PHP kembali mengungkap potensi kerentanan Remote Code Execution (RCE) yang belum mendapatkan perbaikan, hanya dua hari setelah merilis pembaruan keamanan darurat untuk dua celah kritis PHP2Shell. Kerentanan terbaru ini dilacak sebagai CVE-2026-115560 dan berkaitan dengan konfigurasi pengelolaan sesi pada aplikasi web.
Pada 23 Oktober 2026, tim pengembang PHP menerbitkan pengumuman keamanan resmi mengenai kerentanan baru yang berpotensi memungkinkan penyerang menjalankan kode pada server melalui konfigurasi aplikasi tertentu.
Berbeda dengan dua kerentanan PHP2Shell sebelumnya, CVE-2026-115560 hanya memengaruhi aplikasi yang menggunakan kombinasi konfigurasi tidak umum. Oleh karena itu, tim PHP menilai kemungkinan terdampaknya aplikasi dalam praktik relatif rendah dan memutuskan untuk menangani perbaikannya melalui siklus pembaruan reguler. Meskipun belum tersedia patch khusus, administrator server disarankan menonaktifkan fitur session upload progress sebagai langkah mitigasi sementara.
Kerentanan Baru Setelah Pembaruan Darurat PHP2Shell
Pada 21 Oktober 2026, PHP merilis pembaruan keamanan darurat untuk mengatasi dua kerentanan kritis yang dikenal sebagai PHP2Shell:
- CVE-2026-109618 — Kerentanan yang berpotensi memungkinkan eksekusi kode tanpa autentikasi.
- CVE-2026-109619 — Kerentanan kritis lainnya yang juga dapat membuka jalur eksekusi kode pada server.
Kedua kerentanan tersebut telah diperbaiki melalui rilis berikut:
| Cabang PHP | Versi dengan patch PHP2Shell |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Namun, pembaruan tersebut belum memperbaiki CVE-2026-115560, karena kerentanan baru ini merupakan temuan terpisah yang diumumkan setelah rilis darurat. Dengan demikian, server yang sudah menggunakan versi PHP di atas telah mendapatkan perbaikan untuk dua kerentanan PHP2Shell sebelumnya, tetapi tetap perlu memperhatikan konfigurasi sesi yang berkaitan dengan CVE terbaru.
Bagaimana CVE-2026-115560 Dapat Terjadi?
Kerentanan CVE-2026-115560 berkaitan dengan perubahan mekanisme serialisasi data sesi PHP ketika aplikasi sedang berjalan. Menurut penjelasan tim PHP, kerentanan ini hanya dapat muncul apabila beberapa kondisi berikut terpenuhi secara bersamaan:
- Aplikasi menggunakan konfigurasi
session.serialize_handlerdengan nilai awalphp_binaryatauphp_serialize. - Aplikasi kemudian mengubah nilai tersebut menjadi
phpmenggunakan fungsiini_set()ketika proses sedang berjalan. - Perubahan konfigurasi dilakukan sebelum pemanggilan fungsi
session_start(). - Fitur
session.upload_progress.enabledmasih dalam keadaan aktif.
Kombinasi tersebut dapat menimbulkan kondisi yang berpotensi dieksploitasi untuk menjalankan kode pada server. Sebagai gambaran, perubahan konfigurasi yang dimaksud melibatkan penggunaan fungsi berikut:
ini_set('session.serialize_handler', 'php');
session_start();Potongan kode tersebut hanya menggambarkan perubahan handler saat runtime, bukan eksploit yang berdiri sendiri. Risiko yang dijelaskan PHP tetap bergantung pada konfigurasi awal dan kondisi lainnya. Tim PHP menekankan bahwa pola konfigurasi semacam ini jarang ditemukan pada aplikasi web. Aplikasi yang tidak mengubah session.serialize_handler ketika berjalan tidak terdampak melalui jalur kerentanan yang dijelaskan dalam pengumuman tersebut.
Mitigasi Sementara: Nonaktifkan Session Upload Progress
Sambil menunggu patch resmi, tim PHP merekomendasikan administrator untuk menonaktifkan fitur session upload progress. Pengaturan berikut dapat diterapkan melalui file konfigurasi php.ini:
session.upload_progress.enabled = 0Fitur ini secara default aktif pada PHP dan memungkinkan aplikasi melacak perkembangan proses unggah berkas melalui mekanisme sesi. Menonaktifkannya akan menghilangkan jalur yang diperlukan untuk mengeksploitasi kerentanan dalam kondisi yang telah dijelaskan.
Pengaturan tersebut juga sebelumnya direkomendasikan sebagai mitigasi untuk CVE-2026-109619 dalam advisory keamanan PHP yang diterbitkan pada 21 Oktober 2026. Artinya, administrator yang sudah menerapkan mitigasi tersebut dan belum mengaktifkannya kembali tidak perlu melakukan perubahan tambahan khusus untuk CVE-2026-115560.
Untuk memeriksa konfigurasi pada lingkungan PHP CLI, jalankan:
php -i | grep session.upload_progress.enabledPerlu diperhatikan bahwa konfigurasi PHP CLI dapat berbeda dengan PHP-FPM atau modul PHP yang digunakan web server. Karena itu, pemeriksaan sebaiknya dilakukan pada lingkungan PHP yang benar-benar melayani aplikasi. Setelah melakukan perubahan, administrator perlu memastikan konfigurasi telah diterapkan pada proses PHP yang aktif. Jika diperlukan, lakukan reload atau restart layanan PHP-FPM sesuai konfigurasi server.
