BSSN Ingatkan PHP2Shell Buka Pintu Peladen bagi Penyerang Tanpa Autentikasi

JAKARTA - Bahasa pemrograman nan menopang sekitar 70 persen situs web bumi sekarang memuat dua celah kritis nan dapat dibobol penyerang tanpa autentikasi. Kerentanan nan dijuluki PHP2Shell itu berpotensi membuka jalan bagi eksekusi kode jarak jauh (remote code execution/RCE) di peladen terdampak.

Peringatan keamanan Badan Siber dan Sandi Negara (BSSN) nan terbit Kamis (22/10/2026) merinci kedua celah tersebut. CVE-2026-109618 berasal dari sistem penanganan kehabisan memori (out-of-memory/OOM) nan dapat memicu kerusakan memori saat PHP memproses permintaan HTTP. Penyerang cukup mengirim permintaan nan dirancang unik untuk memicu kondisi itu.

Celah kedua, CVE-2026-109619, berupa use-after-free, ialah akses ke memori nan sudah dibebaskan tetapi tetap dirujuk status internal proses. Dampaknya serupa, ialah kerusakan memori nan berpotensi dimanfaatkan untuk RCE.

Versi Terdampak

PHP 8.5 di bawah 8.5.12 dan PHP 8.4 di bawah 8.4.27 terdampak. Hal serupa bertindak bagi PHP 8.3 di bawah 8.3.36 serta PHP 8.2 di bawah 8.2.35. Adapun PHP 8.1 dan jenis lebih lama berpotensi terdampak dan sudah berstatus akhir masa support (end of life/EOL).

Solusinya adalah memperbarui PHP ke 8.5.12, 8.4.27, 8.3.36, alias 8.2.35 sesuai jenis nan dipakai. Pembaruan kudu mencakup seluruh runtime PHP jasa web, termasuk PHP-FPM, Apache mod_php, dan php-cgi, lampau jasa dimulai ulang. Jika belum bisa, akses jaringan dibatasi alias jasa nan terhubung ke internet diisolasi hingga tambalan terpasang.

Jendela Menyempit

Chief Information Security Officer (CISO) Keeper Security Shane Barney menilai, temuan ini menegaskan akibat abnormal lama pada teknologi fondasi internet.

Pada konfigurasi terdampak, penyerang berkesempatan menjalankan kode rawan alias mengakses kredensial, token, dan kunci antarmuka pemrograman aplikasi (API) di memori peladen.