Badan Siber dan Sandi Negara (BSSN) menerbitkan peringatan keamanan terkait dua kerentanan kritis pada PHP yang dijuluki PHP2Shell.
Celah ini dapat dibobol penyerang tanpa autentikasi dan berpotensi membuka jalan bagi eksekusi kode jarak jauh (remote code execution/RCE) di peladen terdampak.
PHP sendiri menopang sekitar 70 persen situs web dunia, sehingga temuan ini menjadi perhatian luas.
Dua Celah Kritis dan Versi PHP Terdampak
CVE-2026-109618 bersumber dari mekanisme penanganan kehabisan memori (out-of-memory/OOM) yang dapat memicu kerusakan memori saat PHP memproses permintaan HTTP.
Penyerang cukup mengirim permintaan yang dirancang khusus untuk memicu kondisi tersebut.
Celah kedua, CVE-2026-109619, berupa use-after-free, yakni akses ke memori yang sudah dibebaskan tetapi masih dirujuk status internal proses.
Dampaknya serupa, yaitu kerusakan memori yang berpotensi dimanfaatkan untuk RCE.
PHP 8.5 di bawah 8.5.12 dan PHP 8.4 di bawah 8.4.27 terdampak.
Hal serupa berlaku bagi PHP 8.3 di bawah 8.3.36 serta PHP 8.2 di bawah 8.2.35.
Adapun PHP 8.1 dan versi lebih lama berpotensi terdampak dan sudah berstatus akhir masa dukungan (end of life/EOL).
Solusinya adalah memperbarui PHP ke 8.5.12, 8.4.27, 8.3.36, atau 8.2.35 sesuai versi yang dipakai.
Pembaruan harus mencakup seluruh runtime PHP layanan web, termasuk PHP-FPM, Apache mod_php, dan php-cgi, lalu layanan dimulai ulang.
Jika belum bisa, akses jaringan dibatasi atau layanan yang terhubung ke internet diisolasi hingga tambalan terpasang.
Chief Information Security Officer (CISO) Keeper Security Shane Barney menilai temuan ini menegaskan risiko cacat lama pada teknologi fondasi internet.
Pada konfigurasi terdampak, penyerang berpeluang menjalankan kode berbahaya atau mengakses kredensial, token, dan kunci antarmuka pemrograman aplikasi (API) di memori peladen.
