JawabanDipublikasikan28 sumber
PHP2Shell: Pelajaran Penting dari Penemuan Celah Keamanan Berbantuan AI
PHP2Shell terdiri dari dua celah di PHP, masing masing berperingkat CVSS 9,2. Perbaikannya dirilis pada 21 Oktober 2026.
Diterbitkan olehDiedit dengan GPT-6 LunaGambar dibuat dengan GPT Image 2
Jawaban penelitian
Poin-poin penting
- PHP2Shell terdiri dari dua celah di PHP, masing masing berperingkat CVSS 9,2. Perbaikannya dirilis pada 21 Oktober 2026.
- OpenAI menyebut upaya koordinasi selama dua bulan: Calif menggunakan GPT 5.6 Sol untuk menemukan satu celah, sementara Wiz secara terpisah menemukan dan melaporkan keduanya.
- Amazon melaporkan mendeteksi upaya eksploitasi pada 17 Oktober, sebelum pengungkapan publik.
AI Perintah
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the PHP2Shell case reveal about AI-assisted vulnerability discovery and coordinated disclosure, including OpenAI’s October 21 anno. Article summary: PHP2Shell illustrates that AI-assisted research can uncover serious flaws in widely deployed software, while protecting users still depends on human validation, coordinated fixes, and rapid deployment. OpenAI’s October 2. Topic tags: general, general web, user generated, education. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, cha
PHP2Shell adalah nama untuk dua celah serius di inti PHP yang diumumkan bersama perbaikan darurat pada 21 Oktober 2026. Dalam keterangannya, OpenAI menggambarkan kasus ini bukan sekadar keberhasilan AI menemukan bug, melainkan hasil koordinasi selama dua bulan antara pengelola PHP, peneliti, dan penyedia keamanan untuk menyiapkan tambalan serta perlindungan sebelum celah diumumkan.18
Inti pelajarannya: menemukan celah baru langkah pertama. Setelah itu, pengelola perangkat lunak dan penyedia layanan perlu menyiapkan perbaikan, sementara organisasi yang terdampak harus memasangnya.
Dua celah di lapisan dasar situs
Celah dengan kode CVE-2026-109618 dan CVE-2026-109619 masing-masing mendapat skor CVSS 9,2. Peneliti melaporkan bahwa keduanya memungkinkan eksekusi kode jarak jauh tanpa autentikasi pada instalasi WordPress, Drupal, dan Joomla, serta dapat membuka informasi dari memori.3
4 Rentang versi PHP yang dilaporkan terdampak mencakup PHP 5.4 hingga PHP 8.5.
1
Masalahnya berkaitan dengan pengelolaan memori PHP. Salah satunya melibatkan penanganan kondisi kehabisan memori; yang lain berkaitan dengan status lama yang tertinggal di antara permintaan dan perilaku use-after-free—ketika program menggunakan memori yang sudah dibebaskan.3
9 Karena bug berada di PHP, risikonya bukan hanya soal kode dalam satu jenis situs, melainkan juga lapisan perangkat lunak yang digunakan aplikasi web tersebut.
3
4
OpenAI mengatakan Calif menemukan satu celah kritis dengan bantuan GPT-5.6 Sol melalui inisiatif Patch the Planet. Wiz juga secara terpisah menemukan dan melaporkan kedua celah tersebut.18 Laporan Wiz dan pemberitaan lain turut menyebut Wiz Atlas, Gemini 4 Argon, dan GPT-5.6 Sol sebagai bagian dari perangkat riset Wiz.
4
33 Namun, sumber yang tersedia tidak merinci tugas spesifik tiap model. Karena itu, belum jelas model mana yang membantu menguji serangan atau memeriksa tambalan.
Sebuah linimasa sekunder yang mengutip PHP Foundation mencatat laporan dari Calif pada 11 Agustus, Wiz pada 24 Agustus, dan OpenAI pada 18 September.6 Tanggal tersebut adalah tanggal pelaporan yang disebut dalam linimasa, bukan selalu tanggal saat tiap tim pertama kali menemukan celah.
Mengapa pengungkapan perlu dikoordinasikan
OpenAI menyatakan bahwa selama dua bulan, para pengelola PHP, peneliti, dan penyedia keamanan bekerja menyiapkan perbaikan dan perlindungan sebelum pengungkapan publik.18 Pengelola PHP memimpin pekerjaan perbaikan dan penerbitan versi baru, sementara mitra riset dan keamanan membantu melalui penelitian, dukungan teknis, dan koordinasi.
18
Tambalan dirilis pada 21 Oktober—sehari lebih awal dari jadwal pengungkapan yang direncanakan pada 22 Oktober.14 Sejumlah laporan menyebut jadwal dimajukan setelah informasi mulai bocor dan citra kontainer yang telah diperbarui tersedia lebih awal. PHP Foundation menuduh Chainguard melanggar masa embargo. Tuduhan itu perlu dipahami sebagai klaim yang diatribusikan kepada PHP Foundation, bukan kesimpulan yang telah dipastikan secara independen oleh laporan yang tersedia.
