Pihak pengembang PHP kembali mengeluarkan peringatan mengenai celah keamanan baru yang memungkinkan penyerang mengeksekusi kode berbahaya pada server web, tepat dua hari sesudah merilis tambalan darurat guna menangani kerentanan kritis PHP2Shell.
Masalah keamanan terkini yang diberi kode CVE-2026-115560 ini cuma berdampak pada aplikasi web yang memakai konfigurasi tidak lazim, dan tim pengembang PHP menganggap celah tersebut memiliki tingkat ancaman yang relatif rendah.
Proyek open-source ini menetapkan untuk tidak meluncurkan pembaruan darurat terpisah. Sebaliknya, administrator server disarankan menonaktifkan fungsi bernama session upload progress hingga pembaruan resmi disediakan dalam jadwal rilis berkala berikutnya.
Pemberitahuan singkat ini diumumkan lewat lembar nasihat informasi yang terbit pada 23 Oktober. Langkah tersebut diambil menyusul pembaruan darurat bertanggal 21 Oktober yang membenahi dua kerentanan fatal PHP2Shell, yaitu CVE-2026-109618 serta CVE-2026-109619, yang memperbolehkan peretas tanpa hak akses akun menjalankan skrip asing di server. Masalah terdahulu tersebut telah diperbaiki pada versi PHP 8.5.12, 8.4.27, 8.3.36, beserta 8.2.35. Isu baru ini sepenuhnya terpisah dan belum teratasi lewat varian rilis tersebut.
Hanya sistem yang memiliki struktur konfigurasi sangat spesifik yang rentan terancam. PHP memaparkan bahwa kerentanan bisa muncul jika aplikasi web menjalankan keseluruhan tahapan berikut: mengatur opsi session.serialize_handler ke php_binary atau php_serialize pada konfigurasinya, lantas mengganti setelan tersebut ke php ketika aplikasi beroperasi melalui perintah pemanggilan fungsi ini_set(), serta menerapkan modifikasi tersebut persis sebelum mengeksekusi fungsi session_start().
Selain kondisi di atas, fitur session upload progress juga harus berada dalam status aktif. Sistem aplikasi web yang sama sekali tidak pernah mengubah serialize handler saat runtime berjalan dipastikan aman dan dapat terus menyalakan fungsi itu tanpa risiko eksploitasi. PHP menegaskan skenario konfigurasi semacam ini amat jarang ditemukan dalam pengoperasian dunia nyata.
Langkah mitigasi yang diperlukan hanya membutuhkan satu baris konfigurasi. Tim PHP menyarankan penyetelan opsi session.upload_progress.enabled=0 hingga paket pembaruan rutin tiba. Petunjuk ini serupa dengan arahan penanganan sementara yang telah dirilis pada pemberitahuan 21 Oktober untuk memitigasi CVE-2026-109619.
Pengelola sistem yang sebelumnya telah mengaktifkan langkah mitigasi tersebut dan tidak mengubahnya tak perlu melakukan tindakan tambahan apa pun terhadap isu teranyar ini. Fitur session upload progress sendiri secara bawaan aktif pada instalasi PHP untuk memantau kemajuan proses unggah file berkas ke server.
Berhubung skema konfigurasi yang terdampak sangat tidak biasa, pengembang PHP memilih menyatukan solusinya ke dalam siklus pembaruan reguler ketimbang meluncurkan tambalan darurat, serta bakal mempublikasikan rincian dokumen nasihat komprehensif bagi CVE-2026-115560 pada jadwal rilis mendatang.
PHP belum menguraikan jajaran versi yang terdampak, nomor rilis yang bakal membawa solusi perbaikan, maupun estimasi skor keparahannya. Belum dipastikan pula apakah akar permasalahan isu baru ini identik dengan celah CVE-2026-109619.
Hingga sekarang belum tercatat adanya eksploitasi aktif terhadap celah CVE-2026-115560; seluruh insiden serangan yang dilaporkan sejak 21 Oktober murni membidik dua kerentanan PHP2Shell terdahulu.
Pada sisi lain, gelombang penyerangan yang menargetkan dua kelemahan PHP2Shell awal tercatat melonjak tajam. Amazon melaporkan perangkap honeypot mereka mendeteksi upaya peretasan CVE-2026-109618 dan CVE-2026-109619 sejak 17 Oktober, empat hari sebelum diumumkan secara terbuka, sementara Cloudflare mencatat lonjakan percobaan serangan dari puluhan ribu dalam 45 menit pasca pengumuman 21 Oktober hingga menembus jutaan pada dini hari 22 Oktober.
Kelompok peretas berupaya memanfaatkan kelemahan tersebut guna menanamkan varian malware botnet Mirai, berdasarkan pemantauan Sophos dan Arctic Wolf. Seluruh aksi peretasan tersebut dilaporkan masih gagal: Previdian, Wordfence, serta tim riset lainnya melihat aktivitas pemindaian masif namun belum menjumpai eksekusi kode yang berhasil, dengan para peneliti menilai pembuatan exploit yang stabil ternyata jauh lebih rumit dari perkiraan. Aktivitas berbahaya ini berfokus pada dua kerentanan rilis 21 Oktober, bukan pada CVE-2026-115560 yang kini belum terdeteksi diserang.
About the Author
