Mimpi buruk PHP belum berakhir: ditemukan kerentanan baru yang belum diperbaiki

Tingkat keparahannya belum diketahui.

Setelah PHP Foundation merilis perbaikan mendesak pada hari Rabu untuk mengatasi celah kritis dalam kode yang menjalankan dua pertiga internet dunia, komunitas keamanan siber kembali dikejutkan pada hari Jumat dengan ditemukannya kerentanan lain di PHP yang belum diperbaiki.

PHP Foundation mengimbau para pengembang untuk menonaktifkan fitur tertentu dalam aplikasi PHP guna melindungi sistem dari kerentanan *remote code execution* (RCE) yang baru ditemukan.

Dalam sebuah pemberitahuan yang diterbitkan pada 23 Oktober, yayasan tersebut merekomendasikan untuk menonaktifkan fitur *session upload progress*.

Yayasan tersebut juga membagikan rekomendasi ini melalui platform X, dengan meminta pengguna untuk tetap menonaktifkan pengaturan tersebut sampai rilis PHP berikutnya tersedia.

Kerentanan lain yang memungkinkan eksekusi kode jarak jauh (*remote code execution*)

Langkah pencegahan ini ditujukan untuk menangani kerentanan CVE-2026-115560. Kabar baiknya, risiko yang ditimbulkan tampaknya terbatas.

CVE-2026-115560 dapat memungkinkan penyerang untuk mengeksekusi kode pada server, namun hanya jika aplikasi menggunakan kombinasi pengaturan sesi PHP yang tidak lazim. Sebagian besar aplikasi kemungkinan besar tidak akan terdampak.

Pengembang dapat menerapkan pengaturan ini dalam konfigurasi PHP mereka: “session.upload_progress.enabled=0.”

Saran ini sebenarnya bukan hal baru. PHP sebelumnya telah merekomendasikan mitigasi yang sama dalam pemberitahuan tertanggal 21 Oktober terkait CVE-2026-109619—salah satu dari dua kerentanan kritis yang terlibat dalam insiden keamanan PHP2Shell baru-baru ini.

Menurut pihak yayasan, pengembang yang telah menerapkan pengaturan tersebut tidak perlu melakukan tindakan tambahan apa pun untuk masalah yang baru ditemukan ini.

Yayasan tersebut belum merinci versi PHP mana saja yang terdampak, ataupun memublikasikan skor tingkat keparahannya. Mereka berencana untuk mengeluarkan pemberitahuan lengkap bersamaan dengan rilis rutin berikutnya.

“Mengingat konfigurasi ini jarang terjadi dalam praktiknya, kami menanganinya melalui siklus rilis reguler dan akan menerbitkan pemberitahuan lengkap untuk CVE-2026-115560 pada rilis berikutnya,” tulis yayasan tersebut dalam pemberitahuannya.

Belum ada laporan mengenai eksploitasi terhadap kerentanan yang baru ditemukan ini. Serangan terhadap PHP kian marak

Sementara itu, eksploitasi "PHP2Shell" semakin gencar. Amazon melaporkan bahwa *honeypot* mereka mencatat upaya eksploitasi yang menargetkan CVE-2026-109618 dan CVE-2026-109619 pada tanggal 17 Oktober—empat hari sebelum kerentanan tersebut diungkapkan kepada publik.

Aktivitas ini meningkat pesat setelah pengungkapan pada tanggal 21 Oktober. Cloudflare melaporkan bahwa upaya untuk mengeksploitasi kerentanan tersebut melonjak dari puluhan ribu dalam kurun waktu 45 menit menjadi jutaan pada awal tanggal 22 Oktober.

Meski demikian, belum ada konfirmasi mengenai serangan yang berhasil.

"Tidak ada bukti adanya kompromi yang berhasil akibat kerentanan ini," ungkap perusahaan keamanan siber Sophos.

"Hingga saat penulisan ini, kami belum mengamati adanya eksekusi kode jarak jauh (*remote code execution*/RCE) yang berhasil maupun penempatan berkas PHP oleh pihak luar. Melakukan RCE yang andal mungkin lebih sulit daripada yang diperkirakan sebelumnya," ujar para peneliti keamanan siber di Previdian.