Hanya berselang dua hari sesudah merilis pembaruan darurat demi menambal kerentanan kritis PHP2Shell, pengembang PHP kembali mengeluarkan peringatan mengenai metode lain yang berpotensi dimanfaatkan oleh peretas untuk mengeksekusi kode berbahaya pada server web.
Masalah keamanan terbaru yang diberi label CVE-2026-115560 ini cuma berdampak pada aplikasi web yang berjalan menggunakan konfigurasi sangat tidak lazim. Oleh sebab itu, pihak pengembang PHP menilai potensi risiko eksploitasinya terbilang sangat rendah di lapangan.
Proyek open-source tersebut memutuskan untuk tidak meluncurkan perbaikan darurat khusus dalam menangani isu kali ini. Alih-alih merilis tambalan instan, mereka menganjurkan para pengelola server untuk segera menonaktifkan fitur pemantau kemajuan unggahan berkas atau session upload progress sampai pembaruan rutin berikutnya resmi diluncurkan.
Peringatan itu disampaikan lewat sebuah publikasi informasi singkat yang dirilis pada tanggal 23 Oktober. Laporan tersebut menyusul pembaruan mendesak tanggal 21 Oktober yang mengatasi dua celah kritis PHP2Shell, yaitu CVE-2026-109618 dan CVE-2026-109619, yang memungkinkan pihak tanpa otentikasi akun menjalankan kode pada peladen. Kedua kerentanan terdahulu telah ditambal lewat PHP versi 8.5.12, 8.4.27, 8.3.36, serta 8.2.35. Masalah baru ini berdiri sendiri dan sama sekali belum terselesaikan lewat versi-versi tersebut.
Celah ini hanya mengancam pengaturan server dalam cakupan yang begitu sempit. Pihak PHP menjelaskan potensi bahaya bisa terpicu bila suatu aplikasi web memenuhi seluruh urutan konfigurasi berikut: menentukan parameter session.serialize_handler sebagai php_binary atau php_serialize pada file konfigurasinya, lantas mengubah setelan tersebut menjadi php saat aplikasi beroperasi lewat pemanggilan fungsi ini_set(), serta mengeksekusi perubahan tadi sebelum fungsi session_start() dijalankan.
Selain itu, fitur pelacakan unggahan sesi wajib berada dalam posisi aktif. Aplikasi yang tak pernah merombak serialize handler ketika sedang berjalan dapat membiarkan fitur tersebut menyala tanpa perlu khawatir terpapar celah ini. PHP menegaskan bahwa skenario pengaturan semacam itu sangat jarang dijumpai dalam praktik nyata.
Langkah pencegahannya pun amat ringkas, yakni hanya satu baris konfigurasi. PHP merekomendasikan penambahan pengaturan session.upload_progress.enabled=0 sampai rilis perbaikan bug terjadwal berikutnya siap diedarkan. Arahan ini serupa dengan langkah mitigasi yang telah dicantumkan dalam pengumuman 21 Oktober untuk menangani CVE-2026-109619.
Administrator sistem yang sudah menerapkan konfigurasi tersebut sebelumnya dan tidak mengubahnya tak perlu melakukan tindakan tambahan apa pun menghadapi temuan anyar ini. Fitur session upload progress sendiri secara bawaan berstatus aktif dan berfungsi membantu aplikasi memantau progres pengunggahan dokumen.
Mengingat skema pengaturannya tergolong sangat langka, perbaikan resmi CVE-2026-115560 akan disatukan ke dalam siklus pembaruan reguler PHP, bukan dirilis mendadak, lengkap dengan panduan teknis mendalam.
Hingga saat ini PHP belum merinci deretan versi yang terpengaruh, jadwal rilis tambalan, maupun skor keparahannya. Belum dipastikan juga apakah anomali baru ini bersumber dari masalah yang sama dengan CVE-2026-109619.
Belum ada laporan eksploitasi aktif terhadap CVE-2026-115560. Gelombang serangan yang terdeteksi semenjak 21 Oktober seluruhnya membidik dua kelemahan PHP2Shell terdahulu.
Secara terpisah, percobaan serangan terhadap dua celah PHP2Shell sebelumnya terpantau melonjak pesat. Amazon mengungkap bahwa sistem honeypot mereka mencatat adanya uji eksploitasi CVE-2026-109618 dan CVE-2026-109619 sejak 17 Oktober, yakni empat hari sebelum dipublikasikan. Sementara itu, Cloudflare melihat lonjakan upaya peretasan dari puluhan ribu dalam 45 menit pascapengumuman 21 Oktober menjadi jutaan pada dini hari 22 Oktober.
Berdasarkan pantauan Sophos serta Arctic Wolf, penyerang berupaya menyuntikkan varian botnet Mirai melalui celah-celah tersebut. Kendati demikian, usaha penyerang dilaporkan gagal. Previdian, Wordfence, dan lembaga riset lainnya mencatat aktivitas pemindaian masif tanpa adanya eksekusi kode yang berhasil, sebab para periset menilai pembuatan exploit yang stabil ternyata jauh lebih rumit dari dugaan. Serangan gencar itu murni menyasar dua bug tambalan 21 Oktober, bukan CVE-2026-115560.
