Caper.ID – PHP siap meluncurkan rilis keamanan di luar jadwal pada pukul 14:00 UTC hari ini, 21 Oktober, untuk menangani dua kerentanan kritis yang dinilai 9.2 pada skala CVSS v4.0 oleh tim keamanannya, meskipun belum ada penjelasan mendetail tentang masalah tersebut.
Peneliti keamanan dari watchTowr mengungkapkan bahwa kedua kerentanan ini memungkinkan terjadinya eksekusi kode jarak jauh. Hanya empat cabang PHP yang didukung, yaitu versi 8.2 hingga 8.5, yang akan menerima perbaikan ini, dan hingga saat ini belum ada laporan mengenai eksploitasi yang terjadi.
Pemberitahuan awal mengenai hal ini muncul setelah adanya bocoran informasi. Pada 20 Oktober, sebuah postingan di Hacker News (HN) mengklaim bahwa dua kerentanan PHP yang dapat dieksploitasi jarak jauh dan dinilai CVSS 10.0 akan diungkapkan pada hari Kamis, 22 Oktober. Penulis postingan tersebut menyatakan bahwa mereka tidak memiliki bukti yang kuat dan hanya mengandalkan sumber yang tidak dapat diverifikasi.
watchTowr kemudian mengonfirmasi di platform X bahwa informasi yang bocor itu benar adanya, dan bahwa kedua kerentanan tersebut berada dalam embargo, sehingga semua pihak seharusnya menunggu hingga hari Kamis untuk mendapatkan informasi lebih lanjut.
PHP akhirnya merilis pengumuman malam itu, pada pukul 19:33 UTC, dengan rilis yang dijadwalkan sehari sebelumnya dari tanggal yang diberikan oleh watchTowr. Dalam pengumuman tersebut, PHP menyatakan bahwa mereka mungkin akan merilis perbaikan lebih awal jika rincian tentang salah satu kerentanan menjadi publik atau jika bukti eksploitasi aktif terdeteksi.
Bocoran tersebut menyertakan informasi mengenai keberadaan kerentanan, skor, tanggal, dan dua identifikator CVE, namun tidak menjelaskan cara kerjanya. Angka CVSS 10.0 berasal dari bocoran tersebut, sedangkan penilaian PHP sendiri adalah 9.2 menurut versi 4.0 dari skala tersebut.
Identifikator yang digunakan oleh peneliti, CVE-2026-109618 dan CVE-2026-109619, juga tercantum dalam postingan yang bocor. Namun, pengumuman PHP tidak menyebutkan kedua identifikator tersebut. Klaim bahwa setiap versi sejak PHP 5 terdampak juga belum terkonfirmasi; FAQ dari watchTowr mengenai kerentanan tersebut menyatakan bahwa lingkup dampaknya “belum dikonfirmasi oleh advis resmi vendor” dan belum ada deskripsi tentang konfigurasi atau fitur yang dibutuhkan.
PHP menyatakan, “Detail lengkap, versi yang terdampak, dan versi yang diperbaiki akan dipublikasikan bersamaan dengan rilis.” Peneliti mulai menjuluki kedua kerentanan ini dengan nama php2shell. Nama tersebut berasal dari peneliti, bukan dari PHP.
Apapun rentang versi yang akhirnya terpengaruh, PHP hanya merilis perbaikan untuk empat cabang yang didukung, serta mencatat setiap perubahan yang terjadi dalam changelog masing-masing cabang. Versi 8.2 dan 8.3 hanya menerima perbaikan keamanan, sedangkan 8.4 dan 8.5 mendapatkan dukungan aktif. Beberapa pelacak, termasuk dari Alpine Linux dan peneliti keamanan Kevin Beaumont, memperkirakan perbaikan ini akan dirilis sebagai PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35, yaitu rilis selanjutnya dari masing-masing cabang, meski PHP belum mengonfirmasi angka tersebut.
Versi yang lebih tua, termasuk 8.1, 8.0, 7.x, dan 5.x, telah mencapai akhir masa hidup dan tidak akan mendapatkan perbaikan dari PHP. Jika kerentanan itu masuk ke dalam cabang-cabang tersebut, maka instalasi yang ada tidak akan menerima patch dari vendor.
