PHP Menambal Dua Celah RCE Kritis yang Ditemukan dengan Model AI Terdepan

Proyek PHP merilis PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 pada 21 Oktober 2026. Rilis keamanan ini memperbaiki dua kerentanan kritis yang dapat memungkinkan eksekusi kode jarak jauh tanpa autentikasi dan ditemukan dengan model AI terdepan. Pengungkapan terkoordinasi ini melibatkan proyek PHP, OpenAI, firma riset keamanan Calif, dan perusahaan keamanan cloud Wiz.

Rilis yang Ditambal

Penasihat keamanan proyek PHP menyatakan bahwa keempat rilis tersebut memperbaiki CVE-2026-109618, yang dijelaskan sebagai eksekusi kode jarak jauh akibat korupsi memori karena kehabisan memori, dan CVE-2026-109619, yang dijelaskan sebagai eksekusi kode jarak jauh akibat status global yang usang. Pemberitahuan awal dari tim keamanan PHP pada 20 Oktober 2026 memberi kedua kerentanan itu skor CVSS v4.0 9.2 dan menjadwalkan rilis pada pukul 14.00 UTC tanggal 21 Oktober.

Menurut penasihat tersebut, semua instalasi PHP yang melayani permintaan web berisiko, termasuk PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Risiko dinilai paling tinggi pada mod_php, tempat eksploitasi yang telah didemonstrasikan dapat dipicu oleh permintaan tanpa autentikasi sebelum kode aplikasi apa pun dijalankan.

Proyek tersebut menyatakan bahwa tidak ada mitigasi yang sepenuhnya mengatasi masalah ini dan bahwa memperbarui sistem adalah satu-satunya pilihan yang aman, meskipun proyek itu mencantumkan pengaturan sementara yang mengurangi paparan terhadap jalur serangan tertentu. Distribusi Linux dan penyedia LTS menerima tambalan lebih awal. Tim keamanan PHP juga menyediakan backport minimal dari kode sumber untuk PHP 7.4, 8.0, dan 8.1, yang tidak lagi menerima pembaruan, serta mencatat bahwa masa dukungan PHP 8.2 berakhir pada 31 Desember 2026.

Kerentanan dan Eksploitasi Php2shell

Pengungkapan teknis Wiz Research menjelaskan bahwa CVE-2026-109618 mencakup kerentanan akses setelah memori dibebaskan (use-after-free) pada unserializer pelacakan progres unggahan dan pengungkapan memori proses jarak jauh, sedangkan CVE-2026-109619 mencakup kerentanan akses setelah memori dibebaskan pada backtrace kesalahan fatal dan kekeliruan tipe di OPcache. Semuanya merupakan masalah keamanan memori yang bersumber dari cara PHP menangani kesalahan fatal, khususnya kesalahan kehabisan memori, saat memproses permintaan.

Wiz menyatakan bahwa setiap versi PHP yang dirilis dalam satu dekade terakhir terdampak oleh setidaknya salah satu kerentanan tersebut, hingga versi 5.4. Calif melaporkan bahwa jalur terdampak paling awal yang ditemukan bermula pada PHP 5.4.0 dan bahwa jalur eksploitasi, yang bergantung pada versi PHP dan SAPI, selalu dapat dieksploitasi dengan konfigurasi bawaan.

Wiz menggabungkan kerentanan tersebut ke dalam satu skrip eksploitasi bernama php2shell dan mendemonstrasikan eksekusi kode jarak jauh tanpa autentikasi pada citra kontainer terbaru WordPress, Drupal, dan Joomla. Secara terpisah, Wiz mendemonstrasikan pengungkapan memori pekerja PHP yang tidak bergantung pada aplikasi tertentu; memori tersebut dapat berisi kata sandi, token autentikasi, kunci API, dan sertifikat. Laporan Calif menyebutkan bahwa eksekusi kode jarak jauh sebelum autentikasi telah dikonfirmasi pada WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, Magento 2.4.9, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11, Symfony 8.1, dan WHMCS, serta pada skrip PHP sembarang dalam beberapa kasus.

