Tim Keamanan PHP Rilis Langkah Mitigasi untuk Kerentanan RCE Baru yang Belum Mendapat Patch
Tim keamanan PHP baru saja membagikan langkah mitigasi darurat untuk mengatasi kerentanan Remote Code Execution (RCE) baru yang belum memiliki patch resmi. Mengingat bahasa pemrograman PHP menjadi tulang punggung bagi hampir 70% situs web di seluruh dunia—dengan estimasi lebih dari 5,1 juta host PHP terekspos secara daring dan 3,8 juta di antaranya memiliki setidaknya satu port terbuka—penemuan celah keamanan ini menuntut kewaspadaan ekstra dari para pengelola infrastruktur peladen web.
Kerentanan baru yang dilacak sebagai CVE-2026-115560 ini beruntungnya hanya berdampak pada sistem dengan kombinasi konfigurasi dan kode aplikasi yang tidak standar (non-default). Menurut peringatan keamanan resmi yang dirilis Jumat lalu, eksploitasi hanya dapat terjadi apabila sebuah aplikasi mengatur session.serialize_handler menjadi php_binary atau php_serialize di konfigurasi awal, lalu mengubahnya menjadi php pada saat runtime menggunakan fungsi ini_set() sebelum memanggil session_start(). Kondisi ini juga mewajibkan fitur session upload progress masih dalam keadaan aktif.
Langkah Mitigasi Sementara Sembari Menunggu Patch
Mengingat kombinasi pengaturan ini terbilang sangat jarang dipraktikkan pada lingkungan peladen production, tim pengembang PHP memutuskan untuk menangani masalah ini pada siklus rilis reguler berikutnya dan akan mempublikasikan peringatan penuh untuk CVE-2026-115560 bersamaan dengan peluncuran patch tersebut. Aplikasi yang tidak pernah mengubah serialize handler saat runtime pada dasarnya tetap aman.
Hingga pembaruan keamanan resmi tersedia, para developer PHP sangat merekomendasikan administrator peladen untuk menonaktifkan fitur tersebut dengan mengatur parameter session.upload_progress.enabled=0 pada konfigurasi PHP. Tim keamanan menambahkan bahwa bagi pengelola sistem yang sudah menerapkan mitigasi ini sebelumnya, tidak ada tindakan lanjutan yang perlu dilakukan.
Langkah pencegahan ini idealnya sudah diterapkan secara luas pada hari Rabu lalu, tepat sebelum rilisnya patch untuk dua kerentanan RCE kritis lainnya, yakni CVE-2026-109618 dan CVE-2026-109619, yang secara kolektif dikenal sebagai ancaman PHP2Shell.
Ancaman Eksploitasi PHP2Shell Mulai Mengintai
Sementara CVE-2026-115560 masih menunggu pembaruan, fokus utama komunitas keamanan saat ini justru tertuju pada kerentanan PHP2Shell. Tim keamanan PHP merilis patch untuk PHP2Shell hanya sehari setelah mendesak para administrator agar bersiap memasang pembaruan secepat mungkin. Meskipun beberapa kode Proof-of-Concept (PoC) sempat dipublikasikan sebelum patch rilis, tim PHP mengonfirmasi bahwa tidak ada satu pun dari kode tersebut yang berfungsi penuh.
Kendati demikian, sejumlah perusahaan keamanan siber ternama—termasuk Cloudflare, watchTowr, Previdian, Hadrian, dan Patchstack—mendeteksi berbagai upaya eksploitasi yang gagal bahkan sebelum pengungkapan publik dilakukan. Hal ini terjadi menyusul bocornya beberapa detail terkait PHP2Shell (termasuk ID CVE dan saran mitigasi) secara daring.
Para peneliti keamanan dari Amazon Threat Intelligence juga mengungkapkan bahwa penyerang telah mulai menargetkan celah PHP2Shell empat hari sebelum patch keamanan dirilis. CJ Moses, Chief Information Security Officer AWS, menegaskan bahwa pilihan muatan (payload) dan infrastruktur anonimisasi bervariasi, menunjukkan adanya keterlibatan banyak aktor ancaman. Ia menambahkan bahwa upaya eksploitasi terhadap PHP2Shell kini marak terjadi di ranah nyata (in the wild), meski belum jelas seberapa banyak yang berhasil menembus sistem.
Tim riset TRACE dari Dataminr turut menyoroti bahwa aktivitas peretasan pasca-pengungkapan kerentanan saat ini masih terbatas pada tahap pemindaian (scanning), fingerprinting, dan penggunaan exploit yang tidak berfungsi. Namun, mereka memperingatkan bahwa kemunculan PoC yang berfungsi penuh dan eksploitasi yang sukses hanyalah masalah waktu.
Sumber: BleepingComputer
