Mengenal Kerentanan PHP2Shell: CVE-2026-109618 & CVE-2026-109619 dan Rekomendasi Mitigasinya
PHP2Shell adalah sebutan untuk dua kerentanan tingkat Critical (skor CVSS v4.0: 9.2) yang ditemukan langsung pada core engine PHP. Kerentanan ini sangat berbahaya karena menyerang lapisan dasar runtime PHP sebelum kode aplikasi web (seperti WordPress atau Laravel) sempat dieksekusi, sehingga membuka celah Unauthenticated Remote Code Execution (RCE).
1. Latar Belakang & Luas Dampak
PHP2shell menyerang seluruh infrastruktur yang menjalankan PHP di sisi serverweb, termasuk Apache mod_php, PHP-FPM, php-cgi, FrankenPHP, dan LiteSpeed. Apache mod_pjp dinilai paling rentan karena sekspolitasi dapat berhasil dieksekusi pad fase stratup request sebelum skrip aplikasi berjalan. Penyerang dapat mengambil hak akses web worker process dari jarak jauh tanpa harus login atau memilikk akun di aplikasi
2. Penyebab
a. CVE-20260109618 (OOM / Out-of Memory Handling Failure)
Ketika server mengalami kehabisan memori (Out of Memory) saat proses parsing request, penanganan kesalahan PHP memanggil instruksi longjmp (). Pemanggilan ini memutus alur inisialisasi memori secara tiba-tiba, meninggalakan struktur data dalam kondisi belum terinisialisasi (partially initialized). Penyerang mengiri request payload berukuran besar untuk memicu OOM dan memanfaatkan sisa data memori terkorupsi tersebut untuk membelokkan eksekusi ke kode jaha (shell).
b. CVE-2026-109619 (Use-After-Free / State Global State)
Worker process PHP gagal membersihkan global state (status internal memori) dari request sebelumnya secara sempurna. Masalah terjadi ketika kondisi Use-After-Free dimana memori yang sudah dibebaskan masih dirujuk oleh worker process. Penyerang lalu mengirim request berikutnya ke worker process yang sama (misalnya dengan memicu fitur session.upload_progress) untuk membaca/menulis memori lama tersebut hinga mencapai eksekusi kode jarak jauh.
3. Versi PHP terdampak
Versi PHP | Kondisi Status | Versi Perbaikan Resmi |
PHP 8.2 | Terdampak (versi < 8.2.35) | 8.2.35 |
PHP 8.3 | Terdampak (versi < 8.3.36) | 8.3.36 |
PHP 8.4 | Terdampak (versi < 8.4.27) | 8.4.27 |
PHP 8.5 | Terdampak (versi < 8.5.12) | 8.5.12 |
Gunakan PHP2Shell Checker dari SOCRadar untuk mengetahui bahwa versi domain PHP yang digunakan masi memerlukan perbaikan PHP2Shell. Tools ini membaca versi seperti response header dan mencocokannya dengan rilis PHP terbaru yang sudah diperbaiki
4. Rekomendasi Mitigasi
- Prioritas Utama (Patching): Segera tingkatkan (upgrade) seluruh versi PHP di server ke rilis versi aman atau pasang vendor patch dari penyedia OS (RHEL, Ubuntu, Debian, Plesk, dll.).
- Pengaturan Konfigurasi (php.ini): Nonaktifkan fitur pelacakan unggahan sesi untuk meredam vektor penyerangan CVE-2026-109619
- Penyaringan WAF / Reverse Proxy: Atur limitasi ukuran request body pada Nginx/Apache di depan PHP-FPM untuk mencegah eksploitasi pemicu OOM (CVE-2026-109618).
