Pihak PHP telah mengeluarkan peringatan mengenai celah baru yang berpotensi dimanfaatkan penyerang untuk mengeksekusi kode berbahaya pada server web. Peringatan ini muncul berselang dua hari sesudah diluncurkannya pembaruan darurat demi menanggulangi celah keamanan kritis yang dikenal dengan julukan PHP2Shell.
Masalah keamanan terbaru yang diidentifikasi dengan nomor CVE-2026-115560 ini cuma berdampak pada aplikasi web yang memakai konfigurasi tidak lazim. Tim pengembang PHP menilai risikonya sangat kecil terjadi. Oleh karena itu, tim proyek PHP memutuskan untuk tidak menerbitkan pembaruan darurat terpisah. Sebagai gantinya, mereka memberikan anjuran kepada pengelola server guna mematikan fitur bernama session upload progress sampai pembaruan resmi dikeluarkan pada jadwal rilis rutin mendatang.
Peringatan resmi tersebut dirilis lewat pemberitahuan informatif singkat pada tanggal 23 Oktober. Langkah ini menyusul pembaruan darurat tanggal 21 Oktober yang membenahi dua kerentanan kritis PHP2Shell, yaitu CVE-2026-109618 serta CVE-2026-109619, yang memungkinkan peretas tanpa akun mengeksekusi perintah pada peladen. Kedua kelemahan tersebut telah ditambal lewat PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. Permasalahan baru ini bersifat independen dan belum teratasi lewat versi pembaruan darurat sebelumnya.
Hanya arsitektur tertentu yang berada dalam posisi bahaya. Pihak PHP menjelaskan masalah ini terjadi jika aplikasi web memenuhi sejumlah kriteria secara berurutan: menetapkan opsi session.serialize_handler ke php_binary atau php_serialize pada berkas konfigurasi, lalu mengubah opsi tersebut menjadi php secara langsung melalui fungsi pemanggilan runtime dengan perintah ini_set(), dan melakukan perubahan nilai itu sebelum menjalankan fungsi session_start().
Selain kondisi di atas, opsi session upload progress harus berada dalam posisi aktif. Aplikasi yang sama sekali tak mengubah konfigurasi serialize handler di tengah eksekusi program bisa tetap membiarkan fitur tersebut berjalan tanpa terpapar risiko celah ini. Tim PHP menegaskan konfigurasi spesifik ini jarang sekali diterapkan dalam praktik nyata.
Langkah pencegahannya cukup simpel hanya satu baris konfigurasi. PHP menyarankan pengaturan session.upload_progress.enabled=0 hingga rilis perbaikan bug reguler berikutnya hadir. Metode penanganan ini persis sama dengan instruksi mitigasi yang diterbitkan pada pemberitahuan bertanggal 21 Oktober terkait kerentanan CVE-2026-109619.
Para administrator yang sudah menerapkan instruksi mitigasi sebelumnya dan membiarkannya berjalan tidak perlu melakukan langkah tambahan apa pun terkait celah anyar ini. Fitur session upload progress sendiri biasanya aktif secara bawaan demi memfasilitasi aplikasi dalam memantau proses pengunggahan dokumen.
Mengingat skenario penerapannya tergolong sangat langka, pihak PHP memilih menangani pembaruan ini melalui jadwal rilis berkala biasa, bukan lewat jalur perbaikan darurat. Penjelasan teknis komprehensif mengenai CVE-2026-115560 bakal dibeberkan berbarengan dengan rilis resmi berikutnya.
Hingga sekarang, PHP belum merinci nomor versi yang rentan, versi mana saja yang memuat perbaikan resmi, maupun skor tingkat keparahannya. Pengembang juga belum menjelaskan apakah celah anyar ini berakar pada pemicu yang sama dengan kerentanan CVE-2026-109619.
Belum ada laporan mengenai eksploitasi aktif atas CVE-2026-115560 di lapangan. Gelombang serangan yang tercatat semenjak tanggal 21 Oktober murni mengincar dua celah PHP2Shell terdahulu.
Di sisi lain, intensitas serangan terhadap dua celah PHP2Shell sebelumnya kian meluas. Amazon melaporkan bahwa sistem perangkap honeypot mereka mencatat adanya uji coba peretasan atas CVE-2026-109618 dan CVE-2026-109619 sejak 17 Oktober, empat hari sebelum kelemahan tersebut dipublikasikan. Cloudflare pun mendeteksi lonjakan serangan dari puluhan ribu dalam 45 menit pasca pengumuman 21 Oktober menjadi jutaan pada dini hari 22 Oktober.
Para pelaku kejahatan siber mencoba mengeksploitasi kedua celah tersebut demi menyebarkan varian botnet Mirai, berdasarkan pemantauan Sophos serta Arctic Wolf. Upaya tersebut sejauh ini belum berhasil; Previdian, Wordfence, dan lembaga riset lainnya mencatat aktivitas pemindaian serta pengujian tanpa adanya laporan eksekusi kode yang tervalidasi. Peneliti mengungkapkan bahwa menciptakan kode eksploitasi yang stabil nyatanya jauh lebih rumit dari perkiraan semula. Seluruh aktivitas ofensif tersebut menyasar dua lubang keamanan yang sudah ditambal pada 21 Oktober, bukan celah CVE-2026-115560 yang sampai kini terpantau nihil dari serangan.
