Pusat Keamanan Tencent Cloud merilis pemberitahuan pada 21 Oktober, memperingatkan tentang kerentanan eksekusi kode jarak jauh PHP php2shell, yang mencakup dua nomor CVE: CVE-2026-109618 dan CVE-2026-109619.
Yang merepotkan dari kerentanan ini adalah penyerang tidak perlu masuk atau memiliki akun. Cukup dengan satu permintaan POST multipart yang dibuat khusus, penyerang dapat memicu kerusakan memori dan memperoleh kemampuan untuk mengeksekusi kode dari jarak jauh. Secara teori, server yang terdampak dapat dikendalikan sepenuhnya. Kerentanan pada tingkat bahasa pemrograman seperti ini berpotensi menimbulkan masalah besar bagi layanan tradisional yang berjalan di cloud.
Pihak Gedung Putih Amerika Serikat telah mengetahui masalah ini sejak 16 Oktober. Mereka sedang berkoordinasi dengan lembaga federal, laboratorium integrasi sistem, serta operator jaringan untuk mempercepat penerbitan patch dan menilai dampaknya terhadap sistem pemerintah dan infrastruktur kritis. Keterlibatan penyedia layanan cloud dan pemerintah secara bersamaan menunjukkan bahwa risiko kali ini telah meningkat dari sekadar “bug open source biasa” menjadi ancaman di tingkat infrastruktur.
Hingga kini, belum ada informasi publik yang terperinci mengenai cakupan versi yang terdampak maupun jadwal resmi penerbitan patch. Untuk jangka pendek, langkah yang lebih masuk akal adalah memeriksa apakah layanan Anda bergantung pada tumpukan PHP, mengikuti panduan perbaikan dari penyedia, dan menjadikan insiden ini sebagai pemeriksaan keamanan infrastruktur—bukan sekadar berita yang dibaca sekilas.
Yang merepotkan dari kerentanan ini adalah penyerang tidak perlu masuk atau memiliki akun. Cukup dengan satu permintaan POST multipart yang dibuat khusus, penyerang dapat memicu kerusakan memori dan memperoleh kemampuan untuk mengeksekusi kode dari jarak jauh. Secara teori, server yang terdampak dapat dikendalikan sepenuhnya. Kerentanan pada tingkat bahasa pemrograman seperti ini berpotensi menimbulkan masalah besar bagi layanan tradisional yang berjalan di cloud.
Pihak Gedung Putih Amerika Serikat telah mengetahui masalah ini sejak 16 Oktober. Mereka sedang berkoordinasi dengan lembaga federal, laboratorium integrasi sistem, serta operator jaringan untuk mempercepat penerbitan patch dan menilai dampaknya terhadap sistem pemerintah dan infrastruktur kritis. Keterlibatan penyedia layanan cloud dan pemerintah secara bersamaan menunjukkan bahwa risiko kali ini telah meningkat dari sekadar “bug open source biasa” menjadi ancaman di tingkat infrastruktur.
Hingga kini, belum ada informasi publik yang terperinci mengenai cakupan versi yang terdampak maupun jadwal resmi penerbitan patch. Untuk jangka pendek, langkah yang lebih masuk akal adalah memeriksa apakah layanan Anda bergantung pada tumpukan PHP, mengikuti panduan perbaikan dari penyedia, dan menjadikan insiden ini sebagai pemeriksaan keamanan infrastruktur—bukan sekadar berita yang dibaca sekilas.