PHP2Shell”. Dampak potensialnya mencakup eksekusi kode jarak jauh atau remote code execution (RCE), bahkan tanpa penyerang harus masuk ke sistem terlebih dahulu. Peringatan keamanan dari NHS England Digital juga menyebutkan bahwa eksploitasi dapat membuka akses terhadap data sensitif di memori proses PHP. (NHS England Digital)

CVE-2026-109618 berkaitan dengan kesalahan pengelolaan memori ketika PHP mengalami kehabisan memori atau out of memory (OOM). Dalam kondisi tertentu, proses dapat terhenti saat data internal permintaan belum selesai diinisialisasi. Ketika proses pembersihan berlangsung, data yang belum valid berpotensi diperlakukan seolah-olah sudah siap digunakan sehingga memori mengalami kerusakan.

Sementara itu, CVE-2026-109619 berkaitan dengan kondisi stale global state, ketika status internal masih merujuk pada memori yang telah dilepaskan. Situasi ini menyerupai masalah use-after-free, yaitu ketika program mengakses memori yang seharusnya tidak lagi digunakan.

Kedua masalah tersebut dapat membuka peluang bagi penyerang untuk memanipulasi proses PHP. Karena itu, pembaruan versi menjadi langkah utama untuk menutup celah yang telah diidentifikasi.

Pengungkapan Kerentanan Berujung Percepatan Rilis

Rangkaian kerentanan ini mendapat perhatian setelah nomor identifikasi CVE beredar di internet pada Selasa (20/10/2026). Informasi yang bocor disebut mencakup nomor kerentanan dan skor keparahan, tetapi bukan detail teknis cara mengeksploitasinya.

PHP Foundation kemudian mempercepat jadwal pengumuman dan perilisan tambalan. Pembaruan keamanan akhirnya dirilis pada Rabu (21/10/2026), sehari lebih cepat dari jadwal awal menurut kronologi dalam materi sumber.

Proses distribusi juga menghadapi tantangan karena sejumlah pengelola distribusi Linux masih menyiapkan paket pembaruan. Di sisi lain, beredarnya video bukti konsep atau proof of concept (PoC) menambah perhatian terhadap risiko eksploitasi.

Perusahaan keamanan Tenable menamai rangkaian kerentanan ini “PHP2Shell”. Materi sumber juga menyebut adanya laporan serangan awal yang diamati Cloudflare. Namun, klaim terkait waktu kemunculan eksploit, efektivitas kode serangan yang beredar, dan urutan kebocoran informasi perlu dibaca sesuai keterangan masing-masing pihak.

PHP Akui Ada Keterlambatan dalam Penanganan

PHP Foundation mengungkapkan bahwa indikasi awal masalah telah terlihat sejak audit keamanan eksternal pada 2024. Saat memperbaiki salah satu temuan audit, pengembang menemukan indikasi masalah terkait kehabisan memori. Namun, saat itu belum ditemukan cara untuk mengeksploitasinya sehingga prioritas perbaikan diturunkan.

Penanganan kemudian tertunda selama beberapa bulan karena tim mempertimbangkan berbagai opsi teknis. Pertimbangan tersebut mencakup risiko gangguan kompatibilitas, potensi serangan denial of service (DoS), serta dampak terhadap ekstensi pihak ketiga.

“Kami tidak akan menutup-nutupinya. Keterlambatan ini adalah kegagalan struktural. Penyebabnya proses pengambilan keputusan tim keamanan sekaligus kurangnya sumber daya,” tulis PHP Foundation.

Menurut kronologi dalam materi sumber, pada Juli 2026 perusahaan keamanan siber Calif mulai mengaudit PHP melalui program Patch the Planet milik OpenAI. Pada 11 Agustus, Calif melaporkan kerentanan RCE dengan akar masalah serupa. OpenAI juga melaporkan temuan pada hari yang sama, sementara Wiz dan pihak lain menemukan jalur serangan tambahan.

Sejak 11 Agustus, penanganan masalah tersebut menjadi prioritas utama tim keamanan PHP. Setelah dua kerentanan diumumkan dan tambalan dirilis pada 21 Oktober 2026, pengelola sistem diimbau memeriksa seluruh instalasi PHP dan segera menerapkan pembaruan yang sesuai.