Ancaman celah keamanan PHP2Shell kini disertai bukti keberhasilan eksploitasi. Peneliti merekam penyerang menjalankan kode dari jarak jauh pada server umpan yang sengaja dipasang untuk memantau aktivitas berbahaya.
Temuan tersebut dilaporkan Adel Karimi, detection and response lead di Perplexity. Sistem honeypot miliknya menggunakan PHP 8.4.26 pada Apache dengan modul mod_php.
Dilansir BleepingComputer, Selasa (27/10/2026), hasil pemantauan menunjukkan keberhasilan remote code execution atau RCE. Artinya, aktivitas yang terdeteksi sudah melampaui pemindaian maupun percobaan yang hanya membuat proses server berhenti.
Honeypot merupakan sistem umpan yang digunakan peneliti untuk mengamati serangan. Keberhasilan eksploitasi pada lingkungan tersebut menjadi bukti ancaman teknis, tetapi belum menunjukkan jumlah server produksi yang berhasil dibobol.
Laporan ini juga tidak membuktikan server di Indonesia telah menjadi korban. Konfigurasi yang diamati secara khusus menggunakan Apache mod_php dan versi PHP yang belum memperoleh perbaikan PHP2Shell.
PHP2Shell merupakan sebutan bagi dua kerentanan, yakni CVE-2026-109618 dan CVE-2026-109619. Keduanya dapat memungkinkan eksekusi kode tanpa autentikasi atau login.
Tim PHP menyebut instalasi yang melayani permintaan web berisiko, termasuk PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Risiko dinilai paling tinggi pada mod_php, dengan eksploitasi yang dapat berlangsung sebelum kode aplikasi dijalankan.
Pengelola Website Perlu Memastikan Patch Terpasang
Perbaikan untuk kedua celah telah dirilis pada 21 Oktober 2026 melalui versi berikut:
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
Pengguna paket dari distributor Linux atau penyedia dukungan jangka panjang perlu memeriksa pembaruan vendor. Perbaikan dapat disediakan melalui paket vendor, sehingga pemeriksaan tidak cukup mengandalkan nomor versi utama.
Tim PHP menegaskan pembaruan merupakan solusi lengkap untuk kedua kerentanan tersebut. Mitigasi sementara hanya mengurangi paparan terhadap jalur serangan tertentu.
Di Indonesia, Computer Security Incident Response Team (CSIRT) Kementerian Ketenagakerjaan Republik Indonesia juga merekomendasikan pembaruan PHP atau pemasangan patch dari penyedia sistem operasi. Bagi pengguna hosting, langkah praktisnya adalah meminta penyedia memastikan PHP yang menjalankan situs sudah memperoleh perbaikan.
Urgensi pembaruan ini juga terlihat dari temuan Vaksincom. Seperti diberitakan detikINET sebelumnya, pemindaian pada 23 Oktober 2026 menemukan 69,6% kecocokan versi PHP yang terdeteksi di Indonesia masih berstatus usang atau End of Life (EOL).
Pemindaian tersebut mencatat 89.193 host PHP aktif dengan total 99.896 kecocokan versi layanan. Sebanyak 69.546 kecocokan menggunakan versi yang tidak lagi memperoleh pembaruan keamanan resmi dari proyek PHP.
Temuan itu belum membuktikan server-server tersebut telah dibobol melalui PHP2Shell. Pengelola tetap perlu memastikan status patch, termasuk perbaikan yang mungkin disediakan vendor untuk versi lama.
Simak Video "Video: Hati-hati! Ini Tandanya Jika Akun Gmail Sudah Diretas"
(afr/afr)