Pada tanggal 21 Oktober 2026, dunia keamanan siber global dikejutkan oleh pengungkapan terkoordinasi atas dua kerentanan kritis dalam bahasa pemrograman PHP oleh koalisi firma keamanan dan pengembang. Celah keamanan ini dicatat dengan nomor pengenal CVE-2026-109618 dan CVE-2026-109619, serta dijuluki sebagai “php2shell” oleh komunitas keamanan. Mengingat PHP mendukung sekitar tujuh puluh persen situs web aktif di seluruh dunia, tingkat keparahan celah ini sangatlah tinggi. Sistem Penilaian Kerentanan Bersama memberikan skor dasar kritis sebesar 9,2 untuk kedua celah tersebut karena kemampuannya dalam memungkinkan eksekusi kode jarak jauh tanpa otentikasi. Karena masalah ini berdampak pada semua versi PHP dari 5.4 hingga 8.5.11, pengungkapan ini langsung mendorong para penyedia infrastruktur di seluruh dunia untuk segera menerapkan mitigasi darurat guna mengamankan fondasi digital berbagai organisasi.
Akar permasalahan dari kerentanan ini terletak jauh di dalam desain arsitektur mesin PHP itu sendiri, khususnya terkait cara pengelolaan memori saat terjadi kesalahan fatal. Berdasarkan analisis teknis, setiap kali mesin PHP menghadapi batas sumber daya kritis seperti kehabisan memori atau waktu eksekusi yang habis, sistem akan memicu mekanisme yang disebut “zend_bailout“. Rutinitas ini menggunakan fungsi “longjmp” untuk menghentikan operasi yang sedang berjalan secara mendadak dan memindahkan eksekusi ke titik pemulihan tanpa memberi kesempatan bagi proses yang terganggu untuk membersihkan status memori mereka dengan baik. Akibatnya, mesin meninggalkan struktur data internal yang termodifikasi sebagian. Ketika rutinitas pembersihan berikutnya berinteraksi dengan sisa status yang tidak konsisten ini, sistem memperlakukan memori yang rusak tersebut sebagai data yang sah, sehingga menciptakan celah berbahaya untuk dieksploitasi.
Mengeksploitasi keunikan arsitektur ini memungkinkan penyerang untuk mengambil alih sistem secara penuh hanya dengan satu permintaan HTTP tanpa otentikasi. Para peneliti keamanan menunjukkan bahwa pelaku ancaman dapat memicu kondisi kesalahan ini secara sengaja dengan mengirimkan data muatan berukuran besar atau variabel bertingkat yang rumit untuk menguras memori peladen secara buatan. Setelah mesin gagal dan memori menjadi rusak, penyerang dapat mengontrol status sisa tersebut secara presisi untuk mengeksekusi perintah cangkang arbitrer langsung pada sistem operasi peladen. Fastly mencatat dalam analisis teknis mereka bahwa eksekusi kode jarak jauh ini memberi penyerang kemampuan untuk mencuri kata sandi basis data, mengambil kunci enkripsi, dan memasang pintu belakang persisten di seluruh lingkungan terdampak yang menjalankan Apache mod_php atau php-fpm. Untuk memperparah bahaya tersebut, satu-satunya bukti forensik yang tertinggal sering kali hanyalah kesalahan kehabisan memori rutin di dalam log sistem, sehingga membuat intrusi ini sangat sulit dideteksi oleh administrator sistem.
Perjalanan untuk mengungkap potensi eksploitasi penuh dari celah ini memakan waktu beberapa tahun dan membutuhkan tingkat penelitian kolaboratif yang luar biasa. Masalah pengelolaan memori yang mendasari hal ini awalnya di teorikan pada tahun 2020 dan kemudian ditandai selama audit keamanan eksternal pada tahun 2024 yang diselenggarakan oleh OSTIF dan Quarkslab dengan pendanaan dari Sovereign Tech Agency. Kendati demikian, vektor eksploitasi konkret masih belum ditemukan pada saat itu. Terobosan tersebut terjadi pada musim panas tahun 2026 ketika firma keamanan Calif mulai mengaudit basis kode PHP sebagai bagian dari inisiatif “Patch the Planet” milik OpenAI. Pada tanggal 11 Agustus, peneliti bernama Ryan A dari Calif berhasil mendemonstrasikan jalur eksekusi kode jarak jauh tanpa syarat. Wiz melaporkan akar permasalahan yang identik pada hari yang sama, yang membuktikan secara definitif bahwa kerusakan memori teoretis tersebut memang dapat dijadikan senjata untuk menyerang aplikasi dunia nyata.
