Oktober 2026 dikenal sebagai “Black Oktober” di dunia keamanan siber. Pada 21 Oktober, tim pengembang PHP merilis patch emergency untuk dua kerentanan kritis: CVE-2026-109618 dan CVE-2026-109619, secara kolektif disebut PHP2Shell.
Dua Celah RCE Tanpa Autentikasi
PHP2Shell adalah memory safety flaw pada versi PHP 5.4 hingga 8.5 yang memungkinkan remote code execution (RCE) tanpa autentikasi, dengan privilese akun web server. Skor CVSS v4.0 mencapai 9.2 (Kritis). Kerentanan ini dibongkar oleh model AI canggih — bukan peretas manusia tradisional.
Patch Emergency Dikeluarkan
PHP merilis versi perbaiki: PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. Organisasi seperti WatchGuard dan Oracle juga menerbitkan advisory. Patch tersedia untuk pengguna PHP 8.2 ke atas; versi 5.4-8.1 perlu upgrade mayor.
Peringatan “Tsunami Kerentanan”
Eksekutif keamanan siber memperingatkan bahwa penemuan bug PHP menggunakan AI menandai era baru — serangan lebih cepat, lebih presisi. The Guardian melaporkan para ahli menyebut ancaman ini sebagai “vulnerability tsunami” (tsunami kerentanan).
Langkah Mitigasi
- Upgrade PHP ke versi patched secepat mungkin.
- Cek semua aplikasi web yang bergantung PHP.
- Aktifkan WAF dan pantau akses anomali.
- Untuk versi 5.4-8.1: plan upgrade mayor segera.
Black Oktober jadi pengingat: AI tidak hanya membela, tapi juga menyerang.
Sumber: Sophos Security Advisory, WatchGuard WGSA-2026-0032, The Guardian, CNBC