JawabanDipublikasikan22 sumber
PHP2Shell: Apa Dampak Celah Kritis Ini dan Versi PHP Mana yang Harus Diperbarui?
PHP2Shell adalah sebutan untuk dua kerentanan PHP, CVE 2026 109618 dan CVE 2026 109619, yang sama sama mendapat skor 9,2 dan berpotensi memungkinkan eksekusi kode jarak jauh tanpa autentikasi. PHP merilis versi perbaikan pada 21 Oktober 2026 setelah identitas celah tersebar sebelum jadwal pengungkapan yang direncana...
Diterbitkan olehDiedit dengan GPT-6 LunaGambar dibuat dengan GPT Image 2
Jawaban penelitian
Poin-poin penting
- PHP2Shell adalah sebutan untuk dua kerentanan PHP, CVE 2026 109618 dan CVE 2026 109619, yang sama sama mendapat skor 9,2 dan berpotensi memungkinkan eksekusi kode jarak jauh tanpa autentikasi.
- PHP merilis versi perbaikan pada 21 Oktober 2026 setelah identitas celah tersebar sebelum jadwal pengungkapan yang direncanakan.
- Sejumlah sensor keamanan melaporkan percobaan eksploitasi, tetapi laporan tersebut tidak membuktikan bahwa setiap percobaan berhasil atau bahwa semua organisasi yang mengambil layanan daringnya mengalami pembobolan.
AI Perintah
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 22, 2026 report reveal about the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, including their 9.2 se. Article summary: The October 22 coverage describes PHP2Shell as an urgent patching crisis: CVE-2026-109618 and CVE-2026-109619 were rated 9.2 and could allow remote attackers to execute code without authentication, prompting emergency up. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell adalah nama untuk dua kerentanan kritis pada PHP: CVE-2026-109618 dan CVE-2026-109619. Keduanya mendapat skor 9,2 pada CVSS v4.0 dan berpotensi memungkinkan penyerang tanpa autentikasi menjalankan kode dari jarak jauh di server yang terdampak. PHP merilis perbaikannya pada 21 Oktober 2026, setelah informasi tentang celah ini beredar sebelum jadwal pengungkapan. Laporan percobaan serangan muncul tak lama kemudian, tetapi percobaan tidak sama dengan bukti bahwa server berhasil dibobol. 1
3
14
Apa yang dilakukan dua celah PHP2Shell?
Masalahnya terletak pada cara PHP menangani permintaan dan mengelola memori internal, bukan pada kerangka kerja (framework) situs tertentu. CVE-2026-109618 berkaitan dengan penanganan kondisi kehabisan memori, sedangkan CVE-2026-109619 melibatkan status internal yang sudah tidak valid. Risiko yang dilaporkan adalah eksekusi kode jarak jauh tanpa autentikasi. 1
14
Artinya, versi PHP yang berjalan di server tetap perlu diperiksa meski kode aplikasi situs itu sendiri tidak diketahui memiliki celah. Panduan operasional PHP menyebut instalasi yang melayani permintaan web sebagai sistem yang perlu ditangani. 55
Versi PHP yang sudah diperbaiki
PHP menerbitkan rilis perbaikan pada 21 Oktober 2026. Versi yang tercantum sebagai sudah ditambal adalah:
Server yang masih memakai versi lebih lama pada cabang-cabang tersebut perlu diperbarui ke versi perbaikan yang sesuai. Informasi tentang celah ini muncul ke publik sebelum pengungkapan yang direncanakan, sehingga rilis perbaikan dipercepat. 3
13
33
Identitas celah tersebar sebelum pengungkapan
Pada 20 Oktober, sebuah unggahan di Hacker News menyebut kedua identitas CVE dan menyatakan bahwa rincian kerentanan dijadwalkan diumumkan pada 22 Oktober. Unggahan itu kemudian dihapus, tetapi tangkapan layarnya telah beredar. Peneliti keamanan selanjutnya menyatakan bahwa informasi tersebut benar dan masih berada dalam masa embargo. 3
Laporan menyebut Calif menemukan salah satu celah dengan bantuan model OpenAI. Wiz juga dilaporkan menemukan dan menyampaikan kerentanan tersebut secara terpisah sebagai bagian dari respons terkoordinasi. Namun, laporan yang tersedia tidak memastikan bahwa kedua celah sudah ada selama sekitar 20 tahun atau menjelaskan secara cukup rinci tim mana yang menemukan masing-masing CVE. 27
33
Sejumlah layanan sempat dihentikan sebagai langkah berjaga-jaga
Beberapa organisasi menonaktifkan layanan sementara sebagai langkah pencegahan sembari menangani risiko. Laporan menyebut layanan yang terkait dengan Kementerian Keuangan Jepang, BambooHR, Pelabuhan Rotterdam, dan Wikimedia. Gangguan layanan tersebut, dengan sendirinya, bukan bukti bahwa organisasi-organisasi itu telah dibobol. 19
CISA, badan keamanan siber pemerintah Amerika Serikat, mendesak organisasi yang menjalankan situs berbasis PHP agar segera memasang pembaruan. 33 Laporan yang tersedia tidak memberi jumlah pasti layanan yang sengaja dihentikan, dan tidak mengonfirmasi seluruh klaim tentang rumah sakit, sekolah, serta layanan pemerintah yang terdampak.
