Pada 21 Oktober 2026, PHP Foundation merilis patch untuk dua kerentasan kritis yang mereka sebut PHP2Shell — CVE-2026-109618 dan CVE-2026-109619. Kedua flaw ini memungkinkan remote code execution tanpa autentikasi (unauthenticated RCE) di semua instalasi PHP yang melayani web request.
Apa yang terjadi?
CVE-2026-109618 (CVSS 9.2) memungkinkan attacker corrupting memori dengan timing request yang spesifik. CVE-2026-109619 menyalahgunakan state global yang stale antar request. Keduanya di-disclose sebelum patch tersedia, dan beberapa organisasi di Inggris, Jerman, Prancis, Belgia, Finlandia, Belanda, dan Australia sudah mematikan layanan PHP mereka sebagai langkah proteksi sementara.
Skala dampaknya besar. Wiz memperkirakan PHP ada di 70% website di dunia — termasuk WordPress, Drupal, Joomla, dan Magento. Cloudflare sudah melihat trafik serangan signifikan sejak 17 Oktober.
Yang harus dilakukan sekarang:
- Update ke PHP 8.5.12, 8.4.27, 8.3.36, atau 8.2.35.
- Inventarisasi semua sistem PHP di organisasi.
- Jika tidak bisa update, matikan sistem PHP yang internet-facing sementara.
- Gunakan WAF sebagai proteksi tambahan (bukan pengganti patch).
- Pantau log untuk aktivitas mencurigakan seperti PHP worker membuka shell.
Pola yang harus dihindari:
PHP adalah contoh klasik “patch cepat atau mati”. CVE-nya bocor 2 hari sebelum rilis resmi, PoC exploitnya bocor bersamaan dengan itu. Jendela antara disclosure dan patch hanya berhari-hari — dalam kasus ini, beberapa jam. Organisasi yang tidak punya patch management pipeline otomatis rentan tertinggal di jendela ini.
Patch management bukan opsional. Di era AI-assisted vulnerability discovery, volume kerentasan naik terus. Microsoft saja sudah rilis 1.411 CVE dalam satu Patch Tuesday Oktober ini. Tidak ada organisasi yang bisa menang tanpa proses patch yang disiplin dan otomatis.