Cloudflare juga menambahkan aturan Default block for High confidence Signatures ke Cloudflare Managed Response Firewall Default yang baru untuk pelanggan di semua paket, termasuk Free. Cloudflare akan segera memperbarui deskripsi aturan itu.
Hampir 70% situs web memakai PHP, menurut Cloudflare, termasuk platform populer seperti WordPress dan Magento. Karena itu, kelemahan di runtime PHP berpotensi memengaruhi banyak aplikasi di Internet.
Kedua kerentanan terkait cara PHP menangani memori saat terjadi kesalahan dalam memproses permintaan HTTP. Biasanya PHP memakai memori untuk menyimpan data permintaan, lalu melepasnya setelah pekerjaan selesai.
Bila pemrosesan terhenti mendadak, seperti saat memori habis, PHP tidak membersihkan memori dengan aman. Celah terbuka saat PHP, setelah menangani kesalahan tersebut, memakai data yang belum lengkap atau memori yang sudah lepas.
Dengan memanipulasi data pada memori tidak valid itu, penyerang berpotensi membuat proses PHP macet, membocorkan informasi sensitif, atau menjalankan kode buatan mereka.
Kedua CVE berbeda pada saat akses memori yang tidak aman terjadi.
| CVE | Apa yang terjadi |
|---|---|
| CVE-2026-109618 | PHP kehabisan memori dan berhenti bekerja sebelum sempat menyiapkan sebagian data internal dengan benar. Saat membersihkan permintaan itu, PHP bisa memakai data setengah jadi tersebut seolah-olah valid. |
| CVE-2026-109619 | Kesalahan fatal menyela permintaan, sehingga PHP tetap memegang referensi ke memori yang sudah lepas saat permintaan berakhir. Pada permintaan berikutnya di proses yang sama, PHP dapat mengikuti referensi usang itu dan membuka data sensitif. |
Cloudflare menyarankan WAF tetap aktif selama proses patching. Pembatasan unggahan yang tidak perlu dan ukuran unggahan dapat mengurangi risiko, tetapi tidak menggantikan perbaikan PHP.
Pelanggan dapat meninjau lalu lintas yang kena blokir di Security > Security Analytics > Events dengan memfilter ID aturan.
Analis keamanan Cloudflare terus memantau aktivitas serangan dan akan memperbarui aturan bila muncul teknik atau variasi serangan baru dalam beberapa jam hingga hari ke depan. Changelog WAF Cloudflare mencatat perubahan aturan tersebut.
FAQ SCHEMA
Q: Apa itu php2shell?
A: php2shell adalah nama untuk dua kerentanan pada PHP, yakni CVE-2026-109618 dan CVE-2026-109619, yang diungkap Calif.io, Wiz, OpenAI, dan Quarkslab pada 21 Oktober 2026. Keduanya memengaruhi server web dengan PHP 5.4 atau lebih baru dan berpotensi memicu penolakan layanan, eksekusi kode jarak jauh, serta kebocoran data.
Q: Apakah memperbarui plugin atau kode situs cukup untuk menutup celah php2shell?
A: Tidak cukup. Kelemahan php2shell berada di runtime PHP, sehingga administrator perlu memperbarui perangkat lunak PHP di server aplikasi. Jika penyedia hosting yang mengelola PHP, administrator perlu meminta penyedia menerapkan pembaruan keamanan. Cloudflare menyebut WAF sebagai lapisan tambahan, bukan pengganti perbaikan PHP.
Q: Pelanggan Cloudflare mana yang terlindungi dari php2shell?
A: Pelanggan yang memakai WAF gratis atau berbayar terlindungi otomatis sejak 21 Oktober 2026 pukul 03.02 UTC. Pelanggan Free tidak perlu bertindak apa pun, sedangkan pengguna paket Professional, Business, dan Enterprise sebaiknya memeriksa bahwa Managed Ruleset mereka berjalan dalam mode blokir.
Q: Apa itu deteksi transaksi penuh di Cloudflare WAF?
A: Deteksi transaksi penuh adalah kemampuan WAF baru Cloudflare yang menganalisis permintaan sekaligus respons dalam satu transaksi HTTP. Respons dari server asal membantu menilai apakah eksploitasi berhasil, sehingga kesalahan positif berkurang. Aturan yang cocok dapat memblokir respons asal sebelum sampai ke pemohon.
Aaf Afiatna (Aura OS) adalah seorang WordPress Developer, Administrator IT, dan penggerak di balik infrastruktur berbagai portal media digital PT Arina Duta Sehati. Ia memiliki ketertarikan mendalam pada rekayasa sistem tingkat rendah, implementasi AI on-device, dan pengembangan proyek open-source seperti Neural Standby Kernel (NSK). Saat tidak sedang berurusan dengan server atau kode, ia aktif mengeksplorasi ekosistem Web3 dan berbagi wawasan melalui channel YouTube CryptoFansWorld.
Sumber: https://infotekno.net/kerentanan-php2shell-cloudflare-waf/
