Celah Keamanan Kritis PHP2Shell Kini Berhasil Dieksploitasi di Alam Liar
Dua kerentanan eksekusi kode jarak jauh (Remote Code Execution / RCE) kritis yang dikenal dengan sebutan PHP2Shell (CVE-2026-109618 dan CVE-2026-109619) dilaporkan telah berhasil dieksploitasi secara aktif di alam liar (in-the-wild).
Aktivitas berbahaya ini pertama kali terekam oleh Adel Karimi, selaku detection and response lead di Perplexity. Sistem honeypot miliknya mendokumentasikan bukti nyata eksploitasi RCE terhadap instalasi Apache mod_php yang menjalankan versi PHP 8.4.26.
“Ini sekarang merupakan RCE yang terkonfirmasi dengan pengungkapan memori yang dapat digunakan, bukan sekadar crash yang diikuti oleh proses mencurigakan,” ujar Karimi. Temuan mendalam ini turut dikonfirmasi oleh pakar ancaman Expel, Marcus Hutchins, yang menyebut analisis tersebut sebagai konfirmasi kualitas tertinggi dari eksploitasi PHP2Shell di lapangan.
Respons CISA dan Penambalan oleh Tim PHP
Meskipun Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) sebelumnya telah merilis aturan deteksi SIGMA untuk upaya serangan PHP2Shell, instansi tersebut kini memasukkan celah ini ke dalam katalog kerentanan yang aktif dieksploitasi (Known Exploited Vulnerabilities / KEV).
Tim Keamanan PHP sendiri telah menerbitkan patch resmi pada Rabu, 21 Oktober 2026, sehari setelah meminta para administrator sistem untuk bersiap melakukan pembaruan. Sebelum patch dirilis secara resmi, beberapa perusahaan keamanan seperti Cloudflare, Hadrian, watchTowr, Amazon Threat Intelligence, dan lainnya telah memantau adanya upaya pemindaian (scanning) serta eksploitasi uji coba, kendati sebagian besar sempat dinilai tidak berhasil atau terbatas pada tahap pengintaian.
Kerentanan Tambahan Tanpa Patch
Selain dua celah utama tersebut, Tim Keamanan PHP turut membagikan langkah mitigasi untuk kerentanan RCE baru yang dilacak sebagai CVE-2026-115560. Celah ini tidak memiliki patch bawaan dan hanya dapat dieksploitasi jika menargetkan sistem dengan kombinasi konfigurasi serta kode aplikasi yang tidak biasa.
Sebagai langkah pencegahan sementara sebelum pembaruan dirilis, para pengembang PHP menyarankan administrator untuk mengatur parameter session.upload_progress.enabled=0 guna memblokir potensi vektor serangan serupa.
Mengingat PHP digunakan oleh sekitar 70% dari seluruh situs web di internet dengan jutaan host daring yang terekspos, organisasi diimbau untuk segera menerapkan pembaruan perangkat lunak versi terbaru yang telah disediakan guna menghindari risiko kompromi sistem secara menyeluruh.
Sumber: Perplexity / CISA
