Dua bug yang sudah bersembunyi di kode inti PHP selama lebih dari satu dekade baru terungkap minggu ini — dan bukan manusia yang menemukannya lebih dulu, melainkan model AI yang disuruh memburu kerentanan. Hasilnya diberi nama PHP2Shell: rantai eksploitasi yang, menurut firma keamanan Wiz, bisa dipakai untuk remote code execution tanpa autentikasi di server yang menjalankan bahasa pemrograman yang menggerakkan sekitar 70% website di dunia.
Bug yang Lolos dari Review Manusia Selama 10 Tahun
Menurut tulisan teknis Wiz, akar masalahnya ada pada cara PHP menangani fatal error — terutama kondisi out-of-memory — yang ternyata membuka celah memory-safety di level inti bahasa, bukan di plugin atau library pihak ketiga. Dua celah ini resmi tercatat sebagai CVE-2026-109618 dan CVE-2026-109619, dengan skor CVSS sekitar 9,2 (sebagian laporan keamanan menyebut 9,4). Begitu dirangkai menjadi satu skrip eksploitasi oleh Wiz, hasilnya adalah PHP2Shell: jalur serangan yang berpotensi memberi kontrol penuh atas server tanpa perlu login sama sekali.
Yang membuat temuan ini berbeda dari kerentanan PHP lain adalah umurnya. Kode yang bermasalah sudah ada di inti PHP sejak bertahun-tahun silam, lolos dari review manual dan static analysis manusia selama itu — sampai firma riset Calif dan Wiz, lewat jalur yang berbeda, masing-masing menemukannya secara independen pada Agustus 2026.
Saat AI Jadi Pemburu Bug — dan Berpotensi Jadi Alat Eksploitasi
Yang membuat cerita ini jadi sorotan bukan cuma skala kerentanannya, tapi caranya ditemukan. Menurut laporan NPR, Calif menemukan satu celah dengan bantuan model dari OpenAI, sementara Wiz menemukan celah kedua lewat kombinasi Google Gemini 4 Argon, GPT-5.6 Sol milik OpenAI, dan sistem internal mereka sendiri, Wiz Atlas. Wiz menyebut AI-lah yang mengubah kemampuan mereka: dari sekadar "melihat" potensi bug di kode lama, menjadi benar-benar memahami mekanismenya sampai bisa dirangkai jadi exploit yang jalan.
Ini sekaligus jadi pedang bermata dua yang sering dibahas di komunitas keamanan — model yang sama yang dipakai untuk menemukan dan menambal bug, secara teori bisa juga dipakai pihak lain untuk memburu dan mengeksploitasi kerentanan serupa lebih cepat dari sebelumnya. Wiz dan Calif memilih jalur disclosure terkoordinasi dengan PHP Foundation alih-alih merilis exploit secara publik, tepatnya untuk menghindari skenario itu.
Patch Darurat dan Reaksi Global yang Cepat
PHP Foundation merilis patch darurat pada 21 Oktober 2026, sehari sebelum laporan Al Jazeera soal peringatan dari berbagai pemerintah. Versi yang sudah ditambal mencakup PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35; PHP Foundation juga menyediakan backport sumber untuk versi 7.4, 8.0, dan 8.1 meski versi-versi itu sudah resmi end-of-life dan tak lagi mendapat update rutin. Menurut BleepingComputer, konfigurasi yang paling berisiko adalah PHP-FPM, Apache dengan mod_php, dan FrankenPHP — dengan mod_php disebut paling rawan karena satu request tanpa autentikasi saja cukup untuk memicu serangan.
Belum ada laporan terverifikasi soal intrusi berhasil yang secara pasti dikaitkan ke PHP2Shell, tapi langkah pencegahan sudah diambil di banyak tempat: sejumlah layanan pemerintah di Belanda, Finlandia, Prancis, Jerman, Belgia, dan Denmark, serta Wikimedia, sempat dimatikan sementara murni sebagai tindakan hati-hati selama proses tambal-menambal berlangsung — bukan karena sudah dibobol.
Perlombaan Sudah Dimulai Saat Patch Baru Keluar
Masalahnya, jendela antara pengumuman dan eksploitasi nyata-nyata nyaris nol. Menurut SecurityWeek, beberapa firma keamanan — termasuk WatchTowr, Patchstack, dan Cloudflare — melaporkan percobaan eksploitasi pertama di sensor mereka hampir bersamaan dengan rilis patch, meski belum ada yang mengonfirmasi serangan itu berhasil menembus sistem. Sebagian besar percobaan yang terpantau menyasar jalur upload-progress session milik PHP.
Skala masalahnya juga tidak kecil: riset lain yang dikutip dalam liputan ini memperkirakan ada sekitar 2,24 juta host PHP yang terhubung langsung ke internet, dan sekitar 59% di antaranya berjalan di versi yang sudah tidak lagi kebagian patch resmi dari PHP Foundation — artinya upgrade versi, bukan sekadar menambal, jadi satu-satunya jalan keluar yang didukung vendor untuk sebagian besar server itu.
Takeaway
PHP2Shell bukan cuma cerita tentang dua CVE lagi di bahasa pemrograman yang sudah berumur tiga dekade. Ini kemungkinan jadi salah satu kasus pertama yang terdokumentasi dengan jelas, di mana model AI dari dua perusahaan berbeda, lewat jalur independen, menemukan kerentanan critical yang lolos dari mata manusia selama lebih dari 10 tahun — lalu publikasinya langsung diikuti percobaan eksploitasi dalam hitungan jam. Buat siapa pun yang masih menjalankan server PHP versi lama tanpa jalur upgrade yang jelas, pertanyaannya bukan lagi "apakah perlu patch", tapi "seberapa cepat bisa patch sebelum giliran server itu yang dicoba."
Sumber gambar: Adi Goldstein di Unsplash Sumber gambar: Chris Ried di Unsplash Sumber gambar: Philipp Katzenberger di Unsplash
The conversation 0
No comments yet. Start the conversation.