Cakrawala News – 23 Oktober 2026 | Kerentanan eksekusi kode jarak jauh (remote code execution/RCE) pada PHP yang dijuluki php2shell akhirnya diungkap ke publik pada 21 Oktober 2026, setelah proses koordinasi pelaporan dan penambalan berlangsung tertutup selama sekitar dua setengah bulan. Pengungkapan ini menjadi sorotan karena menyangkut bahasa pemrograman yang menjadi tulang punggung sebagian besar situs web di internet, sehingga dampaknya berpotensi sangat luas.
Menurut catatan Yayasan PHP (PHP Foundation) yang dirangkum dalam kronologi bertanggal 22 Oktober 2026, perjalanan penemuan kerentanan ini tidak singkat. Laporan pertama atas akar masalah yang sama diterima yayasan pada 11 Agustus, disusul laporan tambahan mengenai vektor serangan lain pada 18 September. Seluruh komunikasi soal pelaporan dan perbaikan selama periode itu berjalan secara privat, dan tidak ada satu pun tanggal di bulan Agustus yang merupakan tanggal pengungkapan publik.
Tiga pihak yang melaporkan
Kronologi yang disusun dengan menggabungkan keterangan Calif dan Wiz itu menyebut tiga pihak yang berperan dalam pelaporan. Calif adalah firma riset keamanan ofensif berbasis di California yang menyebut memiliki hampir 60 personel di lima benua, dengan Thai Duong sebagai Chief. Duong dikenal sebagai salah satu penemu kerentanan BEAST, CRIME, dan POODLE.
Hubungan Calif dengan OpenAI bukan dalam bentuk investasi atau kepemilikan modal, melainkan kolaborasi melalui inisiatif Patch the Planet yang mendukung para pemelihara perangkat lunak sumber terbuka. OpenAI sendiri menyebut Calif sebagai mitra dalam dokumen publik pada 22 Juni 2026, dengan lingkup kerja mencakup triase kerentanan, pengungkapan terkoordinasi, dan penemuan tambahan.
Pihak kedua adalah Wiz, perusahaan produk keamanan cloud yang didirikan pada Januari 2020 dengan sekitar 2.000 karyawan. Akuisisi senilai 32 miliar dolar AS oleh Google disepakati pada Maret 2025 dan rampung pada 11 Maret 2026, sehingga Wiz kini menjadi bagian dari Google Cloud namun tetap mempertahankan mereknya. Divisi risetnya, Wiz Research, sebelumnya dikenal lewat pengungkapan kerentanan bernama seperti ChaosDB pada 2021 dan IngressNightmare pada 2025.
Menariknya, OpenAI dalam catatan Yayasan PHP juga muncul bukan hanya sebagai penyedia model, tetapi sekaligus sebagai pelapor. Laporan atas akar masalah yang sama diterima dari OpenAI pada 11 Agustus, terpisah dari laporan Calif, dan vektor serangan tambahan dilaporkan pada 18 September.
Rangkaian waktu yang perlu dipahami
Kronologi resmi menegaskan bahwa tanggal-tanggal yang beredar di bulan Agustus bukanlah tanggal pengungkapan publik, melainkan bagian dari proses koordinasi tertutup antara pelapor dan pemelihara PHP. Pengungkapan kepada publik baru terjadi pada 21 Oktober 2026, bersamaan dengan rilis keamanan PHP.
Yayasan PHP menjelaskan bahwa pengungkapan pada 21 Oktober itu disertai langkah penguatan keamanan PHP ke depan. Sementara itu, Calif mempublikasikan tulisan bertajuk php2shell yang menyebut temuan ini sebagai kisah dua kerentanan jarak jauh pada PHP. Wiz Research melalui tim penelitinya juga merilis analisis pada tanggal yang sama, dengan judul yang menyoroti peran kecerdasan buatan dalam mengungkap kerentanan RCE kritis yang memengaruhi sekitar 70 persen internet.
Perbedaan penekanan antarpelapor itu penting dicatat secara netral. Di satu sisi, laporan Wiz menonjolkan peran AI dalam proses penemuan. Di sisi lain, kronologi Yayasan PHP lebih menekankan aspek koordinasi pelaporan dan penambalan yang berlangsung bertahap sejak Agustus hingga pengungkapan pada 21 Oktober.
Mengapa ini penting
Karena PHP digunakan secara masif, kerentanan RCE menjadi jenis celah yang paling dikhawatirkan. Eksekusi kode jarak jauh berarti penyerang berpotensi menjalankan perintah pada server yang terdampak, sehingga risiko yang muncul berkaitan dengan pengambilalihan sistem, pencurian data, hingga penyalahgunaan layanan.
Namun, artikel ini tidak menyimpulkan tingkat eksploitasi di lapangan karena sumber yang tersedia tidak memuat data tersebut. Yang dapat dipastikan, pengungkapan pada 21 Oktober berlangsung bersamaan dengan rilis perbaikan dari Yayasan PHP, sehingga pengguna dan pengelola layanan berbasis PHP disarankan memperhatikan pembaruan keamanan yang dirilis pihak resmi.
Kronologi ini juga memperlihatkan pola pengungkapan terkoordinasi yang melibatkan firma riset keamanan, perusahaan keamanan cloud, penyedia model AI, dan yayasan pengelola bahasa pemrograman. Kolaborasi semacam ini memungkinkan perbaikan disiapkan sebelum celah diumumkan, meski konsekuensinya publik baru mengetahui detail pada 21 Oktober.
Ke depan, yang perlu dicermati adalah bagaimana organisasi yang masih menjalankan versi PHP terdampak merespons rilis keamanan tersebut, serta perkembangan analisis dari para peneliti mengenai cakupan dampak kerentanan php2shell. Pembaruan resmi dari Yayasan PHP dan para pelapor akan menjadi rujukan utama untuk memastikan langkah mitigasi yang tepat.
