Hanya berselang dua hari sesudah meluncurkan pembaruan darurat demi menambal kerentanan kritis PHP2Shell, tim pengembang PHP kembali mengeluarkan peringatan mengenai metode baru yang berpotensi dipakai penyerang guna mengeksekusi kode berbahaya pada server web.
Permasalahan paling anyar ini terdaftar dengan kode CVE-2026-115560, di mana imbasnya hanya dirasakan aplikasi berbasis web yang memiliki setelan konfigurasi tidak lazim, sehingga pihak PHP memandangnya sebagai ancaman dengan risiko yang sangat rendah.
Oleh karena itu, proyek open-source ini memilih untuk tidak mendistribusikan berkas perbaikan darurat. Mereka sekadar menganjurkan pengelola sistem mematikan fungsi pemantau progres unggahan sesi (session upload progress) sembari menunggu kedatangan perbaikan resmi dalam pembaruan rutin mendatang.
Peringatan resmi tersebut dirilis lewat sebuah maklumat informasi singkat pada tanggal 23 Oktober. Laporan ini datang menyusul patch darurat tertanggal 21 Oktober yang sebelumnya membenahi dua celah berbahaya PHP2Shell, yaitu CVE-2026-109618 serta CVE-2026-109619, yang memungkinkan aktor ancaman tak berizin mengeksekusi perintah server. Celah ganda tersebut telah dibenahi di versi PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. Permasalahan baru ini bersifat independen dan belum tertangani oleh pembaruan-pembaruan tadi.
Hanya arsitektur tertentu yang sebenarnya rawan. PHP menerangkan insiden ini bisa timbul jika aplikasi web memenuhi serangkaian prasyarat teknis: mengatur opsi session.serialize_handler ke php_binary atau php_serialize pada konfigurasinya, lalu mendadak mengubah pengaturan itu menjadi php saat aplikasi berjalan lewat pemanggilan fungsi ini_set(), dan melakukan perubahan tersebut persis sebelum mengeksekusi session_start().
Kondisi ini pun mensyaratkan fitur session upload progress dalam kondisi aktif. Apabila aplikasi tak pernah memodifikasi serialize handler di tengah eksekusi, fitur pelacak unggahan aman dibiarkan menyala dan tidak akan terpapar lubang keamanan ini. Pihak PHP menegaskan bahwa skema pengaturan semacam itu hampir mustahil ditemukan dalam skenario dunia nyata.
Tindakan mitigasi yang dibutuhkan cukup satu baris perintah. PHP menyarankan administrator menyetel session.upload_progress.enabled=0 hingga rilis pemeliharaan berkala diterbitkan. Parameter penangkal ini sama persis dengan saran mitigasi yang tercantum pada maklumat tanggal 21 Oktober bagi kerentanan CVE-2026-109619.
Para pengelola yang sudah menerapkannya saat itu dan tidak mengubahnya kembali kini tidak perlu mengambil langkah lanjutan apapun. Fitur pemantau progres sesi sendiri memang diaktifkan secara bawaan guna memfasilitasi aplikasi membaca laju transfer pengunggahan berkas.
Mengingat kombinasi setelan tersebut amat langka, PHP memutuskan penanganan perbaikan akan disatukan ke dalam siklus pembaruan reguler alih-alih merilis tambalan darurat, serta bakal mempublikasikan dokumen panduan komprehensif bagi CVE-2026-115560 bersamaan dengan rilis berikutnya.
Hingga kini, pihak PHP belum merinci nomor versi yang terpengaruh, jadwal rilis yang membawa tambalan, maupun skor tingkat keparahannya. Belum dipastikan pula apakah kerentanan mutakhir ini memiliki akar permasalahan yang bersinggungan langsung dengan CVE-2026-109619.
Sejauh ini sama sekali belum ditemukan laporan eksploitasi aktif terhadap CVE-2026-115560; gelombang serbuan siber yang terdeteksi semenjak 21 Oktober murni mengincar sepasang celah keamanan PHP2Shell terdahulu.
Pada konteks terpisah, gelombang percobaan peretasan terhadap dua lubang PHP2Shell sebelumnya terpantau melonjak drastis. Pihak Amazon mengonfirmasi bahwa instrumen honeypot miliknya merekam manuver eksploitasi CVE-2026-109618 dan CVE-2026-109619 pada 17 Oktober, empat hari sebelum celah dipublikasikan. Sementara itu Cloudflare mencatat lonjakan dari puluhan ribu insiden dalam 45 menit pascapengumuman 21 Oktober hingga mencapai jutaan upaya pada dini hari 22 Oktober.
Para peretas terpantau berupaya mengeksploitasi kelemahan tersebut guna menanamkan varian botnet Mirai, berdasar temuan Sophos dan Arctic Wolf. Seluruh percobaan itu dilaporkan gagal: Previdian, Wordfence, serta analis lain melaporkan aktivitas pemindaian dan pelacakan intensif tanpa eksekusi kode yang terkonfirmasi, dengan para peneliti menilai pembuatan exploit yang andal jauh lebih rumit daripada perkiraan. Seluruh aktivitas ofensif tersebut menyasar dua celah yang ditambal pada 21 Oktober, bukan CVE-2026-115560 yang terbukti masih nihil dari laporan serangan.