CISA Peringatkan Eksploitasi Aktif PHP2Shell: Agensi Federal Wajib Patch dalam Tiga Hari

Badan keamanan siber AS, CISA, mengonfirmasi bahwa dua kerentanan kritis pada PHP — yang dijuluki PHP2Shell — kini aktif dieksploitasi peretas. CISA memasukkan keduanya ke katalog Known Exploited Vulnerabilities (KEV) pada Senin, 26 Oktober 2026. 🔗 MarketScale

Agensi federal sipil diberi tenggat hanya tiga hari, hingga Kamis, 29 Oktober 2026, untuk menambal sistem mereka atau mencabut sistem yang terdampak dari jaringan. Tenggat tiga hari adalah yang terpendek yang dipakai CISA dan dicadangkan untuk kerentanan berisiko tertinggi. 🔗 CDO Magazine

Dua celah, satu julukan: PHP2Shell

PHP2Shell merujuk pada dua kerentanan: CVE-2026-109618 (korupsi memori) dan CVE-2026-109619 (status permintaan internal yang basi). Keduanya mendapat skor CVSS v4 sebesar 9,2 dari 10. 🔗 CUInfoSecurity

Kedua celah ini memungkinkan penyerang menjalankan kode dari jarak jauh (remote code execution) di server yang rentan tanpa kredensial apa pun — tanpa kata sandi dan tanpa hak akses awal. Kerentanan ini memengaruhi instalasi PHP yang melayani permintaan web, termasuk Apache dengan mod_php, PHP-FPM, dan php-cgi. 🔗 CUInfoSecurity

Risikonya luas karena PHP adalah bahasa pemrograman di balik sebagian besar web. PHP dilaporkan dipakai oleh sekitar 70 persen server yang menghadap ke internet, termasuk situs berbasis WordPress, Drupal, dan Laravel. 🔗 TechGig

Bug yang tertidur dua tahun

Celah ini sebenarnya sudah teridentifikasi sejak 2024. Namun saat itu tim keamanan PHP menilai tidak ada cara praktis untuk mengeksploitasinya, sehingga perbaikan ditunda. 🔗 CDO Magazine

Penilaian itu berubah tahun ini, ketika peneliti di firma keamanan Calif menemukan metode eksploitasi untuk bug yang tertidur tersebut dengan bantuan model AI. Kasus ini menunjukkan bagaimana kemampuan AI dalam merangkai celah keamanan dapat mengubah bug lama yang dianggap aman menjadi ancaman aktif. 🔗 TechGig

Kasus ini juga menyoroti tekanan pendanaan proyek open source. Yayasan nirlaba yang memelihara PHP dinilai kekurangan dana untuk tinjauan keamanan mendalam yang mungkin bisa menangkap cacat ini lebih awal. 🔗 IT-PUB News

Kronologi eksploitasi

Upaya eksploitasi dilaporkan sudah dimulai sejak 17 Oktober 2026, beberapa hari sebelum tambalan tersedia. Tim keamanan PHP memperingatkan administrator pada 20 Oktober bahwa perbaikan darurat akan dirilis. 🔗 SOCRadar

Perbaikan resmi dirilis pada 21 Oktober 2026. Organisasi yang menjalankan PHP perlu memperbarui ke salah satu versi aman berikut: 🔗 MarketScale

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Apa yang perlu diperhatikan?

Selain menambal, agensi federal juga diwajibkan melakukan triase forensik untuk menilai apakah sistem mereka sudah terlanjur dikompromikan. Kewajiban ini diatur dalam Binding Operational Directive 26-04 yang menjadi dasar tenggat tiga hari tersebut. 🔗 CUInfoSecurity

Perintah CISA secara hukum hanya mengikat agensi pemerintah AS, tetapi CISA mendesak semua organisasi memperlakukan celah ini sebagai prioritas. Firma intelijen ancaman watchTowr menyebut organisasi di berbagai negara — termasuk Indonesia — masuk daftar target pemindaian kerentanan ini. 🔗 CUInfoSecurity

1. Perbarui PHP ke versi yang sudah ditambal sesegera mungkin; tambalan hanya melindungi server yang benar-benar sudah memasangnya.
2. Periksa indikator kompromi pada server yang sempat terekspos sebelum tambalan dipasang, bukan hanya menambal lalu berhenti.
3. Perlu dicatat, PHP juga mengungkap kerentanan ketiga (CVE-2026-115560) pada 23 Oktober 2026 yang baru tersedia mitigasinya dan belum ada tambalan penuh.

Fakta kunci

• PHP2Shell = CVE-2026-109618 dan CVE-2026-109619, masing-masing berskor CVSS v4 9,2.
• Dampak: eksekusi kode jarak jauh (RCE) tanpa autentikasi pada server PHP yang rentan.
• CISA memasukkan keduanya ke katalog KEV pada 26 Oktober 2026; tenggat perbaikan agensi federal sipil: 29 Oktober 2026 (tiga hari).
• Versi PHP yang sudah ditambal: 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 (rilis 21 Oktober 2026).
• Bug dikenal sejak 2024 tetapi dianggap tidak praktis dieksploitasi, hingga peneliti Calif menemukan metode eksploitasi dengan bantuan model AI.
• PHP dipakai oleh sekitar 70 persen server web-facing.
• Upaya eksploitasi terdeteksi sejak 17 Oktober 2026, sebelum tambalan rilis.

Sumber

1. MarketScale — CISA confirms PHP2Shell attacks, sets Oct. 29 deadline
2. CUInfoSecurity — PHP2Shell Actively Exploited, US Cybersecurity Agency Warns
3. CDO Magazine — CISA Gives Federal Agencies Days to Patch Actively Exploited PHP Flaws
4. TechGig — US government warns of active PHP web bug exploitation
5. SOCRadar — PHP2Shell CVE-2026-109618 & CVE-2026-109619: Affected Versions & Fix
6. All About Cookies — Hackers Are Exploiting the Flaws Behind Major Internet Outages, CISA Warns

Artikel ini disusun dan diparafrase dari sumber-sumber di atas; situasi keamanan dan panduan perbaikan dapat berkembang mengikuti pengumuman resmi berikutnya.