JawabanDipublikasikan24 sumber
Pelajaran PHP2Shell: Keamanan Open-Source Perlu Dukungan Berkelanjutan
PHP2Shell mencakup dua celah eksekusi kode jarak jauh tanpa autentikasi dengan tingkat keparahan 9,2. PHP dilaporkan digunakan oleh hingga 70% situs web, tetapi sumber yang tersedia tidak mengonfirmasi klaim khusus bahwa lebih dari 33 juta sistem masih rentan pada 23 Oktober.[11]
Diterbitkan olehDiedit dengan GPT-6 LunaGambar dibuat dengan GPT Image 2
Jawaban penelitian
Poin-poin penting
- PHP2Shell mencakup dua celah eksekusi kode jarak jauh tanpa autentikasi dengan tingkat keparahan 9,2.
- PHP dilaporkan digunakan oleh hingga 70% situs web, tetapi sumber yang tersedia tidak mengonfirmasi klaim khusus bahwa lebih dari 33 juta sistem masih rentan pada 23 Oktober.[11]
AI Perintah
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 2026 PHP2Shell crisis reveal about PHP security and open-source underfunding, including PHP’s use by an estimated 70%. Article summary: PHP2Shell illustrates a mismatch between the importance of widely deployed open-source software and the capacity to secure, review and update it: critical PHP flaws triggered emergency patching across a technology report. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, click
PHP2Shell menjadi peringatan serius tentang keamanan perangkat lunak yang digunakan luas—dan besarnya pekerjaan yang diperlukan untuk menjaganya tetap aman. Pada Oktober 2026, dua celah kritis memicu pembaruan darurat untuk PHP, bahasa pemrograman yang dilaporkan digunakan oleh hingga 70% situs web.11 Insiden ini juga menegaskan pertanyaan yang lebih luas: apakah proyek open-source memiliki kapasitas yang cukup untuk meninjau, menambal, dan memelihara perangkat lunak yang menjadi tumpuan sebagian besar web.
22
Apa yang terjadi dalam insiden PHP2Shell?
Celah CVE-2026-109618 dan CVE-2026-109619 dapat memungkinkan penyerang tanpa autentikasi menjalankan kode dari jarak jauh pada sistem PHP yang terdampak. Keduanya dilaporkan memiliki skor tingkat keparahan 9,2.9
17 Ini adalah kerentanan pada runtime PHP; penemuannya bukan bukti bahwa setiap aplikasi PHP tidak aman.
Pada 21 Oktober 2026, PHP merilis versi perbaikan 8.5.12, 8.4.27, 8.3.36, dan 8.2.35.18
27 Menurut keterangan riset Calif, celah tersebut ditemukan oleh Calif, OpenAI, dan Wiz.
15 Sejumlah laporan juga menggambarkan masalah dalam proses pengungkapan terkoordinasi: para pemelihara PHP menuduh Chainguard membagikan informasi sebelum waktu rilis yang direncanakan, lalu proyek PHP menerbitkan tambalan lebih awal.
35
37
Luasnya penggunaan PHP menjelaskan mengapa pembaruan ini mendesak. Laporan media menyebut PHP digunakan oleh hingga 70% situs web, tetapi angka itu merupakan perkiraan prevalensi—bukan jumlah situs yang rentan atau telah disusupi.11 Sumber yang tersedia juga tidak memastikan klaim spesifik bahwa EFF memperkirakan lebih dari 33 juta sistem masih rentan pada 23 Oktober.
Upaya serangan bukan bukti bahwa sistem berhasil dibobol
Amazon dilaporkan mendeteksi upaya eksploitasi pada 17 Oktober, sebelum tambalan dirilis untuk publik, dan kemudian menyebut adanya upaya luas untuk mengeksploitasi celah tersebut.34 Laporan lain menyebut jumlah upaya mencapai jutaan.
6 Secara terpisah, sejumlah laporan mencatat penghentian layanan sementara sebagai langkah pencegahan ketika organisasi menangani kerentanan ini, termasuk layanan yang terkait dengan Kementerian Keuangan Jepang dan Pelabuhan Rotterdam.
