Sebuah upaya eksploitasi terhadap celah keamanan kritis pada PHP, yang kini dikenal dengan nama PHP2Shell, ternyata sudah terjadi empat hari sebelum kerentanan tersebut diumumkan secara resmi ke publik.
Temuan tersebut mengungkap bahwa ada pihak yang telah mengetahui detail celah tersebut jauh sebelum masa embargo berakhir, memicu kekhawatiran baru soal keamanan jutaan situs web yang masih mengandalkan PHP.
Apa Itu PHP2Shell
PHP2Shell adalah julukan untuk dua celah keamanan kritis pada inti bahasa pemrograman PHP, yang tercatat sebagai CVE-2026-109618 dan CVE-2026-109619. Keduanya mendapat skor tingkat bahaya 9.2 dari skala maksimal 10, kategori yang biasanya hanya diberikan untuk kerentanan paling serius.
Yang membuat celah ini istimewa berbahaya adalah penyerang tidak perlu kata sandi, akun, atau celah khusus di aplikasi yang berjalan di atasnya. Cukup mengirim permintaan ke halaman PHP mana pun, mulai dari:
- Formulir kontak
- Halaman login
- Sampai halaman pengecekan status server
Serangan sudah bisa berjalan dan memberi penyerang akses penuh untuk menjalankan perintah di server korban.
Perusahaan keamanan CrowdStrike mencatat bahwa jejak serangan ini nyaris tidak terlihat di log server, sebab kode berbahaya dieksekusi sebelum aplikasi sempat memprosesnya. Akibatnya, server yang sudah disusupi tetap terlihat normal, tanpa catatan error yang mencurigakan.
Skala dampaknya sangat besar karena PHP masih menjadi tulang punggung sebagian besar situs di dunia, termasuk platform populer seperti WordPress dan Magento.
Perusahaan pemindai VulnCheck mencatat lebih dari 2,6 juta server yang terhubung ke internet masih menjalankan PHP, dan sebagian besar di antaranya memakai versi lama yang sudah tidak lagi mendapat pembaruan keamanan resmi.
Kronologi PHP2Shell Bocor Sebelum Waktunya
Rencana awalnya rapi. Tim peneliti dari beberapa perusahaan keamanan menemukan celah ini secara terpisah dan sepakat merilis informasinya secara terkoordinasi pada 22 Oktober 2026 pukul 14.00 UTC, memberi waktu bagi pengembang PHP dan penyedia layanan untuk menyiapkan tambalan lebih dulu.
Rencana itu berantakan dua hari sebelumnya. Pada 20 Oktober, nomor identitas celah (meski dengan sejumlah detail yang keliru) mulai beredar di forum dan media sosial, memaksa Yayasan PHP mempercepat pengumuman dan memajukan jadwal rilis tambalan satu hari lebih awal, menjadi 21 Oktober pukul 14.00 UTC.
Beberapa jam sebelum rilis resmi itu pun, tepatnya pukul 07.41 UTC, penyedia image kontainer Chainguard sudah lebih dulu mempublikasikan versi perangkat lunak yang sudah ditambal, melanggar kesepakatan embargo lebih dari enam jam sebelum waktu yang disepakati bersama.
Langkah tersebut membuka peluang bagi siapa pun untuk mempelajari isi tambalan tersebut dan menyusun cara menyerangnya lebih cepat dari yang seharusnya.
Yang lebih mengejutkan datang dari tim intelijen ancaman Amazon. Jaringan honeypot (feed server) milik mereka, bernama MadPot, merekam percobaan serangan terhadap celah ini sejak 17 Oktober 2026, empat hari sebelum pengumuman resmi dan bahkan sebelum kebocoran informasi di forum terjadi.
Upaya tersebut berasal dari alamat IP yang terhubung ke layanan anonimisasi komersial di Australia. CJ Moses, kepala keamanan Amazon Integrated Security, menyebut temuan ini mengindikasikan ada pihak yang sudah mengetahui detail celah tersebut jauh sebelum informasinya resmi dibuka ke publik, meski cara mereka memperoleh informasi itu belum bisa dipastikan.
Setelah tambalan resmi dirilis, upaya eksploitasi meningkat pesat. Amazon mencatat beberapa percobaan serangan dalam hitungan jam setelah rilis, datang dari berbagai alamat IP tersamar dengan pola serangan yang berbeda-beda, pertanda lebih dari satu kelompok peretas terlibat.
Skala Dampak dan Respons Global
Perusahaan pemantau Modat mendeteksi 4,38 juta layanan PHP yang terhubung ke internet per 20 Oktober 2026, dan hampir 80 persen di antaranya berjalan di versi yang sudah tidak lagi didukung, sebagian bahkan masih memakai PHP generasi 5.x dan 7.x yang berhenti mendapat pembaruan keamanan bertahun-tahun lalu.
Badan keamanan siber di berbagai negara langsung mengeluarkan imbauan darurat, termasuk CISA di Amerika Serikat, NCSC di Inggris, ASD di Australia, dan ENISA di Uni Eropa, yang mendesak organisasi segera memasang tambalan atau mematikan sementara sistem yang rentan.
FBI dan NSA turut mengeluarkan peringatan publik, meminta tim IT memantau perilaku proses yang tidak wajar di server PHP, karena log aplikasi standar sering kali tidak menunjukkan tanda-tanda penyusupan yang jelas.
Perusahaan penyedia layanan cloud dan keamanan, termasuk Amazon Web Services dan Cloudflare, ramai-ramai merilis panduan mitigasi dan melaporkan telah memblokir puluhan ribu percobaan pemindaian dan eksploitasi hanya dalam satu hari pertama.
Di sisi lain, sejumlah pihak tak bertanggung jawab memanfaatkan momentum ini dengan menyebarkan kode eksploitasi palsu di GitHub yang sebenarnya berisi perangkat lunak jahat berkedok "bukti konsep".
Langkah yang Disarankan untuk Pemilik Situs PHP
- Segera perbarui PHP ke versi resmi terbaru (8.5.12, 8.4.27, 8.3.36, atau 8.2.35). Ini satu-satunya cara penanganan yang benar-benar menutup celah; tidak ada pengaturan konfigurasi yang bisa menggantikannya sepenuhnya.
- Jika pembaruan belum bisa dilakukan segera, pertimbangkan memblokir sementara unggahan file bertipe multi-part pada server PHP, dengan catatan perlu diuji dulu dampaknya terhadap aplikasi yang berjalan.
- Periksa log server untuk permintaan POST yang mencurigakan, terutama yang memuat string terkait "PHP_SESSION_UPLOAD_PROGRESS".
- Pantau proses yang berjalan di luar kebiasaan atau perubahan file yang tidak terduga di server aplikasi web.
- Jangan hanya berpatokan pada tanggal pengumuman resmi. Lakukan penelusuran mundur hingga pertengahan Oktober, mengingat bukti eksploitasi sudah muncul sebelum kerentanan ini resmi diumumkan ke publik.
