Konteks Peristiwa
The PHP Foundation bersama tim pengembang inti merilis pembaruan keamanan darurat di luar siklus rilis reguler menyusul terungkapnya dua kerentanan kritis bersandi CVE-2026-109618 dan CVE-2026-109619. Kedua celah keamanan yang diberi julukan teknis php2shell ini mengantongi skor keparahan 9,2 pada kerangka CVSS 4.0, menandakan tingkat ancaman tertinggi yang memungkinkan penyerang tanpa otentikasi mengeksekusi kode program berbahaya secara jarak jauh (remote code execution) langsung pada server web target.
Awalnya, proses pengungkapan terkoordinasi (coordinated vulnerability disclosure) dijadwalkan berlangsung pada 22 Oktober 2026 pukul 14:00 UTC. Namun, beredarnya rincian teknis eksploitasi di ruang publik memaksa pengembang mempercepat perilisan patch mitigasi 24 jam lebih awal guna mencegah gelombang eksploitasi massal otomatis oleh aktor ancaman siber.
Dampak dari kerentanan ini mencakup spektrum luas infrastruktur web global, mengingat bahasa pemrograman PHP menggerakkan lapisan server bagi platform manajemen konten terkemuka seperti WordPress, Drupal, Joomla, serta kerangka kerja Laravel dan Symfony. Berbagai distribusi Linux utama, termasuk Canonical untuk ekosistem Ubuntu (mulai dari versi lawas 14.04 ESM hingga 26.10), Debian, dan Red Hat Enterprise Linux, telah menerbitkan paket rilis pembaruan perbaikan yang mencakup cabang PHP 5.5, 7.x, hingga lini stabil modern PHP 8.1 sampai 8.5.
Lembaga tanggap darurat siber Uni Eropa (CERT-EU) serta Australian Cyber Security Centre (ACSC) mengimbau para penyedia layanan cloud hosting dan administrator infrastruktur TI untuk segera menerapkan patch biner PHP. Meskipun penyedia jaringan pengiriman konten seperti Cloudflare telah mengaktifkan filter firewall aplikasi web (WAF) mitigatif, pembaruan langsung pada penerjemah biner PHP di tingkat server tetap menjadi satu-satunya perlindungan permanen untuk mengeliminasi risiko pembajakan sistem.