6
35
38
Pengungkapan terkoordinasi memiliki dilema tersendiri. Menjaga rincian teknis tetap terbatas memberi waktu kepada pengelola dan distributor untuk menyiapkan pembaruan. Namun, penundaan juga berisiko jika celah sudah dicoba untuk dieksploitasi.
Dalam pemberitaan, pendekatan yang diajukan OpenAI digambarkan sebagai proses bertahap: memvalidasi masalah dan menyiapkan perbaikan, memberi waktu kepada distributor, melibatkan mitra pemerintah, lalu memperluas pemberitahuan dan menerbitkan panduan. Tahapannya dapat dipercepat bila muncul eksploitasi atau kebocoran informasi.37
41
Laporan upaya serangan bukan bukti server berhasil dibobol
Amazon menyatakan bahwa sistem MadPot miliknya mendeteksi upaya mengeksploitasi PHP2Shell pada 17 Oktober, empat hari sebelum pengungkapan publik. Pemberitaan juga menyebut adanya upaya eksploitasi yang lebih luas setelah tambalan dirilis.5 Namun, upaya serangan yang terdeteksi tidak sama dengan bukti bahwa penyerang berhasil mengambil alih server. Laporan yang tersedia juga belum menjelaskan bagaimana pelaku mengetahui celah tersebut lebih awal atau berapa banyak server yang benar-benar disusupi.
Palo Alto Networks dilaporkan menemukan lebih dari 22,6 juta instans yang terhubung ke internet dan berpotensi rentan terhadap PHP2Shell.53 Angka “berpotensi rentan” merupakan perkiraan paparan, bukan jumlah sistem yang dipastikan dapat dieksploitasi atau telah dibobol.
Sejumlah otoritas mendesak organisasi untuk segera menangani celah ini. Salah satu laporan menyebut lembaga pemerintah menyarankan agar sistem dinonaktifkan sementara jika tidak dapat diamankan dengan cepat.56 Cloudflare mengatakan telah memasang perlindungan melalui web application firewall (WAF)—filter lalu lintas web untuk membantu menyaring permintaan berbahaya—sebelum pengungkapan publik bagi pelanggan yang menggunakan WAF-nya.
12 Perlindungan tambahan ini tidak menggantikan pemeriksaan dan pemasangan pembaruan PHP.
Versi PHP yang dilaporkan memperbaiki celah tersebut adalah 8.2.35, 8.3.36, 8.4.27, dan 8.5.12.8 Pengelola sistem perlu memeriksa distribusi serta versi PHP yang benar-benar digunakan, karena nomor paket dari masing-masing penyedia dapat berbeda.
8
Temuan AI perlu diimbangi kemampuan memperbaiki
OpenAI juga mengatakan telah berkomitmen menyediakan subsidi akses Daybreak senilai US$1 miliar bagi para pembela sistem, dengan perhatian pada organisasi yang sumber daya keamanannya terbatas dan bertugas melindungi layanan penting.25 Komitmen itu menyasar akses terhadap alat keamanan. PHP2Shell mengingatkan bahwa pekerjaan lain sama pentingnya: menyiapkan tambalan, menyampaikan informasi kepada pihak terdampak, lalu memastikan pembaruan benar-benar dipasang.
Riset berbantuan AI dapat membantu mengungkap celah. Namun, klaim tentang siapa yang menemukan apa, kontribusi tiap alat, dan keberhasilan suatu serangan tetap perlu disampaikan dengan cermat. Kasus PHP2Shell memberi pelajaran yang lebih terukur: penemuan dini bisa membuka kesempatan bagi pihak bertahan, tetapi kesempatan itu hanya berguna jika pengelola, penyedia layanan, dan operator mampu mengubah temuan menjadi perlindungan yang diterapkan.
Studio Global AI
Lanjutkan penelitian Anda
Halaman ini berisi jawaban yang didukung sumber yang dapat Anda lanjutkan di dalam Studio Global.
Orang-orang juga bertanya
Apa jawaban singkat untuk "PHP2Shell: Pelajaran Penting dari Penemuan Celah Keamanan Berbantuan AI"?
PHP2Shell terdiri dari dua celah di PHP, masing masing berperingkat CVSS 9,2. Perbaikannya dirilis pada 21 Oktober 2026.
Apa poin penting yang harus divalidasi terlebih dahulu?
PHP2Shell terdiri dari dua celah di PHP, masing masing berperingkat CVSS 9,2. Perbaikannya dirilis pada 21 Oktober 2026. OpenAI menyebut upaya koordinasi selama dua bulan: Calif menggunakan GPT 5.6 Sol untuk menemukan satu celah, sementara Wiz secara terpisah menemukan dan melaporkan keduanya.
Apa yang harus saya lakukan selanjutnya dalam latihan?
Amazon melaporkan mendeteksi upaya eksploitasi pada 17 Oktober, sebelum pengungkapan publik.