Warta Mataram – PHP akan merilis pembaruan keamanan di luar siklus regulernya pada pukul 14:00 UTC hari ini, 21 Oktober, untuk menangani dua kerentanan kritis yang dinilai 9.2 pada skala CVSS v4.0. Namun, informasi mendetail mengenai kerentanan tersebut masih belum diungkap.
Menurut penelitian dari watchTowr, kedua celah ini memungkinkan terjadinya eksekusi kode jarak jauh. Pembaruan ini akan tersedia hanya untuk empat cabang PHP yang didukung, yaitu versi 8.2 hingga 8.5. Hingga saat ini, belum ada laporan tentang adanya eksploitasi terhadap celah ini.
Pemberitahuan ini muncul setelah sebuah kebocoran informasi pada 20 Oktober, ketika sebuah posting di HN menyebutkan bahwa dua kerentanan eksekusi kode jarak jauh pada PHP, yang dinilai CVSS 10.0 dan mempengaruhi versi PHP mulai dari 5, akan diungkap pada hari Kamis, 22 Oktober. Penulis posting tersebut mengungkapkan bahwa mereka tidak memiliki bukti kuat, hanya kalimat, ‘sumber: percayalah, bro’.
Setelah itu, watchTowr mengonfirmasi di platform X bahwa informasi yang bocor tersebut benar adanya, bahwa kedua kerentanan tersebut masih dalam embargo, dan semua pihak seharusnya menunggu hingga Kamis untuk informasi lebih lanjut.
PHP kemudian mengumumkan rencananya pada malam yang sama, yaitu pukul 19:33 UTC, dengan rilis yang dijadwalkan untuk Rabu, sehari sebelum tanggal yang diberikan oleh watchTowr. Dalam pengumumannya, PHP menyebutkan bahwa rilis bisa dilakukan lebih awal jika informasi mengenai salah satu kerentanan menjadi publik, atau jika ada bukti eksploitasi aktif yang muncul.
Kebocoran informasi tersebut mencakup eksistensi kerentanan, skor, tanggal, serta dua identifikasi CVE, namun tidak menjelaskan bagaimana kerentanan ini dapat dieksploitasi. Angka CVSS 10.0 berasal dari kebocoran tersebut, sedangkan penilaian PHP sendiri adalah 9.2 pada versi 4.0.
Identifikasi yang digunakan oleh para peneliti, yaitu CVE-2026-109618 dan CVE-2026-109619, juga terdaftar dalam posting yang bocor. Namun, pengumuman PHP tidak menyebutkan nama-nama tersebut. Klaim bahwa setiap versi sejak PHP 5 terdampak hingga kini belum terkonfirmasi, dengan FAQ dari watchTowr menyatakan bahwa cakupan kerentanan tersebut belum mendapat konfirmasi dari penasihat resmi vendor.
PHP menyatakan, “Detail lengkap, versi yang terdampak, serta versi perbaikan akan diterbitkan bersamaan dengan rilis.” Para peneliti memberikan nama ‘php2shell’ untuk kedua kerentanan ini, meskipun nama tersebut bukan berasal dari PHP.
Apapun rentang versi yang terdampak, PHP hanya mengeluarkan perbaikan untuk empat cabang yang didukung dan mencatat setiap perubahan di dalam changelog-nya. Versi 8.2 dan 8.3 hanya mendapatkan perbaikan keamanan, sedangkan 8.4 dan 8.5 masih dalam dukungan aktif. Menjelang rilis, beberapa pelacak, termasuk dari Alpine Linux dan peneliti keamanan Kevin Beaumont, memperkirakan perbaikan akan dirilis sebagai PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35, meskipun PHP belum mengonfirmasi angka-angka ini.
Sementara itu, versi yang lebih lama, termasuk 8.1, 8.0, 7.x, dan 5.x telah mencapai akhir masa pakai dan tidak akan mendapatkan perbaikan dari PHP. Jika kerentanan ini memang mempengaruhi cabang-cabang tersebut, maka instalasi yang menggunakannya tidak akan mendapatkan patch dari vendor.
