Komunitas pengembang web menghadapi salah satu insiden keamanan infrastruktur paling genting tahun ini setelah The PHP Foundation dan tim keamanan PHP merilis pembaruan darurat untuk menutup dua kerentanan kritis. Celah yang dilacak sebagai CVE-2026-109618 dan CVE-2026-109619—dan secara kolektif dijuluki "php2shell" oleh para peneliti—berada langsung pada alur penanganan permintaan di mesin inti PHP. Keduanya memungkinkan penyerang tanpa hak akses (unauthenticated) mengeksekusi kode sembarangan dari jarak jauh (remote code execution/RCE) serta membocorkan isi memori proses server.

Skala dampaknya hampir tak tertandingi di ekosistem web: PHP masih menopang sekitar 70 persen situs web di seluruh dunia, mencakup platform penerbitan dan konten raksasa seperti WordPress, Drupal, Joomla, MediaWiki, hingga ribuan aplikasi korporat berbasis Laravel dan Symfony. Cacat logika memori ini bahkan sudah bersarang di basis kode C milik PHP sejak versi 5.4.0 yang dirilis lebih dari satu dekade silam. Namun, hal yang paling membedakan krisis kali ini dari insiden keamanan masa lalu adalah peranan kecerdasan buatan: kerentanan yang selama bertahun-tahun dianggap terlalu rumit untuk dieksploitasi secara konsisten akhirnya berhasil dirangkai menjadi eksploit fungsional berkat bantuan model penalaran frontier AI.

Dua kegagalan alokasi memori di inti runtime

Secara teknis, kedua celah ini tidak berpangkal pada kelemahan logika aplikasi web pengguna, melainkan cara mesin PHP mengelola alokasi dan pembersihan memori internal ketika memproses lalu lintas HTTP:

1. CVE-2026-109618 (Korupsi memori saat Out-of-Memory): Kerentanan ini berakar pada interupsi alur kerja internal PHP ketika kehabisan memori (*out-of-memory* atau OOM). Jika alokasi memori gagal di tengah inisialisasi struktur data permintaan yang sensitif, mekanisme pembersihan (*cleanup*) PHP menganggap struktur data yang baru terisi sebagian tersebut sebagai objek yang valid. Penyerang dapat memanipulasi batas memori ini secara sengaja untuk merusak pointer dan membelokkan eksekusi program. 2. CVE-2026-109619 (Use-after-free pada jejak kesalahan fatal): Masalah ini melibatkan bertahannya status internal (*stale global state*) setelah memorinya dibebaskan oleh sistem. Dalam arsitektur *worker* persisten seperti PHP-FPM atau modul Apache mod_php, permintaan berikutnya yang ditangani oleh proses pekerja yang sama dapat membaca atau menulis ke sisa memori lama tersebut sebelum proses inisialisasi ulang berjalan penuh.

Tim riset Wiz Research bersama Calif.io dan OpenAI membuktikan bahwa kedua kelemahan ini dapat digabungkan menjadi sebuah rantai serangan tunggal bernama php2shell. Eksperimen mereka berhasil mengeksekusi kode arbitrary tanpa otentikasi pada citra resmi container terbaru wordpress:latest, drupal:latest, dan joomla:latest. Lebih buruk lagi, serangan ini tidak hanya berujung pada pengambilalihan kontrol penuh; penyerang juga dapat membaca memori proses secara acak (*Heartbleed-style remote memory disclosure*), menyedot kredensial basis data, token sesi, kunci API, dan sertifikat yang sedang diproses oleh permintaan lain di server yang sama. Skor keparahan resminya ditetapkan pada CVSS 9.2 (Kritis).

Titik balik eksploitasi bertenaga AI

Bagi industri keamanan siber, php2shell menandai babak baru yang nyata dalam pergeseran asimetri antara penyerang dan sistem pertahanan. Selama lebih dari sepuluh tahun, bug memori di dalam runtime PHP luput dari pembuatan eksploit praktis karena membutuhkan perhitungan *offset* memori yang sangat presisi di berbagai arsitektur prosesor dan konfigurasi kompilasi.

Hambatan matematis dan teknis tersebut runtuh ketika para peneliti memanfaatkan platform otomatisasi Wiz Atlas yang dipadukan dengan model penalaran lanjutan seperti Gemini 4 Argon dan GPT-5.6 Sol. Model AI digunakan untuk membedah interaksi pointer C dalam pustaka Zend Engine, memetakan kondisi balapan (*race condition*) mikrodetik, dan menyusun muatan (*payload*) yang mampu beradaptasi dengan variasi lingkungan runtime secara dinamis. Bila sebelumnya pengembangan rantai eksploit tingkat rendah membutuhkan waktu berbulan-bulan dari peretas tingkat lanjut, kini mesin AI mampu memadatkan proses eksplorasi tersebut menjadi hitungan hari.

