# PHP2Shell: Mengupas 2 Kerentanan Kritis RCE PHP yang Ditemukan via AI
Dua kerentanan Remote Code Execution (RCE) tingkat kritis dengan skor CVSS 4.0: 9.2 baru saja diungkap pada runtime PHP. Eksploitasi tidak memerlukan autentikasi dan langsung menargetkan engine memori Zend.
## Apa Itu PHP2Shell?
Beberapa hari terakhir, PHP2Shell ramai dibicarakan di dunia keamanan siber internasional. Nama ini merujuk pada dua kerentanan kritis di PHP yang memungkinkan penyerang menjalankan kode dari jarak jauh (Remote Code Execution / RCE) pada server yang belum diperbarui.
Berbeda dengan kerentanan umum pada plugin atau tema CMS (seperti WordPress atau Drupal), celah ini berada langsung di dalam core runtime engine PHP (Zend Engine). Artinya, meskipun aplikasi web ditulis tanpa celah SQL Injection atau File Upload, server tetap berisiko jika runtime PHP yang mendasarinya belum menerima patch resmi.
## Ditemukan dengan Bantuan AI: Ryan Austin & Tim Wiz
Hal yang membuat kasus ini menjadi tonggak sejarah baru dalam riset keamanan siber adalah keterlibatan kecerdasan buatan (AI) mutakhir dalam proses penemuannya:
Ryan Austin, peneliti keamanan dari Calif, menggunakan model frontier AI GPT-5.6 Sol dalam proyek riset Patch the Planet untuk menyisir dan menganalisis kode sumber C berumur puluhan tahun pada repositori PHP, yang akhirnya mengarahkan pada salah satu celah memori tersebut.
Secara independen, Tim Wiz juga berhasil menemukan dan melaporkan kedua kerentanan tersebut ke tim pengembang PHP.
Setelah kedua temuan diverifikasi, para peneliti bekerja sama secara tertutup dengan tim inti PHP dalam skema Coordinated Vulnerability Disclosure guna menyiapkan perbaikan resmi sebelum rincian teknisnya dipublikasikan ke publik.
Ini bukan berarti AI menemukan semuanya tanpa campur tangan manusia. Peneliti tetap perlu memahami kode, menguji temuannya, dan membantu memastikan perbaikan bekerja. Namun, kasus PHP2Shell menunjukkan bahwa AI dapat membantu mempercepat pencarian celah keamanan yang sebelumnya sulit ditemukan atau dieksploitasi.
## Ilustrasi Teknis Eksploitasi CVE
Kerentanan ini berakar dari penanganan kondisi kehabisan memori (Out-Of-Memory / OOM) pada Zend Engine saat memanggil instruksi longjmp():
+-------------------------------------------------------------------------+
| PHP2Shell (RCE) Execution Attack Path |
+-------------------------------------------------------------------------+
[ Permintaan HTTP Berbahaya dari Penyerang ]
|
v
[ Alokasi Memori Heap Melewati Batas (Memory Limit) ]
|
v
[ Zend Engine Memicu Kondisi Out-of-Memory (OOM) Fatal ]
|
v
[ Eksekusi C Function longjmp() Dipanggil untuk Abort Request ]
|
+--------------+--------------+
| |
v v
[ CVE-2026-109618 ] [ CVE-2026-109619 ]
Alokasi Memori Request Pointer Global Tertinggal
Gagal Direset Bersih Menunjuk ke Region Heap yang
(Memory Safety Bypass) Sudah Dibebaskan (Dangling/UAF)
| |
+--------------+--------------+
|
v
[ Siklus Request Berikutnya Membaca Heap Terdistorsi ]
|
v
[ EKSPLOITASI BERHASIL: Arbitrary Remote Code Execution (RCE) ]## Rekomendasi Mitigasi dan Patching
PHP sudah merilis versi resmi yang memperbaiki masalah ini: 8.2.35, 8.3.36, 8.4.27, dan 8.5.12. Pengelola server sebaiknya segera memeriksa versi PHP yang digunakan pada sistem dan memasang pembaruan yang sesuai: