JawabanDipublikasikan24 sumber
PHP2Shell: Krisis keamanan PHP yang memicu pembaruan darurat
CVE 2026 109618 dan CVE 2026 109619, yang dijuluki PHP2Shell, dapat membuka jalan bagi eksekusi kode jarak jauh tanpa autentikasi. Calif menemukan celah dengan bantuan GPT 5.6 Sol melalui inisiatif OpenAI Patch the Planet; Wiz juga menemukannya secara independen dengan bantuan sejumlah alat AI.
Diterbitkan olehDiedit dengan GPT-6 LunaGambar dibuat dengan GPT Image 2
Jawaban penelitian
Poin-poin penting
- CVE 2026 109618 dan CVE 2026 109619, yang dijuluki PHP2Shell, dapat membuka jalan bagi eksekusi kode jarak jauh tanpa autentikasi.
- Calif menemukan celah dengan bantuan GPT 5.6 Sol melalui inisiatif OpenAI Patch the Planet; Wiz juga menemukannya secara independen dengan bantuan sejumlah alat AI.
- Setelah informasi soal celah tersebar pada 20 Oktober, PHP merilis pembaruan darurat sehari lebih cepat dari jadwal semula: PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35.
- Lebih dari 22,6 juta instans yang terekspos ke internet diperkirakan berpotensi rentan.
AI Perintah
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the October 2026 PHP2Shell security crisis, including the AI assisted discovery of CVE 2026 109618 and CVE 2026 109619. Article summary: PHP2Shell prompted emergency PHP security releases on October 21, 2026, after early disclosure disrupted the planned October 22 release; the two flaws could allow unauthenticated remote code execution.. Topic tags: general web, openai, prompt engineering, ai, code. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numb
PHP2Shell menjadi krisis pembaruan keamanan mendadak pada Oktober 2026. Dua celah di inti PHP dapat memungkinkan penyerang menjalankan kode dari jarak jauh tanpa perlu masuk ke sistem terlebih dahulu. Setelah informasi mengenai celah tersebar lebih awal dari rencana, tim PHP menerbitkan perbaikan pada 21 Oktober—sehari sebelum jadwal awal. 5
18
24
Namun, tingginya tingkat risiko tidak berarti semua server yang rentan telah diretas. Laporan yang tersedia mencatat adanya upaya eksploitasi, tetapi upaya tersebut tidak sama dengan kompromi yang berhasil. 10
12
Dua celah kritis, ditemukan dengan bantuan AI
Celah yang dikenal sebagai PHP2Shell memiliki nomor CVE-2026-109618 dan CVE-2026-109619. Yang pertama berkaitan dengan kerusakan memori saat PHP kehabisan memori; yang kedua melibatkan status global lama yang tersisa. Keduanya dapat berujung pada eksekusi kode jarak jauh (RCE), dan masing-masing mendapat skor 9,2 pada skala CVSS v4.0—kategori risiko kritis. 7
10
Laporan menyebut perusahaan keamanan Calif menemukan celah tersebut pada Agustus dalam kerja sama dengan inisiatif OpenAI bernama “Patch the Planet”, menggunakan GPT-5.6 Sol. Wiz juga menemukan dan melaporkan celah secara independen. Salah satu laporan merinci penggunaan Wiz Atlas, Gemini 4 Argon, dan GPT-5.6 Sol dalam riset Wiz. 18
21
Cakupan versi yang disebut dalam laporan membentang dari PHP 5.4 hingga 8.5. Karena itu, risikonya tidak terbatas pada satu plugin atau sistem manajemen konten tertentu: masalahnya berada di runtime PHP, perangkat lunak yang menjalankan kode PHP. 1
14
Informasi bocor, jadwal tambalan dipercepat
Rencana awalnya adalah merilis perbaikan pada 22 Oktober. Namun, informasi mengenai celah muncul lebih awal pada 20 Oktober, sehingga PHP menerbitkan pembaruan darurat pada 21 Oktober. Versi yang memperbaiki kedua celah itu adalah PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. 18
24
Cabang PHP 8.1 dan yang lebih lama tidak termasuk dalam daftar rilis perbaikan tersebut. Versi-versi itu sudah tidak menerima pembaruan keamanan rutin dari proyek PHP; sebagian penyedia sistem operasi atau dukungan jangka panjang mungkin menyediakan perbaikan tersendiri. Pengelola server perlu memeriksa paket dari penyedia yang mereka gunakan.
