PHP2Shell

Artikel ini membahas suatu insiden keamanan siber terkini. Informasi pada halaman ini dapat berubah setiap saat seiring dengan perkembangan peristiwa dan laporan berita awal mungkin tidak dapat diandalkan. Pembaruan terakhir untuk artikel ini mungkin tidak mencerminkan informasi terkini. Silakan hapus templat ini apabila sudah lebih dari satu bulan Silakan perbaiki artikel ini atau diskusikan perubahan pada halaman pembicaraan, tetapi harap perhatikan bahwa pembaruan tanpa rujukan yang sah dan tepercaya akan dihapus. (Oktober 2026) (Pelajari cara dan kapan saatnya untuk menghapus pesan templat ini)

PHP2Shell

Layanan Phabricator Wikimedia yang terlihat beberapa jam sebelum tambalan, telah dinonaktifkan sebagai langkah pencegahan
pengidentifikasi CVE	CVE-2026-109618 CVE-2026-109619
Tanggal ditemukan	Agustus 2026
Tanggal ditambal	Oktober 21, 2026;2 hari lalu (2026-10-21)
Penemu	Calif, OpenAI, Wiz
Perangkat lunak yang terpengaruh	PHP versi 5.4-8.5[1]
Situs resmi	php2shell.com

PHP2Shell adalah set dari dua kerentanan (CVE-2026-109618 dan CVE-2026-109619) pada perangkat lunak PHP versi 5.4–8.5 yang memungkinkan eksekusi kode jarak jauh (Inggris: remote code execution; RCE). Kemunculan kerentanan ini diumumkan secara publik pada 20 Oktober 2026.^[2] Tambalan darurat untuk versi 8.2, 8.3, 8.4, dan 8.5, dan detail tentang kerentanan ini diumumkan pada keesokan harinya.^[3]

Penemuan

Versi PHP hingga 5.4 (rilis pada 2012)^[4] terpengaruh oleh kerentanan ini, dan sementara kekhawatiran di sekitar kekutu keamanan memori telah disebutkan sejak berdekade-dekade sebelumnya, tidak ada aksi yang telah dilakukan waktu itu karena sebelumnya tidak dipikirkan dapat berkembang menjadi eksploitasi [en] yang dapat dilaksanakan.^[5][6] Pengembang utama PHP menemukan bahwa galat kehabisan memori di balik salah satu kerentanan setelah audit tahun 2024, tetapi kutu tersebut tidak pernah diperbaiki; tim pengembang tidak dapat mencapai konsensus tentang bagaimana caranya dan ekploitasi spesifik belum ditemukan. Jadi, masalah tersebut tidak menjadi prioritas.^[7][8]

Kerentanan ini ditemukan secara independen oleh dua pihak: Ryan Austin, periset firma keamanan berbasis California Calif,^[9] sebagai bagian dari proyek "Patch the Planet" (Tambal Planet) OpenAI di Agustus 2026; dan perusahaan keamanan awan Israel-Amerika Wiz, anak perusahaan dari Alphabet Inc. dan bagian dari Google Cloud. Austin menggunakan model GPT-5.6 Sol milik OpenAI untuk membantu mencari kerentanan tersebut.^[6] Periset Wiz menggunakan model bahasa besar Gemini 4 Argon dan GPT-5.6 Sol, dan perkakas mereka sendiri, Wiz Atlas, untuk membantu riset mereka.^[10]

Kerentanan ini mendapatkan peringkat 9.2 (kritis) dari 10 di bawah CVSS v4.0 oleh pengembang PHP.^[11] Sementara itu, firma keamanan watchTowr memberikannya peringkat 10.0.^[12]

Tambalan

Pengelola PHP merilis versi tambalan untuk PHP 8.2, 8.3, 8.4, dan 8.5 (8.2.35, 8.3.36, 8.4.27, and 8.5.12).^[3] Sumber kode tambalan dirilis untuk versi 7.4, 8.0, dan 8.1, tetapi tidak ada binari terbaru resmi untuk versi-versi tersebut yang dirilis karena mereka dianggap berada di akhir daur hidup.^[3] Mitigasi sementara juga dipublikasikan, tetapi pengelola mengatakan bahwa tidak ada mitigasi lengkap dan memperbarui perangkat lunak adalah pilihan yang aman.^[3] Kedua kerentanan dipublikasikan melalui badan penasihat keamanan GitHub pada 21 Oktober 2026, pukul 13:34 UTC,^[13][14] 26 menit sebelum waktu pengumuman, dengan situs web PHP diperbarui beberapa waktu setelahnya.^{[butuh rujukan]}

