MediaHub – Pada hari ini, 21 Oktober, pukul 14:00 UTC, PHP akan meluncurkan pembaruan keamanan di luar siklus regulernya. Pembaruan ini bertujuan untuk mengatasi dua kerentanan penting yang dinilai 9.2 pada skala CVSS v4.0 oleh tim keamanan mereka, meskipun rincian spesifik mengenai kerentanan tersebut belum diungkapkan.
Para peneliti keamanan dari watchTowr mengungkapkan bahwa kedua kerentanan ini memungkinkan eksekusi kode jarak jauh. Hanya empat cabang PHP yang didukung, yaitu versi 8.2 hingga 8.5, yang dapat menerima perbaikan ini, dan hingga saat ini belum ada laporan mengenai eksploitasi yang terjadi.
Pemberitahuan mengenai rilis ini muncul setelah adanya kebocoran informasi. Pada tanggal 20 Oktober, sebuah posting di Hacker News (HN) menyebutkan bahwa dua kerentanan eksekusi kode jarak jauh pada PHP, yang memiliki peringkat CVSS 10.0 dan berdampak pada versi PHP sejak 5 ke atas, akan diungkapkan pada Kamis, 22 Oktober. Penulis postingan mengklaim tidak memiliki bukti selain dari sumber yang tidak dapat dipercaya.
watchTowr kemudian mengonfirmasi di platform X bahwa informasi yang bocor itu nyata, dan bahwa kedua kerentanan tersebut berada di bawah embargo, dengan harapan semua pihak menunggu hingga Kamis untuk informasi lebih lanjut.
PHP kemudian merilis pemberitahuannya pada malam yang sama, pukul 19:33 UTC, dengan rilis yang ditetapkan untuk Rabu, satu hari lebih awal dari tanggal yang disebutkan oleh watchTowr. Pemberitahuan tersebut menyatakan bahwa PHP dapat merilis lebih awal ‘jika rincian mengenai salah satu kerentanan menjadi publik, atau jika ada bukti eksploitasi aktif terdeteksi di lapangan.’
Kebocoran tersebut membawa informasi mengenai keberadaan kerentanan, skor, tanggal, dan dua identifikasi CVE, tetapi tidak menjelaskan cara kerjanya. Angka CVSS 10.0 berasal dari kebocoran tersebut, sementara penilaian PHP adalah 9.2 pada skala versi 4.0.
Identifikasi yang digunakan oleh para peneliti, yaitu CVE-2026-109618 dan CVE-2026-109619, juga dicantumkan dalam postingan yang bocor tersebut. Namun, pemberitahuan PHP tidak menyebutkan kedua identifikasi tersebut. Klaim bahwa setiap versi sejak PHP 5 terpengaruh juga belum dikonfirmasi, sebab FAQ dari watchTowr sendiri menyebutkan bahwa ruang lingkup tersebut ‘belum dikonfirmasi oleh nasihat vendor resmi’ dan bahwa tidak ada konfigurasi atau fitur yang dijelaskan.
PHP menyatakan, ‘Rincian lengkap, versi yang terpengaruh, dan versi yang telah diperbaiki akan dirilis bersamaan dengan pembaruan.’ Para peneliti mulai menyebut kedua kerentanan ini sebagai php2shell. Nama ini berasal dari mereka, bukan dari PHP.
Terlepas dari rentang yang terpengaruh, PHP hanya mengeluarkan perbaikan untuk empat cabang yang didukung, dan mencatat setiap perubahan cabang dalam changelognya. Versi 8.2 dan 8.3 hanya menerima perbaikan keamanan, sedangkan 8.4 dan 8.5 berada dalam dukungan aktif. Sebelum rilis, beberapa pelacak, termasuk dari Alpine Linux dan peneliti keamanan Kevin Beaumont, memperkirakan bahwa perbaikan akan diluncurkan sebagai PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35, meskipun PHP belum mengonfirmasi angka-angka tersebut.
Versi yang lebih tua, termasuk 8.1, 8.0, 7.x, dan 5.x, sudah berada di akhir masa dukungan dan tidak akan menerima perbaikan dari PHP. Jika kerentanan ini memengaruhi cabang tersebut, maka instalasi pada versi-versi itu tidak akan memiliki patch dari vendor.
