Badan Siber dan Sandi Negara (BSSN) memberi peringatan soal dua kerentanan keamanan pada PHP yang dikenal sebagai PHP2Shell. Celah ini berpotensi dimanfaatkan oleh penyerang atau hacker jarak jauh tanpa autentikasi untuk menjalankan kode pada server yang terdampak.
Peringatan tersebut disampaikan BSSN melalui unggahan akun Instagram resminya dan laman Security Advisory yang membahas kerentanan PHP2Shell dengan kode CVE-2026-109618 dan CVE-2026-109619.
Dalam laman Security Advisory, BSSN menjelaskan bahwa CVE-2026-109618 merupakan kerentanan pada mekanisme penanganan out-of-memory (OOM) di PHP. Kondisi tersebut dapat menyebabkan kerusakan memori (memory corruption) ketika PHP memproses permintaan HTTP.
Hacker jarak jauh tanpa autentikasi dapat mengirimkan permintaan HTTP yang dirancang khusus untuk memicu kondisi tersebut. Kerentanan ini berpotensi dimanfaatkan untuk melakukan remote code execution (RCE), yakni menjalankan kode dari jarak jauh pada server yang terdampak.
Sementara itu, CVE-2026-109619 merupakan kerentanan use-after-free. Kondisi ini terjadi ketika proses PHP mengakses memori yang telah dibebaskan, tetapi masih dirujuk oleh status internal proses.
BSSN menjelaskan, kondisi tersebut juga dapat menyebabkan kerusakan memori dan berpotensi dimanfaatkan penyerang jarak jauh tanpa autentikasi untuk melakukan RCE.
Meski demikian, keberhasilan eksploitasi kedua kerentanan tersebut bergantung pada kondisi pemrosesan permintaan dan konfigurasi lingkungan PHP.
BSSN mencantumkan sejumlah versi PHP yang berpotensi terdampak oleh kerentanan PHP2Shell, yaitu:
- PHP 8.5 versi di bawah 8.5.12
- PHP 8.4 versi di bawah 8.4.27
- PHP 8.3 versi di bawah 8.3.36
- PHP 8.2 versi di bawah 8.2.35
- PHP 8.1 dan versi lebih lama, yang juga berpotensi terdampak dan telah berstatus end-of-life (EOL).
Status EOL berarti versi perangkat lunak tersebut telah mencapai akhir masa dukungan. Dalam peringatan ini, BSSN secara khusus mencatat bahwa PHP 8.1 dan versi lebih lama berpotensi terdampak.
BSSN merekomendasikan pengguna untuk memperbarui PHP ke versi yang telah diperbaiki, sesuai dengan versi yang digunakan. Versi pembaruan yang dicantumkan dalam peringatan tersebut adalah PHP 8.5.12, 8.4.27, 8.3.36, atau 8.2.35.
Pembaruan perlu diterapkan pada seluruh runtime PHP yang digunakan oleh layanan web, termasuk PHP-FPM, Apache mod_php, dan php-cgi. Setelah pembaruan, pengelola sistem juga perlu melakukan restart terhadap layanan terkait.
Apabila pembaruan belum dapat dilakukan, BSSN menyarankan pengelola sistem untuk membatasi akses jaringan ke sistem yang terdampak atau mengisolasi layanan yang terhubung ke internet sampai patch keamanan dapat diterapkan.
Langkah tersebut menjadi mitigasi sementara untuk mengurangi risiko terhadap sistem yang belum memperoleh pembaruan keamanan.