Cabang PHP yang Dapat Menerima Perbaikan Hari Ini
- Cabang: 8.5 | Rilis Saat Ini: 8.5.11 | Status Dukungan: Aktif hingga 31 Desember 2027
- Cabang: 8.4 | Rilis Saat Ini: 8.4.26 | Status Dukungan: Aktif hingga 31 Desember 2026
- Cabang: 8.3 | Rilis Saat Ini: 8.3.35 | Status Dukungan: Hanya perbaikan keamanan hingga 31 Desember 2027
- Cabang: 8.2 | Rilis Saat Ini: 8.2.34 | Status Dukungan: Hanya perbaikan keamanan hingga 31 Desember 2026
Perusahaan keamanan Mallory mencatat sekitar 884.000 host yang terhubung ke internet melaporkan versi PHP 8.1 atau lebih tua kepada mesin pencari Shodan pada 20 Oktober, mewakili 59% dari sekitar 1,5 juta host yang melaporkan versi apa pun. Hitungan ini mencakup banner, bukan sistem yang terkonfirmasi terpengaruh, dan sekitar 740.000 host melaporkan PHP tanpa menyertakan versi.
PHP belum mengeluarkan solusi alternatif. Hingga rilis perbaikan tiba, ada enam langkah yang perlu dilakukan sebagai persiapan, sebagian besar berasal dari posting respons cepat dari Huntress, dengan saran isolasi dari CERT-EU ditambahkan.
- Inventarisasi setiap instalasi PHP, termasuk PHP yang disertakan dalam perangkat vendor, perangkat lunak Windows, dan panel kontrol seperti cPanel dan Plesk.
- Bersiap untuk melakukan upgrade pada pukul 14:00 UTC. Lakukan patch pada sistem yang terhubung ke internet terlebih dahulu, dan periksa distribusi Linux serta penyedia hosting Anda untuk paket yang telah dibackport.
- Pada cabang yang sudah tidak didukung, lakukan upgrade, cabut sistem dari internet, atau letakkan di belakang VPN atau firewall aplikasi web hingga dapat diperbaiki.
- Jika patch tidak dapat dilakukan sekaligus, CERT-EU menyarankan untuk “mempertimbangkan isolasi aplikasi yang terhubung ke internet dari jaringan publik hingga perbaikan tersedia.”
- Perhatikan apa yang dimulai oleh PHP. Beri peringatan jika php-fpm, php-cgi, httpd, atau apache2 meluncurkan shell, interpreter, atau alat unduhan. Di server Linux tanpa deteksi titik akhir, proses-watcher karya Florian Roth mencatat setiap program yang dimulai oleh proses PHP beserta baris perintahnya. Alat ini hanya dapat melihat program setelah dimulai dan, menurut Roth, “tidak mencegah apa pun.”
- Jika menemukan sesuatu, isolasi server, pertahankan log server web dan PHP, serta cari web shell, file baru di root web, tugas cron baru, dan akun yang dijadwalkan.
Huntress menyatakan bahwa hingga 20 Oktober, mereka belum melihat eksploitasi terhadap kerentanan ini di lingkungan mitra mereka, belum membuat atau mereproduksi bukti konsep, dan tidak mengetahui adanya kode eksploitasi publik. FAQ watchTowr mencatat bahwa belum ada laporan eksploitasi hingga 21 Oktober dan kerentanan ini tidak terdaftar dalam katalog Kerentanan yang Diketahui oleh CISA.
Untuk perbandingan, ketika CVE-2024-4577, sebuah kerentanan PHP dalam mode CGI di Windows, menjadi publik pada Juni 2024, Akamai melihat percobaan eksploitasi terhadap server honeypot mereka dalam waktu 24 jam.
Rilis mendatang diharapkan akan menjelaskan hal-hal yang belum disebutkan dalam pengumuman: versi mana yang terpengaruh, bagian mana dari PHP yang terlibat, apakah serangan memerlukan cara tertentu untuk menjalankan PHP, konfigurasi, atau login, serta bagaimana PHP menggambarkan kerentanan tersebut. Hingga saat penulisan, PHP belum merilis perbaikan.