Pengelola PHP mengumumkan pembaruan ini lebih dulu dan sebelum rilis, setelah berita dari kerentanan ini bocor pada 20 Oktober di forum Hacker News,^[15] pada sebuah postingan di X oleh perusahaan keamanan siber watchTowr labs, dan pada video bukti konsep eksploitasi dirilis secara tidak sengaja oleh Calif.^{[16][sumber tepercaya?][6][7]} Pemberitahuan awal pada PHP.net mendorong pengguna untuk mempersiapkan dan memperbarui perangkat lunak secepat mungkin setelah tambalan dirilis.^[3] Satu firma keamanan, Sansec, menyangka "penyerangan massa akan dimulai dalam 15 menit setelah dirilis".^[17] Bukti konsep eksploitasi, tulisan, dan mitigasi sementara mulai tersebar di Internet sebelum akhir dari embargo, setelah pengembangan platform Chainguard merilis versi tambalan untuk perangkat lunak yang lebih tua; ini memungkinkan penyerang untuk menentukan kode apa yang sudah berubah.^[12][18][7]

Amazon Threat Intelligence mengidendifikasikan percobaan eksploitasi PHP2Shell tanggal 17 Oktober 2026, pada telemetri MadPot, empat haru sebelum pemberitahuan publik.^[19] Cloudflare mengumumkan tanda eksploitasi awal sebelum tambalan dirilis secara publik, dan meluncurkan aturan tembok api aplikasi web (WAF) sebagai usaha mitigasi sementara melawan kerentanan tersebut.^[20][21][22] Firma keamanan watchTowr mengatakan bahwa mereka telah mengamati eksploitasi pada 21 Oktober melalui jaringan honeypot mereka,^[23] sementara itu Badan Keamanan Siber dan Keamanan Infrastruktur Amerika Serikat (CISA) mengatakan bahwa mereka belum mengamati eksploitasi pada hari yang sama.^[24]

Dampak

Sekitar 69% situs web menggunakan PHP, termasuk yang menggunakan sistem pengelolaan isi seperti Drupal, Joomla, dan WordPress, jadi dampak potensinya tersebar luas.^[24][25] PHP juga dikemas dengan peralatan vendor, panel kontrol penginangan web seperti cPanel dan Plesk, dan beberapa aplikasi Windows.^[26]

Mengikuti saran dari CERT-EU dan Pusat Keamanan Siber Nasional Britania Raya, banyak organisasi di seluruh Eropa menonaktifkan situs mereka sebagai tindakan pencegahan sementara tambalan sedang diproses, termasuk portal pemerintahan Belanda Overheid.nl, platform komunikasi sekolan nasional Denmark, seluruh layanan web pemerintah Finlandia untuk publik, dan seluruh situs web dari Kementerian Dalam Negeri Prancis. ^{[10][25][27][28]} Badan Keamanan Nasional Amerika Serikat merekomendasikan agar situs web dinonaktifkan jika tidak dapat diperbarui segera.^[5][29] Pusat Kemanana Siber Nasional Britania Raya merilis peringatan yang mirip, mendesak organisasi untuk waspada terhadap pintu belakang.^[30] Kantor Keamanan Nasional Jepang menyarankan pengguna PHP untuk memperbarui sistem mereka.^[31] Di Indonesia, Badan Siber dan Sandi Negara memberikan peringatan kerentanan PHP ini dan memberikan langkah mitigasi yang dapat dilakukan oleh pengelola situs web.^[32]

Yayasan Wikimedia mematikan banyak layanan dukungan mereka, dan situs forum seperti 4chan dan Something Awful dinonaktifkan.^[24][33][5] Sebagian internet Jepang juga dinonaktifkan, termasuk permainan seperti Umamusume: Pretty Derby, Granblue Fantasy, Princess Connect! Re:Dive, dan banyak situs komersial lainnya.^[31][33] Internet Archive mati sebentar untuk memperbaiki masalah.^[34]

Analisis

Periset di Wiz mengatakan bahwa masalah ini setara dengan Heartbleed; kerentanan tahun 2014 yang berdampak pada pustaka enkripsi yang digunakan oleh 2/3 web saat itu.^[35] Komentari di the Guardian mencatat bahwa PHP Foundation, yang mengelola bahasa PHP, hanya memiliki 13 karyawan penuh dan paruh waktu, dan bergantung pada kontribusi finansial, sementara riset AI, yang telah diberikan kredit menemukan kerentanan ini, mendapatkan miliaran dolar investasi.^[36]

Lihat pula

• Log4Shell

Referensi

Pranala luar

• Pengumuman oleh PHP Project
• Penjelasan Calif untuk kerentanan ini
• Penjelasan Wiz untuk kerentanan ini