Dua kerentanan kritis pada PHP dapat membuka jalan bagi penyerang untuk menjalankan kode dari jarak jauh tanpa perlu masuk ke akun terlebih dahulu. Dalam laporan yang diperbarui pada 23 Oktober, tim riset keamanan Unit 42 dari Palo Alto Networks juga menguraikan serangan terhadap sebuah lembaga pemerintah di Eropa dan menyebut pola aktivitas setelah pembobolan itu sebagai indikasi kuat penggunaan agen AI.
Kedua celah tersebut tercatat sebagai CVE-2026-109618 dan CVE-2026-109619, dengan skor tingkat keparahan 9,2 dari 10 menurut Unit 42. Tim itu menyebutnya sebagai “PHP2Shell”.
Apa yang terjadi dalam serangan?
Menurut Unit 42, dalam satu insiden penyerang mengeksploitasi server milik entitas pemerintah Eropa. Dalam waktu kurang dari dua jam setelah akses awal, mereka berhasil mengakses hash kata sandi dan rahasia autentikasi multifaktor, membuat terowongan NTLM relay menuju Active Directory, lalu mencoba menaikkan hak akses hingga Domain Admin.
Peneliti menilai pola perintah yang mereka amati kuat mengindikasikan penggunaan platform serangan berbasis agen AI. Alasannya, beberapa kelompok perintah dibungkus dengan penanda yang mudah dibaca mesin, tugas dijalankan singkat dan berurutan, serta penyerang cepat beralih ke cara lain setelah upaya sebelumnya gagal.
Itu adalah penilaian Unit 42 atas perilaku yang diamati. Laporan tersebut tidak mengungkap identitas pelaku, dan indikasi pola agen AI tidak dengan sendirinya membuktikan siapa yang mengendalikan serangan.
Periksa dan perbarui PHP
Grup PHP merilis versi perbaikan pada 21 Oktober 2026. Versi upstream yang sudah memuat perbaikan adalah PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. Menurut advisori resmi PHP, celah ini berisiko pada instalasi yang melayani permintaan web, termasuk PHP-FPM, Apache dengan mod_php, PHP-CGI, FrankenPHP, dan LiteSpeed.
Jika memakai paket dari Linux atau penyedia dukungan jangka panjang, periksa pembaruan keamanan dari vendor tersebut karena perbaikan bisa dibawa ke paket tanpa mengubah nomor versi upstream. PHP 8.1 dan versi lebih lama tidak lagi menerima pembaruan dari proyek PHP, meski sebagian vendor mungkin menyediakan perbaikan backport.
Untuk pengelola server di Indonesia, langkah praktisnya adalah mengecek setiap runtime PHP yang benar-benar melayani situs—termasuk PHP-FPM dan image container—lalu memasang pembaruan dari vendor. Nomor versi dari PHP CLI saja belum tentu menunjukkan versi yang dipakai oleh layanan web.
Sumber dan catatan
- Laporan Unit 42 tentang CVE-2026-109618 dan CVE-2026-109619, diperbarui 23 Oktober 2026.
- Advisori dan panduan pembaruan resmi PHP, diterbitkan 21 Oktober 2026.
Angka versi perbaikan dan jenis instalasi terdampak bersumber dari PHP. Temuan serangan dan penilaian mengenai penggunaan agen AI bersumber dari Unit 42.