Perusahaan keamanan Wiz Research mengungkapkan serangkaian kerentanan kritis pada mesin inti PHP pada tanggal 21 Oktober 2026, memperingatkan bahwa kelemahan tersebut — secara kolektif disebut PHP2Shell — memungkinkan eksekusi kode jarak jauh yang tidak diautentikasi dan pengungkapan memori bergaya Heartbleed pada perangkat lunak yang mendukung sekitar 70 persen dari semua situs web. Proyek PHP merilis patch pada hari yang sama, dan Wiz mendesak pembaruan segera di seluruh basis instalasi web yang sangat besar.

PHP adalah tulang punggung sebagian besar internet: PHP mendukung WordPress, Joomla, Drupal dan MediaWiki, perangkat lunak yang menjalankan Wikipedia. Yang terpenting, bug yang baru terungkap ini berada di mesin inti PHP, bukan di aplikasi apa pun yang dibangun di atasnya, yang berarti situs dapat terekspos bahkan ketika kode aplikasinya aman. For more context on this story, see our ongoing AI trends.

Apa Kerentanannya

Menurut tulisan teknis Wiz yang ditulis oleh peneliti Sagi Tzadik, Shir Tamari, Nir Ohfeld dan Tomer Schwartz, semua bug yang diungkapkan adalah masalah keamanan memori yang berakar pada cara PHP menangani kesalahan fatal selama pemrosesan permintaan — khususnya kesalahan kehabisan memori. Permintaan yang mogok dapat meninggalkan status PHP internal yang rusak, dan permintaan atau pekerja berikutnya yang menggunakan kembali status lama tersebut dapat memicu pengungkapan memori atau kerusakan memori.

Temuan ini dikelompokkan dalam dua CVE dengan tingkat keparahan maksimum CVSS 9.2:

  • CVE-2026-109618 — penggunaan unserializer kemajuan unggahan setelah bebas yang dapat dimanfaatkan penyerang untuk pengungkapan memori proses jarak jauh dan, dalam rantai yang ditunjukkan, eksekusi kode jarak jauh penuh. Wiz mendemonstrasikan pengungkapan memori pekerja PHP yang tidak diautentikasi dan RCE pra-otentikasi di WordPress, Drupal, dan Joomla.
  • CVE-2026-109619 — kesalahan fatal penelusuran balik penggunaan setelah bebas dikombinasikan dengan kebingungan jenis OPcache, juga ditunjukkan menghasilkan eksekusi kode jarak jauh pra-autentikasi di Drupal dan WordPress.

Memori yang dapat dibaca oleh penyerang mungkin berisi kata sandi, token otentikasi, kunci API, dan sertifikat milik permintaan lain atau milik server itu sendiri, kata Wiz. Setiap versi PHP yang dirilis dalam dekade terakhir – mulai dari PHP 5.4 – dipengaruhi oleh setidaknya satu kerentanan, dan perusahaan mengatakan kerentanan ini merupakan salah satu kelemahan paling parah yang pernah ditemukan di PHP.

Dimana AI Masuk

Klaim paling penting dalam laporan Wiz bukanlah tentang PHP sama sekali — melainkan tentang apa yang telah dilakukan model AI terdepan untuk mengeksploitasi pengembangan.

Kelemahan yang mendasarinya, tulis Wiz, telah ada selama beberapa dekade, namun untuk membuktikan kemampuan eksploitasi memerlukan “rangkaian langkah yang sangat rumit, yang merupakan hal yang tidak dapat dicapai oleh peneliti manusia secara praktis.” Eksploitasi tersebut harus menyatukan banyak kelemahan dan beradaptasi dengan tata letak memori setiap target melalui pengujian dan debugging berulang kali.

Model AI Frontier, menurut perusahaan, secara signifikan mengurangi hambatan tersebut – “mengubah kelemahan yang sudah lama menjadi eksploitasi” – dan memungkinkan tim Wiz mengembangkan dan mengadaptasi eksploitasi yang berfungsi di berbagai aplikasi dalam hitungan jam, bukan minggu.

“Seiring dengan berkurangnya waktu dan keahlian yang dibutuhkan untuk pekerjaan ini, kompleksitas mungkin tidak lagi menjadi penghalang yang berarti, mengubah cara kita mendefinisikan apa yang rentan dalam praktiknya,” tulis para peneliti.

Titik Balik di Era AI?

Wiz secara eksplisit membingkai PHP2Shell bersama dengan dua momen penting sebelumnya dalam keamanan web: Heartbleed pada tahun 2014, yang mengungkap kerapuhan infrastruktur bersama yang mengamankan internet, dan Log4Shell pada tahun 2021, yang mengungkapkan betapa dalamnya ketergantungan perangkat lunak yang tertanam menciptakan paparan yang luas. Perusahaan berpendapat bahwa PHP2Shell dapat menandai titik balik serupa – kali ini menggambarkan bagaimana AI mengubah eksploitasi praktis dari kelemahan yang sudah lama diketahui.

Pembingkaian itu penting di luar PHP. Kerentanan teoretis yang sebelumnya tidak dapat dijangkau karena eksploitasinya terlalu sulit, terlalu lambat, atau terlalu terspesialisasi, kini mungkin dapat dijangkau oleh penyerang yang mempunyai sumber daya yang baik dan dipersenjatai dengan peralatan AI – sebuah perubahan yang memiliki implikasi nyata terhadap anggaran pertahanan, ritme patch, dan jadwal pengungkapan di seluruh industri perangkat lunak.

Perbaikan Lintas Industri yang Terkoordinasi

Pengungkapannya dikoordinasikan. Wiz berterima kasih kepada tim PHP dan OpenAI atas pekerjaan mereka dalam penemuan, koordinasi, dan verifikasi patch, dan mencatat bahwa OpenAI dan PHP menerbitkan tulisan teknis mereka sendiri tentang riwayat kerentanan dan proses pengungkapan.

Grup lintas industri — termasuk Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft, dan Vercel — menyiapkan panduan dan mitigasi siap pakai untuk pelanggan yang tidak dapat melakukan patch segera. Cloudflare secara terpisah mengumumkan pada tanggal 21 Oktober bahwa mereka telah menerapkan perlindungan WAF terhadap kerentanan PHP untuk pelanggannya.

Yang Harus Dilakukan Pemilik Situs

Saran dari Wiz sangat blak-blakan: segera patch. Proyek PHP merilis perbaikan untuk kerentanan keamanan memori pada tanggal 21 Oktober 2026, dan setiap penerapan PHP yang didukung harus diperbarui sesegera mungkin.

Organisasi yang tidak dapat melakukan patch segera harus menerapkan mitigasi yang dipublikasikan oleh penyedia CDN, hosting, atau WAF mereka, beberapa di antaranya telah menerapkan aturan yang menargetkan rantai eksploitasi pada hari pertama. Administrator armada WordPress, Drupal, dan Joomla harus memperlakukan ini sebagai siklus patch prioritas: Wiz mendemonstrasikan eksekusi kode jarak jauh pra-otentikasi terhadap ketiga platform, dan jalur kode yang rentan tetap ada terlepas dari seberapa baik pemeliharaan aplikasi di atasnya.

Pelajaran yang lebih dalam mungkin diambil oleh Wiz sendiri: ketika AI dapat memampatkan rekayasa eksploitasi selama berbulan-bulan menjadi beberapa jam, definisi kerja industri tentang "dapat dieksploitasi secara praktis" — dan dengan itu, arti dari jadwal patching yang bertanggung jawab — baru saja berubah.

---

Stay Ahead of AI

Get the latest AI news, analysis, and breakthroughs — all in one place.

Read more AI news →