CISA Konfirmasi Kerentanan PHP2Shell Kini Dieksploitasi dalam Serangan
Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) secara resmi telah memasukkan dua kerentanan kritis PHP yang dikenal secara kolektif sebagai PHP2Shell ke dalam katalog celah keamanan yang aktif dieksploitasi (Known Exploited Vulnerabilities / KEV).
Aktor ancaman tanpa hak istimewa (unprivileged) dapat mengeksploitasi dua masalah keamanan ini—yakni CVE-2026-109618 dan CVE-2026-109619—dalam skenario serangan berkerumitan tinggi untuk mendapatkan akses eksekusi kode jarak jauh (Remote Code Execution / RCE) pada sistem yang belum ditambal.
Tim keamanan PHP sebelumnya telah merilis patch untuk kedua celah tersebut pada hari Rabu, 21 Oktober 2026, tepat sehari setelah mereka mendesak para administrator keamanan untuk menginstal pembaruan sesegera mungkin.
Meskipun rincian mengenai kerentanan PHP2Shell (termasuk ID CVE dan mitigasi yang dibagikan kepada penyedia infrastruktur kritis) sempat bocor dan beberapa proof-of-concept (PoC) eksploitasi dipublikasikan secara daring sebelum patch diturunkan, tim keamanan PHP menyatakan bahwa tidak ada satu pun PoC tersebut yang sepenuhnya fungsional pada saat itu.
Beberapa firma keamanan siber seperti Cloudflare, Amazon, Hadrian, watchTowr, Previdian, dan Patchstack juga sempat mendeteksi adanya upaya eksploitasi yang meluas sebelum pengungkapan publik, meskipun pada awalnya seluruh upaya tersebut ditandai gagal. Peneliti dari Amazon Threat Intelligence secara spesifik mencatat bahwa peretas telah mulai menargetkan kerentanan PHP2Shell sejak empat hari sebelum patch keamanan dirilis.
Instansi Federal Diwajibkan Menambal Sistem Sebelum Kamis
CISA memasukkan kerentanan tersebut ke dalam katalog KEV pada hari Senin dan menginstruksikan seluruh instansi Badan Eksekutif Sipil Federal (Federal Civilian Executive Branch / FCEB) untuk segera mengamankan sistem mereka paling lambat hari Kamis, sesuai dengan mandat Binding Operational Directive (BOD) 26-04.
“Jenis kerentanan ini merupakan vektor serangan yang sering dimanfaatkan oleh aktor siber berbahaya dan menimbulkan risiko signifikan bagi perusahaan federal,” peringat badan keamanan siber tersebut. “Walaupun BOD 26-04 hanya berlaku untuk instansi FCEB, CISA mendorong semua organisasi untuk mengadopsi manajemen kerentanan berbasis risiko dan memprioritaskan remediasi kerentanan Katalog KEV.”
Kendati CISA belum membagikan rincian teknis lebih lanjut mengenai serangan PHP2Shell yang sedang berlangsung, pimpinan deteksi dan respons Perplexity, Adel Karimi, sebelumnya telah mengonfirmasi terjadinya eksploitasi aktif di alam liar (in-the-wild) pada akhir pekan lalu. Sistem honeypot miliknya berhasil merekam bukti otentik eksekusi kode jarak jauh yang menargetkan instalasi Apache mod_php yang menjalankan PHP versi 8.4.26.
Sebagai tambahan, pada hari Jumat lalu tim keamanan PHP juga telah membagikan langkah mitigasi untuk cacat RCE baru (CVE-2026-115560) yang belum memiliki patch. Celah tersebut dapat dieksploitasi jika menargetkan sistem “dengan kombinasi konfigurasi dan kode aplikasi yang tidak biasa.”
Sebagai gambaran besarnya ancaman ini, PHP saat ini menopang sekitar 70% dari seluruh situs web di internet. Menurut perkiraan VirusTotal, terdapat lebih dari 5,1 juta host PHP yang terekspos secara daring, dengan sekitar 3,8 juta instance memiliki setidaknya satu porta yang terbuka untuk menerima serangan.
Sumber: CISA
