Celah kritis dengan skor 9,2 dari 10 disebut bersembunyi lebih dari 10 tahun di inti PHP, dan sistem lama menjadi sasaran paling rentan.
Celah yang dijuluki PHP2Shell itu untuk pertama kalinya dibongkar oleh model kecerdasan buatan tingkat lanjut atau Frontier AI.
Menurut sumber, celah tersebut sangat sulit ditemukan manusia karena rumit dan membutuhkan waktu sangat panjang.
Pakar Soroti Peran PHP yang Tak Terlihat
Pakar keamanan siber Alfons Tanujaya menilai PHP selama ini luput dari perhatian publik padahal perannya sangat besar.
Ia membandingkan Windows yang mendominasi pasar komputer dunia hingga lebih dari 70 persen, dengan logonya tampak dari laptop kantor sampai layar ATM.
Menurut Alfons, jika Windows adalah raja yang tampak di layar monitor, maka PHP adalah penguasa tak terlihat di balik layanan internet dan intranet.
Celah ini tercatat sebagai CVE-2026-109618 dan CVE-2026-109619.
Celah pertama berupa manipulasi memori, ketika peretas mengirim permintaan data khusus yang melampaui batas tampung memori peladen.
Akibatnya lapisan keamanan runtuh dan kode asing bisa disisipkan.
Celah kedua membuka kendali jarak jauh atau remote code execution dengan hak akses tertinggi, mulai dari menyedot, mengubah, hingga menghapus basis data internal.