Wiz menyebut PHP sebagai teknologi yang menjalankan 70% dari seluruh situs web, termasuk WordPress, Joomla, Drupal, dan MediaWiki milik Wikipedia, serta menempatkan temuan ini di antara kerentanan paling parah yang pernah ditemukan di PHP.

Bagaimana Model AI Terdepan Menemukan Celah Ini

OpenAI menyatakan bahwa selama dua bulan terakhir, perusahaan itu memimpin koalisi para pengelola, peneliti, dan penyedia layanan keamanan untuk menangani kerentanan tersebut. Calif mengidentifikasi sebuah celah kritis menggunakan model GPT-5.6 Sol sebagai bagian dari inisiatif Patch the Planet milik OpenAI, sementara Wiz secara independen menemukan dan melaporkan kedua kerentanan itu. Para pengelola PHP memimpin perbaikan dan perilisan pembaruan.

Linimasa para peserta menunjukkan bahwa penemuan-penemuan independen itu terjadi dalam rentang waktu yang saling tumpang tindih. PHP Foundation mencatat bahwa Calif memulai auditnya pada 30 Juli 2026 dan peneliti Calif, Ryan A, melaporkan eksekusi kode jarak jauh tanpa syarat pada 11 Agustus 2026; OpenAI secara independen melaporkan akar masalah yang sama pada hari itu. Menurut catatan Calif, celah tersebut ditemukan pada 1 Agustus 2026, bukti konsep RCE dibagikan kepada PHP pada 14 Agustus 2026, PHP mengonfirmasinya pada 15 Agustus 2026, dan bug kedua dilaporkan pada 21 Agustus 2026.

Wiz melaporkan bahwa mereka menemukan kerentanan pertama pada 19 Agustus 2026 menggunakan Wiz Atlas, Gemini 4 Argon, dan GPT-5.6 Sol, mengonfirmasi eksekusi kode tanpa autentikasi pada Drupal pada 20 Agustus 2026 dan WordPress pada 21 Agustus, lalu melaporkan kerentanan tersebut kepada tim keamanan PHP pada 24 Agustus 2026. Menurut PHP Foundation, OpenAI menambahkan vektor serangan lain pada 18 September 2026, sementara menurut Wiz, PHP mengakui laporan tersebut dan mulai mengembangkan perbaikan terkoordinasi pada 21 September 2026.

Kelemahan yang mendasari masalah ini memiliki sejarah panjang. Calif menceritakan bahwa Stefan Esser menemukan kerentanan jarak jauh pertama pada PHP yang berkaitan dengan batas memori pada 2004, bahwa bug yang menjelaskan kondisi kehabisan memori dilaporkan kepada proyek tersebut pada 2020, dan bahwa audit pada 2024 oleh OSTIF dan Quarkslab menemukan kembali masalah itu tanpa membuktikan bahwa masalah tersebut dapat dieksploitasi. PHP Foundation menulis bahwa audit 2024 didanai oleh Sovereign Tech Agency dan pekerjaan untuk memperbaiki masalah tersebut berulang kali terhenti lalu dimulai kembali selama berbulan-bulan: “Kami tidak akan berpura-pura bahwa sebaliknya yang terjadi: keterlambatan ini merupakan kegagalan struktural.”

OpenAI menyatakan bahwa, mengingat tingkat keparahan celah tersebut dan luasnya penggunaan PHP, perusahaan menganggapnya sebagai salah satu masalah keamanan dengan dampak terbesar dalam beberapa waktu terakhir. OpenAI juga mengatakan bahwa, sejauh yang diketahuinya, AI frontier menemukan kerentanan itu sebelum para penyerang, sehingga terbuka apa yang disebutnya sebagai Jendela Pembela. Perusahaan berkomitmen menyediakan akses Daybreak bersubsidi senilai $1 miliar bagi para pembela yang berada di garis depan, dan menerbitkan pemeriksa versi PHP sebagai keahlian Codex di repositori GitHub openai/php2shell-checker.