- Cabang PHP yang Bisa Menerima Perbaikan Hari Ini
- Cabang 8.5: Rilis saat ini (8.5.11) – Dukungan aktif hingga 31 Desember 2027
- Cabang 8.4: Rilis saat ini (8.4.26) – Dukungan aktif hingga 31 Desember 2026
- Cabang 8.3: Rilis saat ini (8.3.35) – Perbaikan keamanan sampai 31 Desember 2027
- Cabang 8.2: Rilis saat ini (8.2.34) – Perbaikan keamanan sampai 31 Desember 2026
Perusahaan keamanan Mallory melaporkan sekitar 884.000 host yang dapat diakses dari internet yang menunjukkan versi PHP 8.1 atau lebih lama ke mesin pencari Shodan pada 20 Oktober, yang mencakup 59% dari sekitar 1,5 juta host yang melaporkan versi apapun. Jumlah ini mencakup banner, bukan sistem yang terkonfirmasi terdampak, dan lebih jauh lagi, 740.000 host melaporkan PHP tanpa menyebutkan versi.
PHP belum mengeluarkan solusi sementara. Hingga rilis resmi, persiapan yang disarankan terdiri dari enam langkah, sebagian besar diambil dari posting respons cepat oleh Huntress, dengan saran isolasi dari CERT-EU yang ditambahkan:
- Inventarisasi setiap instalasi PHP, termasuk yang dibundel dalam perangkat vendor, perangkat lunak Windows, dan panel kontrol seperti cPanel dan Plesk.
- Siap untuk melakukan upgrade pada pukul 14:00 UTC. Lakukan patch pada sistem yang dapat diakses dari internet terlebih dahulu, dan periksa distribusi Linux serta penyedia hosting untuk paket yang telah di-backport.
- Untuk cabang yang sudah tidak didukung, lakukan upgrade, matikan sistem dari internet, atau letakkan di belakang VPN atau firewall aplikasi web hingga dapat diperbaiki.
- Jika patch tidak dapat segera dilakukan, CERT-EU menyarankan untuk “mempertimbangkan mengisolasi aplikasi yang dapat diakses dari internet agar tidak terhubung dengan jaringan publik hingga perbaikan tersedia.”
- Awasi apa yang dijalankan oleh PHP. Beri peringatan jika php-fpm, php-cgi, httpd, atau apache2 meluncurkan shell, interpreter, atau alat pengunduh. Pada server Linux tanpa deteksi akhir, proses-pencari Florian Roth mencatat setiap program yang dijalankan oleh proses PHP beserta baris perintahnya. Ini melihat program hanya setelah dimulai dan, dalam kata-kata Roth, “tidak mencegah apapun.”
- Jika menemukan sesuatu, isolasi server, simpan log server web dan PHP, serta cari shell web, file baru di root web, tugas cron baru, dan akun yang tidak dikenal.
Huntress menyatakan bahwa hingga 20 Oktober, mereka belum melihat adanya eksploitasi terhadap kerentanan ini di lingkungan mitra mereka, belum membangun atau mereproduksi bukti konsep, dan tidak mengetahui adanya kode eksploitasi publik. FAQ dari watchTowr juga mencatat bahwa hingga 21 Oktober, belum ada laporan eksploitasi dan kerentanan ini tidak terdaftar dalam katalog Kerentanan yang Dieksploitasi yang Dikenal oleh CISA.
Sebagai perbandingan, ketika CVE-2024-4577, sebuah kerentanan PHP dalam mode CGI di Windows, menjadi publik pada Juni 2024, Akamai melihat upaya eksploitasi terhadap server honeypotnya dalam waktu 24 jam.
Rilis mendatang diharapkan akan memberikan kejelasan tentang detail yang sebelumnya ditahan: versi mana yang terdampak, bagian mana dari PHP yang terlibat, apakah serangan memerlukan cara tertentu untuk menjalankan PHP, konfigurasi, atau login tertentu, dan bagaimana PHP sendiri menggambarkan kerentanan tersebut. Hingga saat ini, PHP belum merilis perbaikan.
