Celah Mesin PHP Inti PHP2Shell, Risiko Kode Bersih

Aplikasi Anda bisa lolos code review, melakukan escape pada input, dan menjaga logika autentikasinya cukup rapi hingga membuat auditor sejenak percaya pada kemanusiaan. Lalu runtime di bawahnya tetap bisa menyerahkan linggis kepada pengunjung yang tidak terautentikasi. Itulah pelajaran tidak nyaman dari PHP2Shell, sepasang celah PHP yang dilacak sebagai CVE-2026-109618 dan CVE-2026-109619.

Risiko utamanya bukan bahwa setiap aplikasi PHP tiba-tiba lupa cara menjadi aman. Masalahnya adalah mesin PHP itu sendiri berada di jalur ledakan, yang berarti kode aplikasi yang bersih mungkin berada di atas lapisan eksekusi yang tidak aman. Catatan patch biasanya terasa seperti manual peralatan rumah tangga, tetapi ketika interpreter inti mendapat perbaikan kritis, berarti ruang bawah tanah mulai berbunyi.

Apa yang terjadi di bawah framework, menurut CISA dan Huntress

CISA mengatakan PHP2Shell memungkinkan eksekusi kode jarak jauh tanpa autentikasi di PHP dan memengaruhi semua instalasi PHP yang melayani permintaan web. Huntress mengatakan deployment yang terekspos mencakup PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Detail penting bagi developer adalah urutannya: Huntress menjelaskan jalur exploit mod_php yang dapat terpicu "sebelum kode aplikasi apa pun berjalan." Itu adalah plot twist yang paling tidak disukai teater keamanan, karena controller Anda bahkan tidak mendapat kesempatan untuk terlihat berani.

@title Jalur permintaan PHP2Shell
@source CISA
@source Wiz Blog

  Web request
     │
     ▼
  PHP core
     │
     ├→ Code execution
     └→ Memory disclosure

@caption Langkah berisiko terjadi di PHP itu sendiri, di bawah kode aplikasi yang biasanya ditinjau oleh tim.

BleepingComputer melaporkan bahwa PHP merencanakan pembaruan keamanan darurat pada 21 Oktober pukul 14:00 UTC, dengan kedua celah diberi nilai 9,2 berdasarkan CVSS v4.0. Huntress kemudian mengatakan tim PHP merilis PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 sekitar pukul 09.30 ET pada 21 Oktober. CISA juga mengatakan belum mengamati eksploitasi pada saat publikasi, yang merupakan konteks berguna, bukan surat izin untuk menunggu sampai scanner berhenti berteriak.

Mengapa kode aplikasi yang bersih tidak menyelamatkan Anda, menurut Wiz dan SANS

Wiz mengatakan kerentanan tersebut berada di PHP itu sendiri, terlepas dari aplikasi apa pun yang berjalan di atasnya. Wiz juga mengatakan versi sejak PHP 5.4 terdampak oleh setidaknya salah satu celah, dan bug tersebut dapat memungkinkan penyerang tanpa autentikasi menjalankan kode atau membaca memori proses. Memori itu mungkin menyimpan kata sandi, token autentikasi, kunci API, dan sertifikat, yang pada dasarnya setara dengan runtime yang membiarkan lemari arsip terbuka saat latihan kebakaran.

SANS juga menggambarkan masalah ini sebagai kerentanan inti PHP dan mengatakan instalasi PHP default diperkirakan rentan. SANS juga memperingatkan bahwa hanya PHP 8 yang diperkirakan akan menerima patch, karena versi yang lebih lama sudah tidak didukung. Di sinilah perangkat lunak lama menjadi bukan lagi strategi kelangsungan bisnis, melainkan barang antik berhantu dengan kabel jaringan.

Jendela respons, menurut The Record dan BleepingComputer

The Record melaporkan bahwa bug tersebut dapat memungkinkan eksekusi kode jarak jauh pada situs web yang belum dipatch dan bahwa ratusan situs web dibuat offline saat administrator bereaksi. The Record juga mengutip tim keamanan PHP yang mendesak pengguna untuk bersiap agar mereka dapat melakukan upgrade segera setelah rilis tersedia. Itulah versi panik yang bertanggung jawab: singkat, terjadwal, dan sebaiknya diikuti jendela pemeliharaan, bukan jembatan insiden.

BleepingComputer melaporkan bahwa celah tersebut dilacak sebagai CVE-2026-109618 dan CVE-2026-109619, dan bahwa para peneliti meyakini celah itu memengaruhi PHP versi 5, 6, 7, dan 8. SANS mengatakan panduan awal menyarankan mengatur session.upload_progress.enabled ke Off sebagai mitigasi parsial, tetapi kata parsial benar-benar penting di sini. Mitigasi membeli waktu. Patching membayar tagihannya.

Apa yang benar-benar berubah bagi tim, menurut CISA dan SANS

CISA meminta organisasi mengidentifikasi dan menginventarisasi sistem yang menjalankan versi PHP apa pun, lalu memprioritaskan patching pada sistem yang menghadap internet. CISA juga memperingatkan bahwa "keberadaan PHP mungkin tidak dapat diamati secara langsung," karena PHP dapat tertanam sebagai komponen dari perangkat lunak lain. Terjemahannya: jika inventaris aset Anda hanya mengetahui nama aplikasi, bukan runtime di bawahnya, selamat, Anda telah menciptakan permainan petak umpet untuk respons insiden.

SANS mencatat bahwa banyak produk firewall dan router open source menggunakan PHP dan menyarankan agar antarmuka admin web tidak diekspos ke internet. Saran itu tidak glamor, tetapi menjelaskan mengapa panel administratif menjadi pintu depan juga tidak glamor. Inventaris runtime harus mencakup aplikasi web berbasis PHP, sistem manajemen konten, antarmuka admin web, dan perangkat lunak vendor tempat PHP mungkin dibundel di balik nama produk.

Apa arti sebenarnya bagi Anda

Jika Anda menjalankan PHP yang melayani permintaan web, pindahlah ke PHP 8.5.12, 8.4.27, 8.3.36, atau 8.2.35 seperti yang direkomendasikan CISA. Jika Anda menggunakan PHP 8.1 atau lebih lama, perlakukan itu sebagai masalah runtime yang tidak didukung, bukan sekadar item backlog developer. Pelajaran bagi para builder lebih besar daripada pasangan CVE ini: keamanan aplikasi harus mencakup interpreter, integrasi web server, dan dependensi platform yang diam-diam mengeksekusi kode sebelum kode Anda sempat memperkenalkan diri.

Hal berikutnya yang perlu diperhatikan adalah apakah produk downstream menerbitkan pembaruan mereka sendiri dan apakah inventaris aset benar-benar dapat menemukan PHP ketika diselipkan di dalam perangkat lunak lain. Tidak perlu musik kiamat. Cukup patch runtime, verifikasi versi yang berjalan, kurangi eksposur internet yang tidak perlu, dan tambahkan language engine ke daftar hal yang diperlakukan program keamanan Anda sebagai infrastruktur produksi, bukan sekadar pipa saluran.