InfoSumbawa – Pada tanggal 21 Oktober 2023, PHP mengumumkan akan merilis pembaruan keamanan mendadak pada pukul 14:00 UTC untuk mengatasi dua kerentanan kritis. Tim keamanan PHP menilai kedua kerentanan tersebut memiliki rating 9.2 pada skala CVSS v4.0, meskipun detail spesifik mengenai kerentanan tersebut belum diungkapkan.
Peneliti keamanan dari watchTowr melaporkan bahwa kedua cacat ini memungkinkan eksekusi kode jarak jauh. Hanya empat cabang PHP yang didukung, yaitu versi 8.2 hingga 8.5, yang akan mendapatkan perbaikan ini. Sejauh ini, belum ada laporan mengenai eksploitasi yang terjadi.
Pemberitahuan ini muncul setelah adanya kebocoran informasi. Pada tanggal 20 Oktober, sebuah post di HN mengungkapkan bahwa terdapat dua kerentanan eksekusi kode jarak jauh pada PHP yang dinilai dengan CVSS 10.0, yang mempengaruhi versi PHP mulai dari 5. Post tersebut menyebutkan bahwa mereka tidak memiliki bukti lebih lanjut selain informasi yang tidak dapat dipercaya.
watchTowr kemudian mengonfirmasi bahwa informasi yang bocor adalah valid. Kerentanan tersebut seharusnya dirahasiakan hingga tanggal 22 Oktober, tetapi mereka tidak dapat memberikan detail lebih lanjut pada saat itu.
PHP kemudian menerbitkan pengumumannya pada malam hari, tepatnya pukul 19:33 UTC, dan menyatakan bahwa rilis akan dilakukan sehari lebih awal dari yang dijadwalkan watchTowr. Dalam pengumumannya, PHP mencatat bahwa mereka mungkin akan merilis perbaikan lebih awal jika informasi mengenai salah satu kerentanan menjadi publik atau jika terdapat bukti eksploitasi yang aktif.
Kebocoran informasi tersebut mencakup keberadaan kerentanan, skor, tanggal, dan dua pengenal CVE, tetapi tidak menjelaskan cara kerja kerentanan tersebut. Angka CVSS 10.0 berasal dari kebocoran tersebut, sedangkan penilaian PHP untuk kerentanan adalah 9.2 pada skala tersebut.
Para peneliti mengidentifikasi kerentanan tersebut sebagai CVE-2026-109618 dan CVE-2026-109619, yang juga dicantumkan dalam post yang bocor. Namun, pengumuman dari PHP tidak mencantumkan nama-nama tersebut. Klaim bahwa setiap versi sejak PHP 5 terpengaruh juga belum dapat dikonfirmasi sepenuhnya. FAQ dari watchTowr mengenai kerentanan tersebut menyatakan bahwa cakupan ini ‘belum dikonfirmasi oleh advis resmi dari vendor’ dan tidak ada konfigurasi atau persyaratan fitur yang dijelaskan.
PHP menyatakan bahwa rincian lengkap, versi yang terpengaruh, dan versi yang diperbaiki akan dipublikasikan bersamaan dengan rilis tersebut. Para peneliti mulai memberi julukan pada kedua kerentanan ini dengan nama php2shell. Nama ini berasal dari kalangan peneliti, bukan PHP sendiri.
Bagaimanapun juga, PHP hanya memberikan perbaikan untuk empat cabang yang didukung, dan mencatat setiap perubahan cabang dalam changelog. Versi 8.2 dan 8.3 hanya akan menerima perbaikan keamanan, sementara 8.4 dan 8.5 masih dalam dukungan aktif. Menjelang rilis, beberapa pelacak, termasuk Alpine Linux, memperkirakan perbaikan akan dirilis dalam format PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35, tetapi PHP belum mengonfirmasi angka-angka tersebut.
Versi yang lebih lama, termasuk 8.1, 8.0, 7.x, dan 5.x, sudah tidak didukung dan tidak mendapatkan perbaikan dari PHP. Jika kerentanan ini mempengaruhi cabang-cabang tersebut, maka instalasi di dalamnya tidak akan mendapatkan patch dari vendor.
