PHP2Shell: dua cacat PHP yang ditemukan agen AI memaksa situs pemerintah tutup

Dua cacat kritis di mesin bahasa pemrograman PHP memaksa sejumlah organisasi memadamkan situs mereka sementara pada pekan ini. The Irish Times melaporkan situs pemerintah Finlandia dan peritel Irlandia Woodie's DIY termasuk yang tiba-tiba tidak bisa diakses saat operator berlomba memasang perbaikan. PHP menopang sekitar 70 persen situs web dunia. Cacat itu tercatat sebagai CVE-2026-109618 dan CVE-2026-109619, mendapat julukan PHP2Shell, dan dinilai 9,2 pada skala CVSS versi 4.0. Menurut PHP Foundation, ada eksploit yang sudah terbukti, dengan permintaan tanpa autentikasi yang bisa memicu serangan sebelum kode aplikasi mana pun berjalan, sehingga semua pemasangan PHP dinilai berisiko.

Yang membuat kasus ini penting bukan hanya skornya, tetapi siapa yang menemukannya. Cacat itu ditemukan oleh agen perangkat lunak berbasis kecerdasan artifisial. Menurut advisory teknis Bitdefender, peneliti dengan nama lcfr_hax dari Calif melaporkan eksekusi kode jarak jauh tanpa syarat ke PHP pada 11 Agustus 2026, dan OpenAI melaporkan akar masalah yang sama pada hari yang sama. Wiz Research melapor pada 24 Agustus, lalu OpenAI mengirim vektor serangan tambahan pada 18 September. Wiz mendemonstrasikan eksekusi kode tanpa autentikasi pada image kontainer WordPress, Drupal, dan Joomla, dan menyebut model frontier AI menurunkan secara signifikan hambatan menyusun eksploit. OpenAI menyebut tingkat keparahan cacat ini sebagai salah satu isu keamanan paling berdampak dalam beberapa tahun terakhir, sekaligus menegaskan bahwa AI mendahului penyerang menemukannya.

Secara mekanis, keduanya adalah kerusakan memori di proses worker PHP, bukan kesalahan pada aplikasi. CVE-2026-109618 memicu kondisi kehabisan memori di tengah inisialisasi permintaan sehingga rutin pembersihan memperlakukan data setengah jadi sebagai data sah; pemicunya adalah permintaan POST tanpa autentikasi dengan satu nama field formulir yang sangat panjang, sekitar 3,5 megabita di lingkungan uji, dan penyerang masih harus menembus pengacakan alamat memori. CVE-2026-109619 adalah use-after-free: status milik satu permintaan tetap hidup setelah memorinya dibebaskan, lalu dipakai ulang oleh permintaan berikutnya yang ditangani worker yang sama. Jalur kedua itu membutuhkan setelan session.upload_progress.enabled yang aktif secara bawaan. Pada Apache dengan mod_php, serangan berlangsung saat inisialisasi permintaan, sehingga memperbarui CMS atau plugin tidak mengubah paparan sama sekali.

Pihak berwenang bergerak cepat. CERT-EU menyatakan detail teknis sudah dibahas di ruang publik sehingga kemungkinan besar serangan yang memanfaatkannya sudah berjalan, dan menyarankan organisasi yang belum bisa menambal untuk mengisolasi aplikasi yang menghadap internet sampai perbaikan terpasang dan terverifikasi. Badan keamanan siber Amerika Serikat menyarankan langkah serupa: tambal atau matikan. Koordinasi pengungkapan juga bocor di beberapa titik. Pada 20 Oktober sekitar pukul 15.00 UTC, nomor CVE sudah beredar dengan waktu rilis yang salah dan skor 10,0, padahal skor sebenarnya 9,2. PHP memajukan rilis dari 22 ke 21 Oktober, pada 21 Oktober pukul 07.41 UTC Chainguard menerbitkan image kontainer berisi perbaikan lebih dari enam jam sebelum rilis resmi, dan pada 14.00 UTC versi 8.5.12, 8.4.27, 8.3.36, serta 8.2.35 keluar.

Untuk pemilik situs, urutan tindakannya tidak rumit tetapi tidak boleh ditunda. Pertama, pastikan versi PHP yang benar-benar berjalan di server, bukan versi yang tertulis di panel hosting: cabang 7.4, 8.0, dan 8.1 tidak punya perbaikan resmi, sehingga satu-satunya jalan adalah pindah ke cabang yang masih didukung. Kedua, jangan percaya penuh pada pemindai versi, karena distribusi Linux kadang menambal tanpa mengubah string versi, dan sebaliknya label versi terbaru pada cabang yang sudah habis masa dukungan tetap berarti rentan. Ketiga, bila penambalan belum mungkin, isolasi aplikasi dari jaringan publik dan pantau log. Sinyal yang perlu dicari adalah kesalahan kehabisan memori saat inisialisasi yang tercatat sebagai Unknown on line 0, serta entri AH00052 di log Apache yang menandakan proses anak mati karena sinyal seperti segmentation fault. Bitdefender menyatakan belum melihat upaya eksploitasi per 22 Oktober, sementara Datadog melaporkan adanya percobaan sejak 17 Oktober di AWS, klaim yang belum dikonfirmasi pihak lain.