PHP2Shell bukan nama webshell
Istilah PHP2Shell merujuk pada dua kerentanan di mesin inti PHP, bukan pada satu berkas webshell atau proyek malware. PHP Foundation dan PHP Project mengidentifikasinya sebagai CVE-2026-109618 dan CVE-2026-109619. Keduanya diberi skor CVSS v4.0 9.2, kategori kritis, karena pada kondisi tertentu dapat memungkinkan penyerang tanpa akun menjalankan kode pada server yang melayani permintaan PHP. [PHP Foundation]
Masalah berada di runtime PHP
CVE-2026-109618 berkaitan dengan korupsi memori saat PHP menangani kondisi kehabisan memori. CVE-2026-109619 berkaitan dengan state internal yang masih menunjuk ke memori lama setelah kesalahan fatal. Penjelasan ini penting karena celahnya berada di runtime, bukan semata-mata di WordPress, Drupal, Joomla, atau aplikasi tertentu. Peneliti Wiz melaporkan dampak berupa pengungkapan memori proses dan eksekusi kode jarak jauh tanpa autentikasi pada lingkungan uji. [Wiz Research]
BleepingComputer melaporkan kedua celah dapat memengaruhi instalasi yang melayani permintaan web, termasuk PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Risiko disebut paling tinggi pada mod_php karena permintaan tanpa autentikasi dapat diproses sebelum kode aplikasi berjalan. The Hacker News juga melaporkan bahwa data dalam memori pekerja PHP dapat mencakup token, kata sandi, kunci API, atau sertifikat dari permintaan lain. [BleepingComputer] [The Hacker News]
RCE tanpa login tidak sama dengan webshell
CISA menjelaskan webshell sebagai skrip yang sudah diunggah ke server dan kemudian menyediakan akses administrasi jarak jauh. Webshell PHP generik biasanya muncul setelah kelemahan aplikasi, unggah berkas, atau konfigurasi disalahgunakan. PHP2Shell berbeda: nama tersebut menunjuk pada kelemahan runtime yang dapat menjadi jalan menuju eksekusi kode, bukan nama skrip yang harus dicari atau dipasang. CISA merekomendasikan inventarisasi komponen PHP, pembaruan segera, dan pemantauan proses PHP yang tiba-tiba menjalankan shell atau mengunduh alat. [CISA] [Panduan CISA tentang webshell]
CNBC melaporkan pemerintah dan organisasi di Eropa sempat mematikan sebagian layanan sebagai langkah berjaga-jaga, sementara NSA mendorong penerapan patch atau pengambilan sistem rentan dari internet. Namun, pembaca tidak boleh menyamakan laporan upaya serangan dengan bukti bahwa semua server telah berhasil dibobol. Untuk konteks ancaman situs yang berbeda, baca laporan tentang penggunaan agen AI dalam pembobolan situs; artikel itu bukan laporan PHP2Shell dan tidak membuktikan hubungan langsung dengan dua CVE ini. [CNBC]
Makna praktis bagi pengelola server
PHP Project menyatakan pembaruan resmi adalah perbaikan lengkap. Organisasi perlu mengetahui PHP yang berjalan di server, perangkat lunak pihak ketiga, image kontainer, dan appliance yang mungkin membundel runtime tersebut. Jika patch belum bisa diterapkan, CISA menyarankan membatasi paparan sistem internet-facing dan memakai perlindungan tambahan sebagai langkah sementara, bukan pengganti pembaruan. Klaim tentang kompromi harus diperiksa melalui log web, error log PHP, proses pekerja, dan perubahan berkas secara hati-hati.
Penilaian risiko juga perlu mempertimbangkan cara layanan dijalankan. Server yang memakai PHP untuk halaman publik, endpoint kesehatan, formulir, atau antarmuka administrasi tidak boleh dianggap aman hanya karena aplikasi tidak memiliki fitur unggah berkas. Sebaliknya, adanya PHP2Shell juga tidak otomatis berarti sebuah situs memiliki webshell. Tim tanggap insiden perlu memisahkan bukti kerentanan, percobaan eksploitasi, dan bukti persistensi seperti berkas PHP baru atau perubahan akun. Pemisahan ini membantu mencegah judul yang berlebihan sekaligus memastikan sistem yang belum ditambal tidak terlewat.
Sumber rujukan
- PHP Foundation: Today's PHP Security Release, and How We're Strengthening PHP Security
- CISA: Critical Vulnerabilities in PHP Require Immediate Patching
- BleepingComputer: PHP ships emergency patches for critical PHP2Shell flaws
- The Hacker News: PHP Issues Emergency Patches for Two Critical Vulnerabilities
- CNBC: PHP2Shell vulnerability: What is it, and is your data at risk?
- Wiz Research: PHP2Shell: PHP RCE Vulnerability
- CISA: Compromised Web Servers and Web Shells: Threat Awareness and Guidance