Analisis Kerentanan Kritis PHP2Shell dan Panduan Patch Darurat Runtime Server

Tim pengembang inti PHP merilis pembaruan darurat di luar jadwal rilis reguler untuk mengatasi dua kerentanan eksekusi kode jarak jauh tanpa autentikasi, yang dikenal sebagai PHP2Shell dengan penomoran CVE-2026-109618 dan CVE-2026-109619. Kedua celah ini mengeksploitasi cacat alokasi memori internal pada interpreter PHP sebelum logika aplikasi diproses, sehingga memberikan celah kendali penuh atas server web kepada penyerang jarak jauh.

Anatomi Kerentanan CVE-2026-109618 dan CVE-2026-109619

Penyelidikan teknis menunjukkan bahwa kelemahan ini bukan berada di tingkat pustaka pihak ketiga atau modul tambahan, melainkan tertanam langsung pada inti runtime PHP. Eksploitasi dapat terjadi melalui permintaan HTTP standar yang dirancang secara khusus untuk memicu ketidaksinkronan alokasi memori pada proses backend.

Kerusakan Struktur Memori Zend Engine (CVE-2026-109618)

Celah pertama berakar pada kegagalan penanganan alokasi memori internal selama inisialisasi lingkungan eksekusi permintaan. Ketika ukuran muatan HTTP tertentu dikirimkan, alokator Zend Engine gagal memulihkan pointer memori secara benar saat terjadi lonjakan alokasi. Penyerang memanfaatkan kondisi ini untuk menimpa tabel fungsi internal dalam struktur memori proses PHP, mengalihkan alur eksekusi, dan menjalankan perintah arbitrer pada sistem operasi induk.

Residu Status Global pada Worker Pool (CVE-2026-109619)

Celah kedua secara spesifik memengaruhi lingkungan produksi yang memanfaatkan worker persisten seperti PHP-FPM. Ketika sebuah permintaan mengalami kegagalan fatal saat alokasi buffer, worker tidak membersihkan pointer memori dari permintaan sebelumnya secara tuntas. Residu pointer yang tertinggal memicu kondisi penggunaan memori pasca-bebas pada permintaan berikutnya, memungkinkan penyerang menyuntikkan muatan kode berbahaya melalui header HTTP tanpa melewati tahap validasi skrip aplikasi.

Matriks Versi Terdampak dan Tingkat Risiko

Seluruh cabang aktif PHP yang dirilis sebelum patch darurat rentan terhadap eksploitasi ini. Administrator sistem wajib memverifikasi versi biner yang terpasang pada setiap kluster server produksi.

Langkah Remediasi dan Verifikasi Runtime Server

Pembaruan paket biner harus diikuti dengan verifikasi menyeluruh terhadap service daemon yang sedang berjalan aktif di memori server.

Memperbarui Paket Interpreter Biner

Jalankan pembaruan paket melalui repositori resmi distribusi Linux yang digunakan. Pastikan repositori upstream telah disinkronkan sebelum mengeksekusi instalasi biner baru.

# Pembaruan paket pada distribusi Debian atau Ubuntu
sudo apt update
sudo apt --only-upgrade install php8.4-fpm php8.4-cli php8.4-common

# Verifikasi versi biner interpreter CLI
php -v

Memeriksa dan Memuat Ulang Service PHP-FPM

Banyak tim operasional hanya mengecek keluaran perintah php -v di terminal tanpa menyadari bahwa daemon PHP-FPM masih menjalankan file biner lama di dalam memori.

# Periksa versi proses PHP-FPM yang aktif
php-fpm8.4 -v

# Muat ulang service FPM dan web server
sudo systemctl restart php8.4-fpm
sudo systemctl reload nginx

Tindakan Mitigasi Sementara Jika Patch Tertunda

Bagi infrastruktur yang belum dapat menerapkan pembaruan seketika karena pengujian dependensi lingkungan, terapkan isolasi jaringan dan pembatasan lapisan gerbang terdepan.

Lakukan audit berkala pada seluruh node server Anda untuk memastikan lingkungan produksi berstatus Patch Aktif dan terlindung dari pemindaian otomatis di jaringan publik.