Kenyataan ini mengubah kalkulasi ancaman: kode sumber terbuka yang sangat luas dan sarat kode legasi kini dapat dipindai secara agresif oleh aktor ancaman menggunakan agen otonom untuk menemukan titik lemah yang selama ini tersembunyi di balik kompleksitas bahasa tingkat rendah.

Embargo bocor dan rilis darurat yang kacau

Dramatisasi seputar rilis keamanan ini tidak berhenti pada aspek teknis. Proses pengungkapan terkoordinasi (*coordinated vulnerability disclosure*) yang dirancang berjalan tertib selama beberapa pekan mendadak berantakan dalam kurun 48 jam sebelum jadwal resmi.

Pada 20 Oktober 2026, nomor CVE dan rumor skor palsu CVSS 10.0 mulai menyebar tanpa kendali di berbagai forum peretasan bawah tanah dan media sosial. Tak lama berselang, Calif secara tidak sengaja memublikasikan video demonstrasi konsep (*proof-of-concept*) yang memperlihatkan keberhasilan serangan terhadap server target. Meskipun video tersebut segera diturunkan, rekamannya sudah terlanjur beredar dan mempercepat upaya pihak luar untuk merekonstruksi eksploit.

Situasi mencapai puncaknya pada 21 Oktober pukul 07.41 UTC ketika distributor keamanan Chainguard secara sepihak mematahkan embargo dengan meluncurkan citra kontainer yang sudah ditambal—lebih dari enam jam sebelum pengumuman global disepakati. Menghadapi risiko eksploitasi aktif di alam liar, The PHP Foundation memajukan jadwal rilis publik dari semula 22 Oktober menjadi 21 Oktober pukul 14.00 UTC.

Di balik kekacauan tersebut, The PHP Foundation secara terbuka mengakui kelemahan struktural dalam pemeliharaan keamanan mereka. Gejala awal masalah OOM ini sebenarnya sudah sempat diidentifikasi pada audit keamanan eksternal tahun 2024 yang didanai Sovereign Tech Agency melalui OSTIF dan dijalankan oleh Quarkslab. Namun, karena keterbatasan personel dan rumitnya perdebatan internal di tim inti, investigasi tersebut sempat terbengkalai selama berbulan-bulan sampai laporan mendesak dari Calif, OpenAI, dan Wiz masuk pada pertengahan Agustus 2026.

Langkah mitigasi dan penanganan mendesak

The PHP Foundation telah merilis versi tambalan resmi untuk lini yang masih didukung: PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. Untuk versi lawas yang sudah mencapai masa akhir dukungan (*end-of-life*) seperti PHP 7.4, 8.0, dan 8.1, tim keamanan hanya menyediakan *backport* kode sumber minimal tanpa paket biner resmi. Versi yang lebih tua dari itu tidak menerima perbaikan sama sekali.

Penyedia infrastruktur tepi seperti Cloudflare telah menyebarkan proteksi WAF secara global sekitar sembilan jam sebelum rilis publik diumumkan. Cloudflare bahkan memperkenalkan sistem *Full Transaction Detection* yang memeriksa lalu lintas permintaan dan respons server secara simultan demi mencegah kebocoran data memori keluar ke tangan penyerang.

Bagi pengelola sistem dan administrator server yang belum dapat memperbarui paket PHP secara instan, tim inti PHP menyarankan beberapa langkah mitigasi penurun risiko: - Menonaktifkan fitur unggahan sesi sementara dengan menyetel session.upload_progress.enabled = 0 di konfigurasi php.ini. - Mengatur batas alokasi memori agar tidak mudah diganggu penyerang melalui direktif tingkat admin (memory_limit = -1 pada tingkat sistem atau mengunci php_admin_value). - Membatasi ukuran muatan HTTP dengan menurunkan nilai post_max_size dan upload_max_filesize ke batas operasional minimum. - Mematikan pembuatan jejak kesalahan pada PHP 8.5 lewat opsi fatal_error_backtraces = 0 serta melakukan restart rutin pada proses pekerja (*worker recycling*).

Insiden php2shell menjadi pengingat keras bagi dunia teknologi: fondasi perangkat lunak open source yang menopang sebagian besar internet masih beroperasi dengan sumber daya manusia yang sangat minim, sementara alat yang digunakan untuk membongkarnya kini bergerak dalam kecepatan komputasi kecerdasan buatan.