Badan keamanan siber Amerika Serikat, CISA, pada Senin 26 Oktober 2026 menambahkan CVE-2026-109618 dan CVE-2026-109619 ke katalog Known Exploited Vulnerabilities. Keduanya dijuluki PHP2Shell, memungkinkan eksekusi kode jarak jauh tanpa autentikasi, dan sama-sama bernilai CVSS 9,2. Instansi federal AS harus menerapkan perbaikan paling lambat 29 Oktober.
Apa yang bermasalah
Tim keamanan PHP menerangkan bahwa CVE-2026-109618 muncul saat PHP terhenti karena kehabisan memori ketika data permintaan baru separuh terinisialisasi. Proses pembersihan lalu menganggap data yang tidak valid itu sebagai data sah. CVE-2026-109619 berasal dari status internal permintaan yang masih bertahan setelah memorinya dibebaskan, sehingga permintaan berikutnya di worker yang sama bisa memakainya sebelum direset.
Semua instalasi PHP yang melayani permintaan web terdampak, termasuk PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Risiko terbesar ada di mod_php, karena exploit publik hanya butuh satu permintaan tanpa login yang bereaksi sebelum kode aplikasi berjalan. Rentang versi yang rentan tidak dirinci di pengumuman PHP, tetapi daftar versi perbaikannya jelas.
Bukti serangan yang berhasil
Adel Karimi, kepala deteksi dan respons di Perplexity, melaporkan eksekusi kode berhasil di sistem honeypot pada 24 Oktober. Respons server memuat cookie terdekode sebesar 800 KiB, dan alamat fungsi yang dihitung dari data itu muncul di muatan lanjutan. Karimi sendiri mengingatkan bahwa ujinya memakai mod_php satu worker yang sengaja dibuat mudah, jadi hasilnya tidak mengukur keandalan di konfigurasi lain. Marcus Hutchins dari Expel menguatkan temuan itu.
Gambarnya masih bercampur. Amazon Threat Intelligence melihat penyerang mengincar celah ini empat hari sebelum patch keluar, sementara Unit 42 menarik klaim sebelumnya bahwa PHP2Shell dipakai terhadap sebuah instansi pemerintah Eropa karena tidak bisa mengonfirmasi kaitannya. Censys memperkirakan lebih dari 32,51 juta layanan PHP masih menjalankan versi terdampak.
Langkah yang disarankan
PHP merilis perbaikan pada 21 Oktober di versi 8.5.12, 8.4.27, 8.3.36, dan 8.2.35, serta PHP 8.6.0 RC4. Untuk 7.4, 8.0, dan 8.1 tersedia backport kode sumber minimal. Versi 8.1 ke bawah sudah tidak menerima pembaruan resmi, jadi pengguna perlu menanyakan paket backport ke vendor distribusi atau pindah ke versi yang didukung.
PHP menyatakan belum ada mitigasi yang lengkap. Bila belum bisa memperbarui, pengaturan session.upload_progress.enabled=0 di php.ini atau konfigurasi server, lalu memulai ulang semua worker, hanya menutup jalur yang sudah terkonfirmasi untuk CVE-2026-109619. Cloudflare memasang aturan WAF awal untuk semua pelanggannya, tetapi itu penahan sementara. Terpisah dari itu, PHP merilis ulang build Windows pada 26 Oktober untuk celah Brotli yang sudah kami bahas di berita sebelumnya, dan masih ada CVE-2026-115560 yang belum punya patch dengan syarat konfigurasi yang tidak lazim.
Sumber: The Hacker News, BleepingComputer, dan arsip pengumuman PHP.net. Gambar: The Hacker News