Cabang PHP yang Dapat Menerima Perbaikan Saat Ini
- Versi 8.5 – Rilis saat ini: 8.5.11 (Dukungan aktif hingga 31 Desember 2027)
- Versi 8.4 – Rilis saat ini: 8.4.26 (Dukungan aktif hingga 31 Desember 2026)
- Versi 8.3 – Rilis saat ini: 8.3.35 (Hanya perbaikan keamanan hingga 31 Desember 2027)
- Versi 8.2 – Rilis saat ini: 8.2.34 (Hanya perbaikan keamanan hingga 31 Desember 2026)
Perusahaan keamanan Mallory melaporkan sekitar 884.000 host yang terlihat di internet dengan banner HTTP melaporkan versi PHP 8.1 atau lebih lama, yang merupakan 59% dari sekitar 1,5 juta host yang melaporkan versi manapun. Penghitungan ini didasarkan pada banner, bukan sistem yang terpengaruh yang dikonfirmasi, dan tambahan 740.000 host melaporkan PHP tanpa menyebutkan versinya.
PHP juga belum mengeluarkan solusi sementara. Hingga rilis tersedia, persiapan harus mengikuti enam langkah, sebagian besar diambil dari pos respons cepat dari Huntress, dengan saran isolasi dari CERT-EU ditambahkan.
- Inventarisasi setiap instalasi PHP, termasuk PHP yang dibundel dalam perangkat vendor, perangkat lunak Windows, dan panel kontrol seperti cPanel dan Plesk.
- Siap untuk melakukan upgrade pada pukul 14:00 UTC. Prioritaskan sistem yang terhubung internet terlebih dahulu, dan periksa distribusi Linux serta penyedia hosting untuk paket yang telah di-backport.
- Pada cabang yang sudah tidak didukung, lakukan upgrade, cabut dari internet, atau tempatkan di belakang VPN atau firewall aplikasi web hingga dapat diperbaiki.
- Jika perbaikan tidak bisa dilakukan secara langsung, CERT-EU menyarankan untuk “mempertimbangkan mengisolasi aplikasi yang terhubung internet dari jaringan publik hingga perbaikan tersedia.”
- Awasi apa yang dijalankan oleh PHP. Beri peringatan pada php-fpm, php-cgi, httpd, atau apache2 yang meluncurkan shell, interpreter, atau alat pengunduh. Pada server Linux yang tidak memiliki deteksi titik akhir, alat pencatat proses karya Florian Roth mencatat setiap program yang dimulai oleh proses PHP beserta baris perintahnya.
- Jika menemukan sesuatu, isolasi server tersebut, lindungi log server web dan PHP, serta cari web shell, file baru di root web, job cron baru, tugas terjadwal, dan akun-akun baru.
Huntress mencatat bahwa hingga 20 Oktober, mereka belum melihat adanya eksploitasi terhadap kerentanan ini di lingkungan mitra mereka, belum membangun atau mereproduksi bukti konsep, dan tidak mengetahui adanya kode eksploitasi publik. FAQ dari watchTowr mencatat bahwa hingga 21 Oktober, tidak ada eksploitasi yang dilaporkan dan kerentanan tersebut tidak ada dalam katalog Kerentanan yang Dikenal Terkena Eksploitasi CISA.
Untuk perbandingan, ketika CVE-2024-4577, sebuah kerentanan PHP dalam mode CGI di Windows, menjadi publik pada bulan Juni 2024, Akamai melaporkan adanya upaya eksploitasi terhadap server honeypot mereka dalam waktu 24 jam.
Rilis ini diharapkan dapat menjelaskan rincian yang belum diungkapkan dalam pemberitahuan, termasuk versi yang terpengaruh, bagian mana dari PHP yang terlibat, apakah serangan memerlukan cara tertentu untuk menjalankan PHP, konfigurasi, atau login tertentu, serta bagaimana PHP mendeskripsikan kerentanan tersebut. Hingga saat ini, PHP belum merilis perbaikan yang dinantikan.
