PHP merilis patch keamanan pada 21 Oktober untuk dua kerentanan kritis yang dijuluki PHP2Shell, yang memungkinkan pengambilalihan server tanpa izin dan mendorong pemerintah serta organisasi menonaktifkan situs web. Celah tersebut memengaruhi PHP versi 8.5.12, 8.4.27, 8.3.36, dan 8.2.35, yang secara kolektif menopang sekitar 70% situs web yang bahasa sisi servernya diketahui. CEO Cloudflare Matthew Prince melaporkan jutaan upaya eksploitasi setelah pengungkapan publik, sementara BSI Jerman dan pemerintah Jepang menyatakan belum mengonfirmasi adanya pembobolan yang berhasil. PHP Foundation mengungkapkan bahwa mereka mengidentifikasi tanda-tanda pertama salah satu kerentanan pada 2024, tetapi menunda perbaikannya karena tantangan dalam pengambilan keputusan dan keterbatasan sumber daya.
PHP Merilis Patch untuk Versi 8.5.12, 8.4.27, 8.3.36, dan 8.2.35
PHP merilis versi 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 pada Rabu, menurut catatan rilisnya. Organisasi itu menyatakan, "Tidak ada mitigasi menyeluruh; memperbarui adalah satu-satunya pilihan yang aman." Hingga Kamis, PHP belum merilis patch tambahan. PHP 8.1 dan versi sebelumnya tidak lagi menerima rilis resmi, meskipun tim keamanan PHP mengunggah patch untuk versi 7.4, 8.0, dan 8.1 bagi pengguna yang mengompilasi sendiri perangkat lunak tersebut. Perusahaan hosting, departemen TI, dan pemilik situs web harus memasang patch secara manual, lalu memulai ulang perangkat lunak agar perbaikan berlaku.
Cloudflare Mencatat Jutaan Upaya Eksploitasi
CEO Cloudflare Matthew Prince melaporkan bahwa jaringannya mendeteksi ribuan upaya eksploitasi dalam 10 jam sebelum pengumuman publik. Jumlahnya melonjak menjadi puluhan ribu dalam 45 menit setelah pengungkapan, ratusan ribu dalam dua jam, dan jutaan setelahnya. Amazon menyatakan bahwa server honeypot mereka mencatat upaya eksploitasi pada 17 Oktober, empat hari sebelum kerentanan tersebut diketahui publik. CISO Amazon CJ Moses menulis, "Belum jelas bagaimana pelaku memperoleh informasi eksploitasi sebelum pengungkapan," seraya menambahkan bahwa PHP2Shell "kini dieksploitasi secara luas di dunia nyata."
Jerman dan Jepang Melaporkan Tidak Ada Pembobolan yang Terkonfirmasi
Thomas Caspers, wakil presiden badan keamanan siber federal Jerman, BSI, mengatakan badan tersebut mengamati serangan, tetapi tidak menemukan eksploitasi celah yang berhasil. Ia menyatakan, "Tampaknya mengeksploitasinya sedikit lebih rumit daripada yang diperkirakan." Sekretaris Kabinet Utama Jepang, Minoru Kihara, juga mengonfirmasi bahwa belum ada serangan yang mengeksploitasi celah tersebut yang terverifikasi.
PHP Foundation Mengidentifikasi Kegagalan Proses Keamanan pada 2024
PHP Foundation menerbitkan unggahan blog pada Rabu yang menyatakan bahwa pekerjaan keamanannya pada 2024 "menemukan tanda-tanda pertama masalah OOM di balik CVE-2026-109618," yang merujuk pada bug kehabisan memori yang mendasari salah satu kerentanan. Tim tersebut mengembangkan "beberapa pendekatan yang saling bersaing" untuk mengatasinya, tetapi "kesulitan memilih di antara pendekatan tersebut dan khawatir akan dampak buruk jika memilih pendekatan yang salah," menurut yayasan itu. Yayasan tersebut menulis, "Kami tidak akan berpura-pura sebaliknya: penundaan ini merupakan kegagalan struktural yang disebabkan oleh proses pengambilan keputusan tim keamanan dan keterbatasan sumber dayanya." Tim keamanan, yang sebelumnya mensyaratkan konsensus, kini akan mengambil keputusan melalui pemungutan suara mayoritas.
Organisasi Menonaktifkan Situs Web Setelah Pengungkapan
Pusat Keamanan Siber Nasional Inggris menyarankan organisasi untuk mempertimbangkan "menonaktifkan sistem hingga mitigasi penuh dapat diterapkan." Situs web yang dinonaktifkan pada Rabu mencakup layanan Wikimedia, situs web dan aplikasi Orange di puluhan negara, 32 layanan pemerintah Inggris, rumah sakit Belanda, dan penyedia TI federal Jerman ITZBund, menurut TechRadar. Situs web Kantor Tanggung Jawab Anggaran Inggris dan dewan kota Edinburgh kembali online pada Kamis. Situs pelaporan kejahatan anonim Belanda, Meld Misdaad Anoniem, masih offline pada Kamis pagi, menurut DutchNews.
Perusahaan Keamanan Merekomendasikan Audit Server dan Penggantian Kredensial
Perusahaan keamanan Tag1 menyarankan administrator untuk memeriksa file PHP yang tidak diunggah oleh pengguna berwenang, meninjau tugas terjadwal dan akun baru, serta mengganti kata sandi basis data dan API Key pada server yang terhubung ke internet dan menjalankan versi rentan. Perusahaan keamanan Mallory memperkirakan ada sekitar 884.000 host yang terhubung ke internet dan menjalankan versi PHP yang tidak lagi menerima perbaikan resmi. Amazon menyarankan pihak-pihak yang bertahan menghadapi serangan, "Jangan berasumsi bahwa tanggal pengungkapan publik merupakan waktu paling awal eksploitasi terjadi," serta merekomendasikan pemeriksaan terhadap server mana pun yang menjalankan versi rentan setidaknya sejak 17 Oktober.
FAQ
Versi PHP mana yang menerima patch keamanan pada 21 Oktober?
PHP merilis versi 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 pada Rabu untuk mengatasi kerentanan PHP2Shell. PHP menyatakan bahwa memperbarui adalah satu-satunya pilihan yang aman karena tidak ada mitigasi menyeluruh.
Berapa banyak upaya eksploitasi yang dideteksi Cloudflare setelah pengungkapan PHP2Shell?
CEO Cloudflare Matthew Prince melaporkan ribuan upaya dalam 10 jam sebelum pengumuman, puluhan ribu dalam 45 menit setelah pengungkapan, ratusan ribu dalam dua jam, dan jutaan setelahnya.
Organisasi mana saja yang menonaktifkan situs web setelah pengungkapan kerentanan PHP?
Menurut TechRadar, organisasi yang menonaktifkan situs web pada Rabu mencakup layanan Wikimedia, situs web Orange di puluhan negara, 32 layanan pemerintah Inggris, rumah sakit Belanda, dan penyedia TI federal Jerman ITZBund.