Berikut adalah cabang PHP yang dapat menerima perbaikan hari ini:
- Cabang: 8.5, Rilis saat ini (24 September): 8.5.11, Status dukungan PHP: Dukungan aktif hingga 31 Desember 2027.
- Cabang: 8.4, Rilis saat ini: 8.4.26, Status dukungan: Dukungan aktif hingga 31 Desember 2026.
- Cabang: 8.3, Rilis saat ini: 8.3.35, Status dukungan: Perbaikan keamanan saja hingga 31 Desember 2027.
- Cabang: 8.2, Rilis saat ini: 8.2.34, Status dukungan: Perbaikan keamanan saja hingga 31 Desember 2026.
Perusahaan keamanan Mallory mencatat sekitar 884.000 host yang terhubung ke internet dengan banner HTTP yang melaporkan versi PHP 8.1 atau lebih tua di mesin pencari Shodan pada tanggal 20 Oktober, yang terdiri dari 59% dari sekitar 1,5 juta host yang melaporkan versi apapun. Jumlah ini mencakup banner, bukan sistem yang terkonfirmasi terpengaruh, dan sekitar 740.000 host melaporkan PHP tanpa menyebutkan versi.
PHP belum menerbitkan solusi sementara. Hingga pembaruan dirilis, persiapan dapat dilakukan dalam enam langkah, sebagian besar berdasarkan posting respons cepat dari Huntress, dengan saran isolasi dari CERT-EU ditambahkan.
- Inventaris setiap instalasi PHP, termasuk PHP yang terbundel dalam perangkat vendor, perangkat lunak Windows, dan panel kontrol seperti cPanel dan Plesk.
- Siapkan untuk melakukan upgrade pada pukul 14:00 UTC. Patch sistem yang terhubung ke internet terlebih dahulu, dan periksa distribusi Linux serta penyedia hosting Anda untuk paket yang telah diperbarui.
- Jika menggunakan cabang yang sudah tidak didukung, lakukan upgrade, cabut sistem dari internet, atau letakkan di belakang VPN atau firewall aplikasi web hingga Anda bisa.
- Jika patching tidak dapat dilakukan sekaligus, CERT-EU menyarankan untuk ‘mempertimbangkan mengisolasi aplikasi yang terhubung ke internet dari jaringan publik hingga perbaikan tersedia.’
- Awasi apa yang dimulai oleh PHP. Tindak lanjuti jika php-fpm, php-cgi, httpd, atau apache2 meluncurkan shell, interpreter, atau alat unduh. Di server Linux tanpa deteksi titik akhir, proses-pengawas Florian Roth dapat mencatat setiap program yang dimulai oleh proses PHP beserta baris perintahnya. Ini hanya dapat melihat program setelah dimulai dan, menurut Roth, ‘tidak mencegah apa-apa.’
- Jika Anda menemukan sesuatu, isolasi server, simpan log web server dan PHP, dan cari shell web, file baru di root web, cron job baru, tugas terjadwal, dan akun.
Huntress mengonfirmasi bahwa hingga 20 Oktober mereka belum melihat eksploitasi kerentanan ini di lingkungan mitra mereka, belum membuat atau mereproduksi bukti konsep, dan tidak mengetahui adanya kode eksploitasi publik. FAQ dari watchTowr mencatat bahwa tidak ada eksploitasi yang dilaporkan hingga 21 Oktober dan kerentanan tersebut tidak termasuk dalam katalog Kerentanan yang Dikenal Dieksploitasi CISA.
Sebagai perbandingan, ketika CVE-2024-4577, sebuah kerentanan PHP dalam mode CGI di Windows, menjadi publik pada bulan Juni 2024, Akamai melihat upaya eksploitasi terhadap server honeypotnya dalam waktu 24 jam.
Pembaruan ini diharapkan dapat menjelaskan apa yang disimpan dalam pemberitahuan: versi mana yang terpengaruh, bagian PHP mana yang terlibat, apakah serangan memerlukan cara tertentu dalam menjalankan PHP, konfigurasi, atau login, serta bagaimana PHP sendiri menggambarkan kerentanan tersebut. Saat artikel ini ditulis, PHP belum merilis perbaikan.
