PHP2Shell adalah sekumpulan kerentanan kritis yang baru-baru ini diperbaiki di inti PHP, dengan tingkat keparahan mencapai CVSS 9,2. Kerentanan ini dapat memungkinkan penyerang tanpa autentikasi untuk menjalankan kode atau membocorkan memori proses yang sensitif. PHP menjalankan sekitar 70% situs web, termasuk platform seperti WordPress, Drupal, dan MediaWiki milik Wikipedia.
Peneliti dari Wiz Research, termasuk Sagi Tzadik, Shir Tamari, Nir Ohfeld, dan Tomer Schwartz, bekerja sama dengan Open AI Codex Security (Amy Burnett) dan lainnya dalam pengungkapan yang bertanggung jawab. Kerentanan tersebut berada di dalam PHP itu sendiri, sehingga situs web dapat terdampak meskipun kode aplikasinya aman. Aplikasi sederhana "Hello World" yang berjalan di versi PHP yang terdampak sudah cukup untuk membuatnya terekspos. Situs yang menjalankan rilis PHP terbaru yang telah ditambal terlindungi. Tim PHP merespons dengan cepat dan bekerja erat dengan para peneliti untuk memperbaiki secara menyeluruh.
Celah ini terbagi menjadi dua kelas, dilacak dengan kode CVE-2026-109618 dan CVE-2026-109619. Yang pertama melibatkan korupsi memori akibat kehabisan memori, yang dapat memungkinkan eksekusi kode tanpa autentikasi sebagai worker web PHP. Yang kedua melibatkan state global yang usang antar-permintaan, yang dapat memungkinkan use-after-free yang membocorkan memori worker atau menjalankan kode. Para peneliti mendemonstrasikan eksekusi kode jarak jauh pra-autentikasi terhadap WordPress, Drupal, dan Joomla menggunakan image kontainer terbaru mereka pada saat pengujian, serta menunjukkan kebocoran memori yang tidak bergantung pada aplikasi.
Penyerang dapat mengambil alih server, mengakses data sensitif, atau membaca kata sandi, token autentikasi, kunci API, dan sertifikat dari permintaan lain. Kebocoran memori juga dapat mencuri data tanpa lebih dulu mencapai eksekusi kode, sehingga aktivitasnya lebih sulit dideteksi. Satu-satunya perbaikan lengkap adalah memasang rilis PHP yang telah diperbaiki di setiap runtime dan memulai ulang Apache, PHP-FPM, serta semua worker PHP yang berjalan lama. Memperbarui aplikasi tidak memperbarui runtime PHP di bawahnya.
Sumber: Hacker News · Diringkas oleh HeadlinesBriefing