NADIKABAR.COM — Kementerian Komunikasi dan Digital (Komdigi) memperingatkan pengelola sistem digital terhadap ancaman PHP2Shell, dua kerentanan keamanan kritis yang memungkinkan peretas menjalankan kode dari jarak jauh tanpa perlu login ke sistem yang terdampak.
Peringatan tersebut disampaikan melalui tim Computer Security Incident Response Team (CSIRT) Komdigi pada 22 Oktober 2026. Dua celah keamanan itu tercatat dengan kode CVE-2026-109618 dan CVE-2026-109619, yang masing-masing memiliki skor keparahan 9,2 atau masuk kategori critical berdasarkan CVSS versi 4.0.
Kerentanan ini menjadi perhatian karena berada pada PHP, bahasa pemrograman yang banyak digunakan untuk membangun situs web dan aplikasi berbasis web. Apabila berhasil dieksploitasi, celah tersebut dapat membuka jalan bagi penyerang untuk mengeksekusi kode pada server yang rentan.
Dalam penjelasannya, CSIRT Komdigi menyebut tim pengembang PHP telah merilis pembaruan keamanan pada 21 Oktober 2026 untuk memperbaiki kedua kerentanan tersebut. Pengelola sistem diminta segera memasang pembaruan yang sesuai guna mengurangi risiko eksploitasi.
PHP2Shell merujuk pada dua kerentanan yang berkaitan dengan pengelolaan memori internal PHP. Keduanya memiliki mekanisme berbeda, tetapi berpotensi berujung pada eksekusi kode dari jarak jauh atau remote code execution (RCE).
Celah pertama, CVE-2026-109618, berkaitan dengan kondisi out-of-memory ketika PHP memproses permintaan HTTP yang dirancang secara khusus. Gangguan tersebut dapat menyebabkan kerusakan memori internal yang dalam kondisi tertentu bisa dimanfaatkan untuk menjalankan kode penyerang.