Dampak potensialnya luas. PHP diperkirakan digunakan pada sekitar 70% web, sementara Palo Alto Networks mengidentifikasi lebih dari 22,6 juta instans terekspos yang mungkin rentan. Angka-angka ini merupakan perkiraan cakupan dan paparan, bukan bukti bahwa semua instans tersebut berhasil diserang. 23
Peringatan pemerintah dan aktivitas penyerang
NSA menganjurkan organisasi mendata layanan yang bergantung pada PHP dan memprioritaskan pemasangan tambalan dari vendor. CISA juga menyerukan pembaruan segera, sementara perusahaan teknologi menerbitkan panduan bagi pelanggan. 17
18
3
Amazon Threat Intelligence melaporkan adanya upaya eksploitasi yang terdeteksi pada 17 Oktober, empat hari sebelum pengungkapan publik. Laporan tersebut menunjukkan bahwa ada aktivitas sebelum tambalan tersedia, tetapi tidak dengan sendirinya membuktikan serangan itu berhasil mengambil alih server. 4
Sejumlah situs dilaporkan sempat offline saat pengelola menerapkan pembaruan darurat. Meski demikian, sumber yang tersedia tidak merinci setiap gangguan atau dampak operasionalnya. Sansec kemudian menilai eksploitasi massal lebih kecil kemungkinannya daripada perkiraan mereka pada hari rilis. 10
Jadi, penting membedakan tiga hal: sistem yang berpotensi terdampak, upaya eksploitasi, dan kompromi yang berhasil. Laporan yang tersedia mendukung adanya keadaan darurat untuk inventarisasi dan pembaruan, tetapi belum membuktikan terjadinya pembobolan berskala luas. 10
12
Peringatan susulan pada 23 Oktober
Pada 23 Oktober, PHP memperingatkan adanya jalur RCE lain yang dinilai kecil kemungkinannya dan hanya muncul dalam kombinasi pengaturan sesi serta kode aplikasi yang tidak lazim. Isu susulan ini diidentifikasi sebagai CVE-2026-115560. Sebagai langkah sementara hingga rilis perbaikan rutin berikutnya, PHP menyarankan agar session.upload_progress.enabled diatur ke 0. 19
Panduan PHP juga menyebut bahwa aplikasi yang tidak pernah mengganti penangan serialisasi saat berjalan dapat tetap mengaktifkan fitur tersebut.
Apa yang belum dapat dipastikan
Sumber yang tersedia tidak cukup untuk memastikan klaim tentang kegagalan struktural PHP Foundation dalam menindaklanjuti temuan sejak 2024, alat pemeriksa versi PHP dari OpenAI, atau janji subsidi Daybreak sebesar US$1 miliar. Bukti yang ada juga belum menunjukkan secara terukur apakah penemuan berbantuan AI lebih menguntungkan pembela atau penyerang.
Beberapa insiden keamanan lain muncul pada pekan yang sama, termasuk demonstrasi “Node2Shell” pada Node.js serta laporan tentang LiteLLM dan eMudhra. Insiden-insiden itu merupakan peristiwa terpisah, bukan dampak dari PHP2Shell.
Bagi pengelola situs, langkah paling jelas adalah mendata semua layanan yang menjalankan PHP, mengecek versi dan paket dari penyedia, lalu memasang pembaruan yang sesuai. Jangan menganggap setiap server yang terekspos sudah diretas—tetapi jangan pula menunda penambalan hanya karena belum ada bukti kompromi. 17
Studio Global AI
Lanjutkan penelitian Anda
Halaman ini berisi jawaban yang didukung sumber yang dapat Anda lanjutkan di dalam Studio Global.
Orang-orang juga bertanya
Apa jawaban singkat untuk "PHP2Shell: Krisis keamanan PHP yang memicu pembaruan darurat"?
CVE 2026 109618 dan CVE 2026 109619, yang dijuluki PHP2Shell, dapat membuka jalan bagi eksekusi kode jarak jauh tanpa autentikasi.
Apa poin penting yang harus divalidasi terlebih dahulu?
CVE 2026 109618 dan CVE 2026 109619, yang dijuluki PHP2Shell, dapat membuka jalan bagi eksekusi kode jarak jauh tanpa autentikasi. Calif menemukan celah dengan bantuan GPT 5.6 Sol melalui inisiatif OpenAI Patch the Planet; Wiz juga menemukannya secara independen dengan bantuan sejumlah alat AI.
Apa yang harus saya lakukan selanjutnya dalam latihan?
Setelah informasi soal celah tersebar pada 20 Oktober, PHP merilis pembaruan darurat sehari lebih cepat dari jadwal semula: PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35.