12
Namun, upaya eksploitasi tidak sama dengan bukti bahwa sistem berhasil disusupi. Laporan BBC pada 22 Oktober menyebut belum ada laporan eksploitasi yang berhasil, sementara Security Affairs pada 23 Oktober juga menyatakan keberhasilan eksploitasi belum terkonfirmasi.9
31 Perbedaan laporan itu mungkin berkaitan dengan rentang waktu pemantauan atau arti istilah “eksploitasi” yang digunakan. Bukti yang dirujuk di sini mendukung adanya aktivitas serangan yang perlu diwaspadai, tetapi tidak membuktikan bahwa jutaan sistem berhasil dibobol.
Pelajaran keamanan open-source: penemuan harus diikuti tindakan
PHP2Shell menunjukkan pentingnya menemukan kelemahan pada perangkat lunak inti, termasuk proyek yang sudah matang. Namun, penemuan hanyalah satu tahap: perbaikan perlu ditinjau dan dirilis, lalu operator harus mengidentifikasi sistem yang terdampak dan memasang pembaruan. Sovereign Tech secara khusus menyebut insiden ini sebagai gambaran kesenjangan pendanaan dalam keamanan open-source yang penting.22
Karena itu, kapasitas keamanan—bukan sekadar jumlah bug yang ditemukan—menjadi perhatian utama. Penemuan yang lebih banyak dapat menambah pekerjaan bagi pemelihara dan tim pertahanan, tetapi peningkatan jumlah kerentanan yang dilaporkan saja tidak membuktikan bahwa perangkat lunak makin tidak aman atau bahwa AI menjadi penyebabnya. Menemukan celah tidak otomatis menyediakan tenaga ahli untuk memvalidasi temuan, mengoordinasikan pengungkapan, atau merilis dan memasang perbaikan yang andal.
Kesimpulan yang lebih tepat bukanlah bahwa PHP pada dasarnya tidak aman. Perangkat lunak yang digunakan di sebagian besar web memerlukan peninjauan keamanan dan pemeliharaan berkelanjutan—dan penemuan celah yang lebih cepat membuat pekerjaan itu semakin mendesak.11
22
Langkah bagi pengelola sistem PHP
Organisasi yang menjalankan PHP dapat mengambil langkah berikut:
- Inventarisasi layanan yang terhubung ke internet. Identifikasi layanan yang menggunakan PHP dan catat versi runtime yang benar-benar berjalan.
- Pasang perbaikan yang sesuai. Gunakan rilis yang cocok dengan cabang PHP yang dipakai, atau ikuti panduan vendor yang telah diverifikasi bila runtime dikelola atau dikemas oleh vendor. PHP menerbitkan versi perbaikan pada 21 Oktober.
18
27
- Pastikan layanan sudah menggunakan versi terbaru. Verifikasi runtime pada layanan dan proses PHP yang berjalan. Panduan operasional yang diterbitkan juga menyarankan untuk memulai ulang pekerja PHP setelah pembaruan.
32
- Gunakan istilah insiden secara cermat. Bedakan sistem yang terdampak, upaya eksploitasi, kompromi yang terkonfirmasi, dan klaim yang belum diverifikasi. Penghentian layanan sebagai langkah pencegahan maupun lalu lintas serangan tidak membuktikan bahwa sistem telah dibobol.
Pelajaran jangka panjang PHP2Shell menyangkut seluruh rantai keamanan: penemuan, peninjauan, pengungkapan terkoordinasi, penerbitan tambalan, dan pemasangan pembaruan—semuanya penting. Pendanaan untuk pekerjaan pemeliharaan yang menopang rantai tersebut adalah bagian dari perlindungan infrastruktur open-source yang penting, bukan tambahan opsional.22
Studio Global AI
Lanjutkan penelitian Anda
Halaman ini berisi jawaban yang didukung sumber yang dapat Anda lanjutkan di dalam Studio Global.
Orang-orang juga bertanya
Apa jawaban singkat untuk "Pelajaran PHP2Shell: Keamanan Open-Source Perlu Dukungan Berkelanjutan"?
PHP2Shell mencakup dua celah eksekusi kode jarak jauh tanpa autentikasi dengan tingkat keparahan 9,2.
Apa poin penting yang harus divalidasi terlebih dahulu?
PHP2Shell mencakup dua celah eksekusi kode jarak jauh tanpa autentikasi dengan tingkat keparahan 9,2. PHP dilaporkan digunakan oleh hingga 70% situs web, tetapi sumber yang tersedia tidak mengonfirmasi klaim khusus bahwa lebih dari 33 juta sistem masih rentan pada 23 Oktober.[11]