Peneliti Buktikan Eksploitasi PHP2Shell pada Server Umpan

Eksploitasi dua celah keamanan PHP2Shell telah terbukti berhasil setelah peneliti mendeteksi penyerang menjalankan kode dari jarak jauh pada server umpan. Temuan yang dilaporkan Adel Karimi, detection and response lead di Perplexity, menunjukkan ancaman terhadap server dengan konfigurasi PHP tertentu dan memperkuat urgensi pemasangan pembaruan keamanan. Dilansir dari Detik iNET, laporan pemantauan yang diberitakan BleepingComputer pada 27 Oktober 2026 mencatat keberhasilan eksekusi kode jarak jauh atau remote code execution (RCE).

Pengujian dilakukan menggunakan sistem honeypot yang menjalankan PHP 8.4.26 pada Apache dengan modul mod_php. Honeypot merupakan sistem umpan untuk mengamati aktivitas serangan siber. Keberhasilan eksploitasi dalam lingkungan tersebut membuktikan bahwa celah dapat dimanfaatkan, tetapi tidak memastikan berapa banyak server produksi yang telah berhasil disusupi.

Temuan itu juga tidak membuktikan adanya korban di Indonesia. Pengujian secara khusus melibatkan konfigurasi Apache mod_php dan versi PHP yang belum memperoleh perbaikan untuk PHP2Shell.

PHP2Shell merujuk pada dua kerentanan, yaitu CVE-2026-109618 dan CVE-2026-109619. Keduanya berpotensi memungkinkan penyerang mengeksekusi kode tanpa autentikasi atau proses login. Tim PHP menyebut sejumlah instalasi yang melayani permintaan web turut berisiko, termasuk PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Risiko dinilai paling tinggi pada mod_php karena eksploitasi dapat berlangsung sebelum kode aplikasi dijalankan.

Perbaikan untuk kedua kerentanan tersebut telah dirilis pada 21 Oktober 2026. Pengelola situs yang menggunakan paket dari distributor Linux atau penyedia dukungan jangka panjang perlu memeriksa pembaruan keamanan yang disediakan masing-masing vendor. Nomor versi utama saja tidak selalu cukup untuk memastikan status perlindungan. Distributor dapat menyediakan perbaikan melalui paket mereka sendiri, termasuk untuk versi yang masih dipertahankan dalam dukungan jangka panjang.

Tim PHP menegaskan bahwa pemasangan pembaruan merupakan solusi lengkap untuk kedua kerentanan. Sementara itu, langkah mitigasi sementara hanya dapat mengurangi paparan terhadap jalur serangan tertentu dan tidak menggantikan perbaikan keamanan. Di Indonesia, Computer Security Incident Response Team (CSIRT) Kementerian Ketenagakerjaan Republik Indonesia juga merekomendasikan pembaruan PHP atau pemasangan patch dari penyedia sistem operasi.

Pengguna layanan hosting dapat meminta penyedia memastikan versi PHP yang menjalankan situs telah menerima perbaikan terkait. Risiko penggunaan perangkat lunak usang turut terlihat dalam pemindaian Vaksincom pada 23 Oktober 2026. Menurut laporan Detik iNET sebelumnya, sebanyak 69,6 persen kecocokan versi PHP yang terdeteksi di Indonesia masih berstatus usang atau End of Life (EOL).

Pemindaian Vaksincom mencatat 89.193 host PHP aktif dengan total 99.896 kecocokan versi layanan. Dari jumlah tersebut, sebanyak 69.546 kecocokan menggunakan versi yang tidak lagi menerima pembaruan keamanan resmi dari proyek PHP.

Data tersebut tidak membuktikan bahwa seluruh host yang teridentifikasi telah diretas melalui PHP2Shell. Status keamanan setiap server tetap bergantung pada versi yang digunakan dan penerapan patch, termasuk pembaruan yang disediakan vendor untuk versi lama.