Badan keamanan siber Amerika Serikat, CISA, pada Senin 26 Oktober 2026 menambahkan dua celah PHP yang dijuluki PHP2Shell ke katalog Known Exploited Vulnerabilities (KEV). Masuknya celah ke daftar itu berarti CISA memastikan ada eksploitasi di dunia nyata. Kedua celah, CVE-2026-109618 dan CVE-2026-109619, memungkinkan eksekusi kode jarak jauh di server yang belum ditambal, menurut BleepingComputer.
Versi PHP yang terdampak dan yang sudah diperbaiki
Kedua celah berada di mesin PHP itu sendiri, bukan di aplikasi tertentu. Menurut Recorded Future, masalahnya ada pada cara PHP menangani memori permintaan saat inisialisasi, penanganan galat, dan pembersihan. Keduanya bernilai CVSS v4.0 9,2. Tim PHP merilis perbaikan pada Rabu 21 Oktober di versi 8.2.35, 8.3.36, 8.4.27, dan 8.5.12. Cabang lama yang sudah tidak didukung tidak mendapat perbaikan, dan Recorded Future menyarankan jangan menganggapnya aman.
Pembaca yang menjalankan PHP di Windows bisa menengok liputan kami tentang rilis ulang paket Windows PHP untuk celah Brotli yang berbeda. Itu perkara lain, tetapi keduanya sama-sama menuntut pembaruan.
Diserang sebelum tambalan keluar
Amazon Threat Intelligence menyatakan upaya serangan dimulai 17 Oktober, empat hari sebelum tambalan tersedia. Tim PHP sempat mempercepat jadwal rilis setelah rincian celah bocor pada 20 Oktober. Menurut Recorded Future, Wiz Research menemukan celah pertama pada 19 Agustus dan melapor ke tim PHP pada 24 Agustus.
Gambaran keberhasilan serangan masih belum jelas. Cloudflare, Amazon, Hadrian, watchTowr, Previdian, dan Patchstack mendeteksi percobaan eksploitasi, tetapi menandainya gagal. Peneliti Perplexity, Adel Karimi, mengonfirmasi eksploitasi di honeypot yang menjalankan Apache mod_php dengan PHP 8.4.26. Tim PHP menyatakan bukti konsep yang bocor sebelum tambalan tidak ada yang berfungsi. Amazon tetap memperingatkan bahwa tanggal pengungkapan publik bukan tanggal eksploitasi paling awal.
Yang perlu dilakukan pengelola server
Tim PHP menyebut pemasangan tambalan resmi sebagai satu-satunya pertahanan permanen. Lembaga siber Inggris, NCSC, meminta organisasi segera memperbarui server PHP atau mematikannya sampai tertambal. Recorded Future menambahkan langkah pendukung berupa pembatasan akses eksternal, WAF, dan penguatan konfigurasi PHP, tetapi tidak menggantikan patch.
Skalanya besar. W3Techs memperkirakan PHP menjalankan sekitar 70 persen situs web, dan VirusTotal mencatat lebih dari 5,1 juta host PHP terpapar internet, sekitar 3,8 juta di antaranya punya setidaknya satu port terbuka. Lembaga federal AS harus menutup celah ini paling lambat Kamis, yang menurut perhitungan BleepingComputer jatuh pada 29 Oktober. Menurut BleepingComputer, ada pula celah RCE terpisah, CVE-2026-115560, yang belum punya tambalan, dan tim PHP hanya membagikan langkah mitigasi sementara. Untuk situs WordPress atau Laravel di hosting sendiri, cek versi PHP hari ini lewat php -v dan naikkan ke versi di atas.
Sumber: BleepingComputer, Recorded Future, BleepingComputer (Amazon). Gambar: BleepingComputer