Kecerdasan buatan memainkan peran revolusioner dalam penemuan maupun perbaikan kerentanan php2shell, yang menandai era baru dalam riset keamanan. Calif memanfaatkan model GPT-5.6 Sol yang sangat canggih dari OpenAI untuk menemukan rantai eksploitasi rumit yang sebelumnya luput dari perhatian para peneliti manusia selama bertahun-tahun. Pada saat yang sama, Google Cloud mengonfirmasi bahwa model Gemini 4 Argon milik mereka memberikan kontribusi yang sangat berharga dalam memvalidasi perangkat perbaikan dan mengembangkan mekanisme deteksi serangan yang andal bersama Wiz Research. Untuk mengelola lonjakan laporan kerentanan yang masuk, The PHP Foundation mengintegrasikan berbagai alat seperti Claude Mythos dari Anthropic dan Daybreak Red dari OpenAI untuk memvalidasi klaim serta menyederhanakan proses peninjauan mereka. Penerapan ganda kemampuan pembelajaran mesin ini menggarisbawahi bagaimana model mutakhir mampu mengungkap celah keamanan berskala internet sekaligus memberdayakan para pengembang untuk membangun pertahanan yang tangguh.
Di balik koordinasi yang direncanakan secara matang di antara pihak-pihak terkait, proses pengungkapan tersebut mengalami gangguan besar dua hari sebelum jadwal peluncuran resmi. Pada tanggal 20 Oktober, nomor pengenal kerentanan mulai beredar di berbagai forum daring disertai dengan skor tingkat keparahan yang dilebih-lebihkan serta jadwal rilis yang tidak akurat. Kebocoran dini ini memaksa para pengembang PHP untuk mempercepat jadwal mereka dan langsung menerbitkan pengumuman awal guna memastikan para distributor memiliki jalur yang jelas untuk memperbarui sistem mereka. Situasi semakin memburuk ketika sebuah video yang mendemonstrasikan bukti konsep yang berfungsi secara tidak sengaja diterbitkan dan dibagikan secara luas di media sosial. Rangkaian kejadian kacau ini mencapai puncaknya ketika distributor perangkat lunak Chainguard secara sepihak melanggar embargo enam jam lebih awal dari jadwal rilis yang telah diubah, dengan menerbitkan citra perangkat lunak yang telah dibangun sehingga memungkinkan calon penyerang untuk membalikkan rekayasa perbaikan biner tersebut sementara masyarakat luas masih belum terlindungi sama sekali.
Sebagai tanggapan atas semakin kompleksnya upaya mengamankan bahasa pemrograman yang menopang web modern ini, The PHP Foundation melakukan penataan ulang secara menyeluruh terhadap operasi keamanannya sepanjang tahun 2026. Menyadari bahwa mengandalkan sekelompok kecil sukarelawan merupakan langkah yang secara struktural tidak memadai, yayasan tersebut mendirikan Tim Keamanan Ekosistem khusus. Tim ini ditugaskan untuk bekerja secara eksklusif dalam hal peninjauan, koordinasi, dan pengerasan mesin. Yayasan tersebut juga mendatangkan personel khusus, termasuk seorang insinyur keamanan kecerdasan buatan yang bertempat di sana, untuk menjembatani kesenjangan komunikasi antara peneliti keamanan dan pengembang inti mesin. Perubahan organisasi yang strategis ini terbukti sangat penting selama krisis php2shell, yang memungkinkan yayasan untuk mengalokasikan sumber daya purnawaktu guna merancang perbaikan yang tetap menjaga kompatibilitas ke belakang untuk desain cacat mendalam yang sebelumnya sempat menghambat upaya pengembangan.
Para penyedia infrastruktur global bereaksi dengan kecepatan yang belum pernah terjadi sebelumnya untuk melindungi para pelanggan mereka dari ancaman yang mendekat sebelum kerentanan tersebut menjadi konsumsi publik. Cloudflare mengerahkan para analis keamanannya untuk mengembangkan dan menerapkan perlindungan firewall aplikasi web yang komprehensif sekitar sembilan jam lebih cepat dari jadwal pengungkapan yang dipercepat. Menyadari bahwa penyaringan berbasis permintaan tradisional dapat menghasilkan peringatan palsu atau melewatkan eksploitasi canggih, Cloudflare memperkenalkan kemampuan baru yang disebut deteksi transaksi penuh. Pendekatan inovatif ini memungkinkan jaringan mereka untuk menganalisis sinyal dari permintaan HTTP yang masuk dan respons asal yang menyertainya secara bersamaan. Dengan mencegat lalu lintas berbahaya di tepi jaringan, Cloudflare berhasil melindungi jutaan situs web yang beroperasi di tingkat gratis maupun berbayar dari risiko kompromi langsung.
