Melansir The Guardian, sekitar 70 persen situs web di internet menggunakan PHP dan itu berarti jutaan situs terancam akibat kerentanan tersebut. Layanan pemerintah, toko online, bank, bahkan situs media seperti Wikipedia dan Facebook termasuk di antaranya.
Sejumlah situs web lembaga dan organisasi pemerintah Amerika, Inggris, Prancis, Belanda, Kanada, Jepang, Jerman, dan hampir seluruh dunia juga telah dinonaktifkan sementara untuk mencegah pembobolan bagi peretas yang memanfaatkan celah keamanan tersebut.
Laporan kerentanan ini diumumkan PHP Foundation pada hari Rabu (21/10) melalui rilis keamanan di laman resminya. Mereka juga telah menyediakan versi terbaru PHP 8.5.12, 8.4.27, 8.3.36, dan PHP 8.2.35 untuk menangani celah keamanan tersebut.
Dua kerentanan yang ditemukan di antaranya CVE-2026-109618 dan CVE-2026-109619 yang bekerja pada sistem manajemen memori dan error handling, sehingga berisiko merusak memori di situs web, lalu membuka jalur langsung ke sistem file atau database server.
Kedua kerentanan yang disebut sebagai "eksploitasi PHP2Shell" ini berdampak sangat luas dan serius karena bekerja di bagian terpenting dalam PHP itu sendiri, kerusakan yang ditimbulkannya juga sangat sulit untuk diperbaiki.
Dengan memanfaatkan celah ini, peretas dapat mengambil alih kendali server dengan melakukan penyerangan jarak jauh atau remote code execution (RCE) tanpa autentikasi, lalu mencuri data-data sensitif.