Belum Ada Patch Resmi untuk CVE-2026-115560
Berbeda dengan dua kerentanan PHP2Shell sebelumnya, tim PHP tidak merilis pembaruan darurat untuk CVE-2026-115560. Keputusan tersebut didasarkan pada terbatasnya kondisi konfigurasi yang dapat memicu kerentanan. Perbaikan direncanakan masuk dalam pembaruan bugfix reguler berikutnya, bersamaan dengan publikasi advisory keamanan yang lebih lengkap.
Hingga pengumuman 23 Oktober 2026, beberapa informasi teknis masih belum dipublikasikan, termasuk:
- Daftar versi PHP yang terdampak secara spesifik.
- Nomor versi rilis yang akan membawa patch.
- Skor tingkat keparahan berdasarkan CVSS.
- Kepastian apakah CVE-2026-115560 memiliki akar masalah yang sama dengan CVE-2026-109619.
Belum ada laporan eksploitasi aktif terhadap CVE-2026-115560 dalam informasi yang dipublikasikan saat itu.
Serangan terhadap PHP2Shell Meningkat Tajam
Walaupun CVE-2026-115560 belum dilaporkan dieksploitasi, aktivitas serangan terhadap dua kerentanan PHP2Shell sebelumnya menunjukkan perkembangan yang berbeda. Amazon melaporkan bahwa sistem honeypot miliknya telah mendeteksi percobaan eksploitasi CVE-2026-109618 dan CVE-2026-109619 pada 17 Oktober 2026, empat hari sebelum pengungkapan resmi. Temuan tersebut menunjukkan bahwa upaya eksploitasi telah terdeteksi bahkan sebelum informasi kerentanan dipublikasikan secara luas. Sementara itu, Cloudflare melaporkan peningkatan aktivitas eksploitasi yang sangat signifikan setelah pengungkapan pada 21 Oktober.
Dalam waktu sekitar 45 menit, jumlah percobaan serangan mencapai puluhan ribu dan kemudian meningkat menjadi jutaan pada awal 22 Oktober 2026. Aktivitas tersebut memperlihatkan betapa cepatnya pelaku ancaman merespons publikasi kerentanan kritis pada perangkat lunak yang digunakan secara luas.
Upaya Penyebaran Botnet Mirai
Peneliti keamanan dari Sophos dan Arctic Wolf turut mengidentifikasi percobaan penyalahgunaan kerentanan PHP2Shell untuk memasang varian botnet Mirai.
Mirai merupakan keluarga malware yang dikenal karena kemampuannya menginfeksi perangkat dan memanfaatkannya sebagai bagian dari jaringan botnet. Namun, berdasarkan laporan yang tersedia saat itu, percobaan tersebut belum menunjukkan keberhasilan eksekusi kode yang terkonfirmasi. Previdian, Wordfence, dan sejumlah peneliti keamanan lainnya melaporkan aktivitas pemindaian serta pengujian eksploitasi, tetapi belum menemukan bukti keberhasilan RCE.
Para peneliti juga menyebut bahwa pengembangan eksploit yang dapat bekerja secara konsisten ternyata lebih sulit daripada perkiraan awal. Penting untuk membedakan aktivitas ini dari CVE-2026-115560. Seluruh laporan serangan tersebut berkaitan dengan CVE-2026-109618 dan CVE-2026-109619, bukan kerentanan baru yang diumumkan pada 23 Oktober.
Apa yang Perlu Dilakukan Administrator Server?
Meskipun CVE-2026-115560 dinilai memiliki kemungkinan eksploitasi yang rendah, administrator tetap perlu memastikan konfigurasi PHP tidak membuka jalur serangan yang tidak diperlukan. Langkah utama yang dapat dilakukan adalah memperbarui PHP ke rilis keamanan yang sesuai, memeriksa penggunaan session.serialize_handler, dan menonaktifkan session.upload_progress.enabled apabila fitur tersebut tidak diperlukan.
Administrator juga perlu memastikan bahwa pembaruan keamanan telah diterapkan pada seluruh lingkungan PHP yang digunakan, bukan hanya versi CLI. Bagi pengguna WordPress, pembaruan PHP tetap menjadi langkah penting karena WordPress, tema, dan plugin bergantung pada runtime PHP di server. Namun, keberadaan WordPress sendiri tidak berarti sebuah situs otomatis rentan terhadap CVE-2026-115560. Kondisi eksploitasi tetap bergantung pada konfigurasi dan perilaku aplikasi sebagaimana dijelaskan dalam advisory.
Kesimpulan
Pengungkapan CVE-2026-115560 menunjukkan bahwa risiko keamanan PHP belum sepenuhnya berakhir setelah pembaruan darurat PHP2Shell pada 21 Oktober 2026. Walaupun cakupan kerentanan baru ini jauh lebih terbatas dan belum terdapat laporan eksploitasi aktif, administrator tetap disarankan menerapkan mitigasi yang telah disediakan.
Memperbarui PHP saja belum tentu cukup apabila konfigurasi aplikasi masih memenuhi kondisi yang diperlukan untuk memicu kerentanan.
Sampai patch resmi tersedia, menonaktifkan session upload progress merupakan langkah mitigasi yang direkomendasikan untuk mengurangi risiko CVE-2026-115560.
Referensi
- PHP — Informational Security Advisory, 23 Oktober 2026
- PHP Security Advisory — CVE-2026-109619
- The Hacker News — PHP Warns of Another Unpatched RCE Risk
Sumber: PHP Project dan The Hacker News. Artikel ini disusun ulang dalam bahasa Indonesia untuk tujuan edukasi dan informasi keamanan siber.
I’m Ryan, a Network Engineer from Indonesia focused on network infrastructure, Server Management, and system administration, with a background in network security and cybersecurity. I enjoy building, troubleshooting, and understanding complex systems from the ground up.