Pengembang PHP kembali mengeluarkan peringatan mengenai metode baru yang berpotensi dimanfaatkan oleh peretas untuk mengeksekusi kode berbahaya pada server web, tepat dua hari sesudah diluncurkannya pembaruan darurat atas kerentanan kritis PHP2Shell.
Permasalahan keamanan baru ini diberi identitas CVE-2026-115560 dan hanya berdampak pada aplikasi web yang berjalan dengan konfigurasi yang tidak lazim. Karena itu, pihak proyek PHP memandangnya sebagai ancaman dengan tingkat risiko yang cenderung kecil.
Proyek tersebut tidak akan merilis patch darurat khusus guna menambal celah ini. Sebagai gantinya, mereka memberikan anjuran kepada pengelola web untuk segera mematikan fitur bernama session upload progress sampai pembaruan keamanan resmi tersedia pada siklus rilis reguler mendatang.
Peringatan tersebut dimuat dalam pengumuman informasi singkat yang dirilis pada tanggal 23 Oktober. Laporan ini menyusul rilis darurat bertanggal 21 Oktober yang membenahi sepasang kerentanan kritis PHP2Shell, yakni CVE-2026-109618 serta CVE-2026-109619, di mana peretas tanpa akses akun dapat mengeksekusi kode langsung pada server. Kerentanan terdahulu tersebut diperbaiki dalam PHP versi 8.5.12, 8.4.27, 8.3.36, serta 8.2.35. Permasalahan baru ini berstatus terpisah dan belum teratasi oleh serangkaian versi tersebut.
Celah ini hanya mengancam arsitektur sistem yang sangat spesifik. Menurut penjelasan PHP, gangguan dapat muncul jika aplikasi web memenuhi sejumlah kriteria: mengonfigurasi opsi session.serialize_handler ke php_binary atau php_serialize pada berkas konfigurasi, kemudian mengubah opsi itu menjadi php saat aplikasi berjalan lewat fungsi ini_set(), dan pergantian tersebut dijalankan sebelum memanggil fungsi session_start().
Di samping syarat itu, fitur session upload progress harus tetap dalam kondisi aktif. Aplikasi yang sama sekali tidak pernah mengubah serialize handler saat sedang berjalan dapat membiarkan fitur tersebut tetap aktif tanpa terancam lewat jalur kerentanan ini. PHP menegaskan bahwa skema penerapan semacam itu sangat jarang ditemui dalam praktiknya.
Langkah pencegahannya cukup dengan satu baris pengaturan. PHP menyarankan administrator mengonfigurasi session.upload_progress.enabled=0 hingga rilis pemeliharaan rutin berikutnya tiba. Opsi konfigurasi ini identik dengan mitigasi yang sebelumnya dicantumkan pada peringatan 21 Oktober untuk CVE-2026-109619.
Bagi siapa pun yang sudah menerapkan langkah mitigasi tersebut sebelumnya dan tidak membatalkannya, tidak diperlukan tindakan tambahan untuk celah baru ini. Fitur session upload progress sendiri secara bawaan aktif dan berfungsi memberi fasilitas pelacakan proses unggahan berkas bagi aplikasi web.
Mengingat konfigurasinya tergolong langka, tim pengembang PHP memutuskan menangani pemulihan celah melalui siklus rilis berkala biasa ketimbang mengeluarkan status darurat, serta berencana mempublikasikan laporan penasihat lengkap atas CVE-2026-115560 bersamaan dengan rilis berikutnya.
Sampai sekarang PHP belum merinci jajaran versi terdampak, daftar rilis penerima patch, maupun skor tingkat keparahannya. Mereka juga belum mengonfirmasi apakah masalah baru ini memiliki akar penyebab yang sama dengan CVE-2026-109619.
Belum ada insiden eksploitasi aktif terhadap CVE-2026-115560 yang terdeteksi; gelombang serangan yang teramati semenjak 21 Oktober sejauh ini hanya membidik dua kerentanan PHP2Shell terdahulu.
Secara terpisah, upaya pembobolan yang mengarah pada dua celah PHP2Shell sebelumnya justru meningkat tajam. Pihak Amazon mengungkapkan sistem honeypot milik mereka telah merekam percobaan eksploitasi pada CVE-2026-109618 dan CVE-2026-109619 sejak 17 Oktober, yakni empat hari sebelum kedua celah diumumkan ke publik. Cloudflare turut melaporkan bahwa jumlah percobaan melonjak drastis, mulai dari puluhan ribu dalam rentang 45 menit pascapengumuman 21 Oktober hingga mencapai jutaan serangan pada awal 22 Oktober.
Berdasarkan laporan Sophos serta Arctic Wolf, penyerang sempat berupaya menanamkan varian botnet Mirai memanfaatkan celah tersebut. Usaha tersebut hingga kini berujung kegagalan: Previdian, Wordfence, dan peneliti lain melaporkan adanya aktivitas pemindaian serta probing intensif tanpa eksekusi kode yang terkonfirmasi, dengan para pakar mengonfirmasi bahwa pembuatan skrip eksploitasi yang stabil terbukti jauh lebih rumit daripada perkiraan. Aktivitas serangan itu hanya menyasar kedua celah yang ditambal pada 21 Oktober, bukan pada CVE-2026-115560 yang sejauh ini belum mengalami penyerangan.