Demikian pula, Fastly memberlakukan protokol darurat dengan meluncurkan tambalan virtual proaktif yang dirancang khusus untuk mendeteksi ciri-ciri struktural dari upaya eksploitasi php2shell. Di luar pertahanan jaringan otomatis, Fastly memberikan panduan konfigurasi penting bagi organisasi yang belum dapat menerapkan tambalan biner secara langsung. Tim riset keamanan mereka menyarankan para administrator untuk mengurangi area rentan dengan membatasi ukuran unggahan maksimum hingga delapan megabyte dan membatasi tingkat penelusuran masukan guna mencegah taktik manipulasi tabel hash tertentu yang digunakan dalam eksploitasi tersebut. Fastly juga sangat menyarankan untuk menonaktifkan fitur kemajuan unggahan sesi di dalam konfigurasi peladen, karena mekanisme pelacakan yang sah ini diidentifikasi sebagai pemicu utama untuk jalur eksploitasi terkait sesi di lingkungan yang rentan.
Raksasa layanan komputasi awan juga melakukan pembaruan internal secara besar-besaran untuk mengamankan lingkungan hos terkelola mereka. Google Cloud langsung mengeluarkan imbauan yang mengonfirmasi bahwa meskipun infrastruktur inti mereka aman, para pelanggan yang menjalankan aplikasi PHP warisan berada dalam risiko tinggi. Untuk memitigasi hal ini, Google Cloud memanfaatkan saluran pengiriman otomatisnya untuk meluncurkan citra dasar nirserver yang telah diperbarui untuk semua versi peladen yang didukung. Aplikasi yang menggunakan lingkungan standar App Engine dan layanan Cloud Run dengan pembaruan otomatis yang diaktifkan menerima tambalan tersebut secara mulus tanpa memerlukan campur tangan pengguna. Kendati demikian, Google Cloud sangat mendesak para pelanggan yang mengelola lingkungan fleksibel atau citra kontainer khusus untuk membangun ulang penerapan mereka secara manual menggunakan PHP 8.2 atau yang lebih baru, karena proyek PHP pusat secara resmi menghentikan dukungan untuk versi 8.1 dan sebelumnya.
Skala besar dari insiden ini telah memperkuat seruan mendesak untuk memberikan dukungan finansial yang berkelanjutan bagi infrastruktur sumber terbuka yang krusial. The PHP Foundation secara tegas menekankan bahwa perkakas dan model generatif tidak dapat menggantikan para insinyur berpengalaman yang dibutuhkan untuk menavigasi pertukaran kompatibilitas yang rumit serta menulis ulang perilaku mesin yang mendasar. Sebagai tanggapan industri yang kuat, OpenAI mengumumkan komitmen masif senilai satu miliar dolar untuk menyediakan akses bersubsidi ke model keamanan mereka bagi para pembela garis depan yang melindungi layanan penting. Secara bersamaan, The PHP Foundation menyampaikan seruan langsung kepada para penyedia hos, platform awan, dan lembaga pemerintah yang mengambil keuntungan dari teknologi mereka, untuk mendanai yayasan tersebut pada tingkat yang sebanding dengan ketergantungan mereka pada bahasa pemrograman tersebut.
Resolusi terkoordinasi atas kerentanan php2shell menggambarkan kekuatan luar biasa dari kolaborasi lintas industri di era yang ditentukan oleh kemajuan teknologi yang cepat. Integrasi kecerdasan buatan tingkat lanjut ke dalam penelitian ofensif dan rekayasa defensif telah mengubah ekosistem keamanan siber secara permanen. Meskipun keberhasilan penerapan tambalan di seluruh jaringan global berhasil mencegah kompromi internet yang bersifat katastropik, keunikan arsitektur dalam sistem warisan terus menuntut pengawasan yang ketat. Seiring para organisasi melakukan peningkatan ke rilis PHP yang aman, respons kolektif terhadap krisis ini berfungsi sebagai cetak biru untuk mengelola kerentanan sistemik di masa depan, yang membuktikan bahwa komunikasi yang transparan dan sumber daya bersama adalah penjaga akhir untuk menjaga keutuhan ekosistem digital global.
References & Further Readings
- Today’s PHP Security Release, and How We’re Strengthening PHP Security
- Patch the Planet: global response coordination as agents uncover critical vulnerabilities
- PHP 2026 Archives
- Cloudflare deploys protections against php2shell vulnerability
- Fastly’s Proactive Protection for PHP2Shell, Critical PHP RCE CVE-2026-109618 and CVE-2026-109619
- Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619
- php2shell by Calif Research
Diterjemahkan menggunakan Gemini AI 3.5 Flash-Lite dari tulisan aslinya dalam Bahasa Inggris:
How a Two Decade Old Design Flaw Threatened the Web