Apa yang ditunjukkan laporan percobaan eksploitasi?
Laporan mencatat aktivitas sebelum maupun sesudah pengungkapan publik:
- Amazon mengatakan sensor honeypot MadPot mereka mendeteksi percobaan eksploitasi pada 17 Oktober, sebelum PHP merilis tambalan pada 21 Oktober. Temuan dari honeypot membuktikan adanya percobaan terhadap sensor tersebut, bukan keberhasilan membobol sistem lain.
50
58
- Cloudflare melaporkan ribuan percobaan dalam sepuluh jam sebelum pengumuman publik dan jutaan percobaan setelahnya. Angka ini menggambarkan aktivitas yang terpantau di jaringannya, bukan jumlah server yang berhasil disusupi.
36
- Saat mengeluarkan peringatan, CISA mengatakan belum mengamati eksploitasi. Pernyataan itu mencerminkan pengamatan pada waktu tersebut; hal itu tidak meniadakan percobaan yang dilaporkan penyedia keamanan dengan sumber telemetri berbeda.
- Sophos mengoreksi laporan awal yang menyebut eksploitasi berhasil di lingkungan pelanggan. Menurut pembaruan mereka, telemetri menunjukkan pemindaian dan sejumlah kecil percobaan yang gagal, tanpa bukti kompromi berhasil di lingkungan Sophos pada saat pembaruan itu dibuat.
7
Secara keseluruhan, laporan-laporan tersebut mendukung perlunya menanggapi PHP2Shell dengan segera: percobaan serangan terpantau dan potensi dampaknya serius. Namun, bukti yang ada tidak menunjukkan bahwa semua percobaan berhasil atau memberikan angka pasti jumlah sistem yang dibobol.
Hal-hal yang belum dibuktikan oleh laporan
Laporan yang tersedia tidak memberikan angka tepercaya tentang jumlah server rentan yang terhubung ke internet, tidak memastikan bahwa celah ini telah ada selama sekitar 20 tahun, dan tidak membuktikan bahwa penyerang memakai AI untuk mengembangkan eksploit PHP2Shell. Bantuan AI dilaporkan dalam proses penemuan celah; itu berbeda dari bukti tentang cara penyerang menemukan atau mempersenjatai kerentanan tersebut. 27
33
Studio Global AI
Lanjutkan penelitian Anda
Halaman ini berisi jawaban yang didukung sumber yang dapat Anda lanjutkan di dalam Studio Global.
Orang-orang juga bertanya
Apa jawaban singkat untuk "PHP2Shell: Apa Dampak Celah Kritis Ini dan Versi PHP Mana yang Harus Diperbarui?"?
PHP2Shell adalah sebutan untuk dua kerentanan PHP, CVE 2026 109618 dan CVE 2026 109619, yang sama sama mendapat skor 9,2 dan berpotensi memungkinkan eksekusi kode jarak jauh tanpa autentikasi.
Apa poin penting yang harus divalidasi terlebih dahulu?
PHP2Shell adalah sebutan untuk dua kerentanan PHP, CVE 2026 109618 dan CVE 2026 109619, yang sama sama mendapat skor 9,2 dan berpotensi memungkinkan eksekusi kode jarak jauh tanpa autentikasi. PHP merilis versi perbaikan pada 21 Oktober 2026 setelah identitas celah tersebar sebelum jadwal pengungkapan yang direncanakan.
Apa yang harus saya lakukan selanjutnya dalam latihan?
Sejumlah sensor keamanan melaporkan percobaan eksploitasi, tetapi laporan tersebut tidak membuktikan bahwa setiap percobaan berhasil atau bahwa semua organisasi yang mengambil layanan daringnya mengalami pembobolan.