Pengungkapan yang Bocor dan Embargo yang Dilanggar

PHP Foundation melaporkan bahwa pengungkapan terkoordinasi itu bertahan hingga dua hari sebelum tanggal rilis yang ditargetkan. Sekitar pukul 15.00 UTC pada 20 Oktober 2026, dua ID CVE mulai beredar di forum daring dan media sosial, disertai waktu rilis yang keliru dan skor CVSS yang salah, yaitu 10.0, meskipun tidak ada detail teknis yang bocor. Proyek PHP memajukan pengumuman awalnya ke pukul 19.30 UTC pada hari itu dan menggeser rilis dari 22 Oktober 2026 menjadi 21 Oktober 2026 pukul 14.00 UTC, dengan mengatakan bahwa para distributor masih mengemas perbaikannya.

Sekitar pukul 20.00 UTC pada 20 Oktober, Calif tanpa sengaja menerbitkan video yang memperlihatkan bukti konsepnya bekerja terhadap sejumlah sasaran. Menurut Foundation, salinan video itu beredar dan turut mempercepat pengembangan berbagai eksploitasi bukti konsep pada 21 Oktober. Pada pukul 07.41 UTC tanggal 21 Oktober, lebih dari enam jam sebelum rilis terkoordinasi, Chainguard secara sepihak melanggar embargo dan menerbitkan image yang telah dibangun dan memuat perbaikan tersebut, menurut laporan Foundation. Tim keamanan PHP memantau bukti-bukti konsep yang muncul setelah kebocoran itu, tetapi tidak mengidentifikasi eksploitasi yang berfungsi saat rilis dan pengungkapan publik dilakukan.

Koordinasi Pemerintah dan Kerangka Kerja yang Diusulkan

OpenAI mengatakan bahwa pihaknya bekerja sama dengan para mitra untuk berkoordinasi dengan berbagai bagian pemerintah AS, termasuk White House’s Super Intelligence Force, Office of the National Cyber Director, dan Cybersecurity and Infrastructure Security Agency, serta para mitra internasional, guna membantu memastikan panduan keamanan menjangkau organisasi-organisasi penting. Wiz mengatakan bahwa sebelum pengungkapan publik, pihaknya bermitra dengan Google Cloud, Cloudflare, AWS, Microsoft, Automattic, Fastly, Akamai, Imperva, Vercel, dan pihak lainnya untuk menyiapkan panduan bagi pelanggan, mekanisme deteksi, serta mitigasi siap pakai bagi organisasi yang tidak dapat segera memperbarui sistemnya.

OpenAI juga menerbitkan usulan kerangka kerja lima tahap untuk menangani kerentanan kritis dalam perangkat lunak yang digunakan secara luas: memvalidasi dan memperbaiki kerentanan di hulu, memberi waktu kepada organisasi terdampak untuk bertindak, berkoordinasi dengan mitra pemerintah, menyiapkan pembaruan untuk produk-produk terdampak, dan menerbitkan panduan setelah patch tersedia. Perusahaan meminta masukan dari komunitas keamanan mengenai pendekatan tersebut.

PHP Foundation, yang membentuk Ecosystem Security Team pada Mei 2026 serta merekrut Alexandre Daubois pada Juli 2026 dan Daniel Scherzer pada September 2026, mengatakan bahwa tim tersebut telah menerbitkan 15 CVE sejak 1 Juli 2026, sembari menindaklanjuti lebih dari 100 laporan yang terbukti tidak valid, merupakan duplikat, atau tidak dapat direproduksi. Foundation mengajak perusahaan, penyedia hosting, platform cloud, distributor, dan pemerintah yang layanannya berjalan di PHP untuk memberikan dukungan pendanaan.