Pada 21 Oktober, proyek PHP merilis empat versi keamanan sekaligus: 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. Rilis ini memperbaiki dua kerentanan, CVE-2026-109618 dan CVE-2026-109619, yang keduanya diberi skor 9,2 pada CVSS v4.0. Penyerang jarak jauh tanpa autentikasi dapat mengeksploitasinya, dan dampak terburuknya adalah eksekusi kode jarak jauh. Dalam pengumumannya, pihak PHP menyatakan tidak ada mitigasi sementara yang lengkap dan peningkatan versi adalah satu-satunya perbaikan tuntas.
Kerentanan ini ditemukan oleh perusahaan keamanan cloud Wiz, yang menamai insiden ini PHP2Shell. Dalam proses pencarian celah, tim riset Wiz memakai platform buatan sendiri, Wiz Atlas, serta Gemini 4 Argon milik Google dan GPT-5.6 Sol milik OpenAI.
Masalahnya ada di mesin PHP itu sendiri
Di balik kedua CVE itu ada empat cacat: use-after-free pada deserializer progres unggahan, pembacaan memori proses dari jarak jauh, use-after-free pada backtrace galat fatal, dan type confusion pada OPcache. Akar masalah yang sama terletak pada cara PHP menangani galat fatal, terutama yang disebabkan kehabisan memori.
Setelah sebuah permintaan berakhir secara tidak normal, data yang rusak tertinggal di dalam status internal. Ketika proses pekerja yang sama menangani permintaan berikutnya, status usang itu dipakai ulang sehingga terjadi kebocoran atau kerusakan memori. Tanpa menjalankan kode apa pun, penyerang tetap bisa membaca kata sandi, token, dan kunci API dari memori proses.
Celahnya ada di mesin PHP, tidak ada kaitannya dengan seberapa aman aplikasi di lapisan atas ditulis. Wiz mendemonstrasikan eksploitasi pada citra kontainer terbaru WordPress, Drupal, dan Joomla; bahkan halaman yang hanya menampilkan Hello World pun bisa terkena. Kebocoran memori tetap terjadi walau aplikasi tidak pernah memanggil session_start(). Cakupan terdampak ditelusuri hingga PHP 5.4, dan setiap versi yang dirilis selama satu dekade terakhir terkena setidaknya salah satu masalah tersebut.
Di mana AI berperan
Lini masa Wiz adalah sebagai berikut: celah pertama ditemukan pada 19 Agustus, dilaporkan ke tim keamanan PHP pada 24 Agustus, PHP mengonfirmasi dan mulai menyiapkan perbaikan terkoordinasi pada 21 September, lalu diumumkan ke publik pada 21 Oktober. Dari laporan hingga tambalan rilis memakan waktu hampir dua bulan, sebagian besar untuk perbaikan dan koordinasi.
Menurut Wiz, Argon terlibat dalam beberapa tahap: menemukan celah, menulis exploit, mendeteksi serangan, dan memverifikasi tambalan. Model besar membantu peneliti menyesuaikan kode exploit dengan berbagai versi PHP, konfigurasi, dan tata letak memori; jika gagal, model menganalisis penyebabnya lalu mengulang. Kata Wiz sendiri:
"Frontier AI models substantially reduced that barrier, turning a longstanding flaw into an exploit."
(Model AI frontier secara signifikan menurunkan hambatan itu, mengubah cacat lama menjadi exploit yang bisa dipakai.)
Wiz menyatakan seorang peneliti menyelesaikan dalam satu minggu pekerjaan yang dulu memakan waktu berbulan-bulan bagi tim papan atas. OpenAI juga menerbitkan artikel terkait pengungkapan terkoordinasi ini. Laporan publik menyebut OpenAI turut merilis sebuah skill Codex untuk membantu situs memeriksa apakah mereka terdampak, tetapi skenario apa saja yang dicakup belum dapat diverifikasi satu per satu saat ini.
Masalah bagi situs lama di Tiongkok
Banyak situs usaha kecil dan menengah, situs resmi perusahaan, dan forum di Tiongkok berjalan di atas PHP, kerap dengan lingkungan yang dipasang sekali klik lewat panel pembuat situs, dan tidak sedikit yang versinya masih tertahan di 7.x. Berdasarkan daftar rilis resmi, tambalan kali ini hanya mencakup empat cabang, 8.2 hingga 8.5. Dukungan untuk 7.x sudah lama berakhir sehingga tidak mendapat perbaikan resmi, dan 8.2 pun hanya dipelihara sampai 31 Desember tahun ini.
Untuk situs yang belum diperbarui, Wiz mencantumkan beberapa tanda yang perlu diperiksa: permintaan multipart yang tidak wajar disusul galat batas memori terlampaui, HTTP 500 yang berulang, cookie PHPSESSID yang ukurannya tidak wajar atau formatnya kacau, serta proses pekerja PHP yang sering restart secara tidak normal. Cloudflare, Fastly, Google, dan vendor lain sudah memasang aturan perlindungan sehingga situs di balik CDN bisa terlindungi sebagian, tetapi kesimpulan resminya tidak berubah: urusan baru selesai setelah tambalan terpasang.
Sumber: pengumuman keamanan resmi PHP, blog riset Wiz, CocoLoop, pengumuman keamanan OpenAI; nomor versi perbaikan, nomor CVE, skor CVSS v4.0, dan rentang versi terdampak telah diverifikasi.