Apa yang terjadi
Pada 21 Okt PHP Foundation mengungkapkan CVE-2026-109618 dan CVE-2026-109619 (CVSS 9.2, 'php2shell') di PHP, yang memungkinkan RCE/pengungkapan memori tanpa autentikasi pada ~70% situs web (22,6 juta instance rentan menurut PANW). Kerentanan ini ditemukan secara independen mulai 1 Agu dengan riset berbantuan AI — Calif.io menggunakan OpenAI GPT-5.6 Sol, plus OpenAI dan Wiz — dan dikoordinasikan melalui inisiatif Patch the Planet dari OpenAI; Cloudflare menerapkan mitigasi WAF lebih awal ~9 jam sebelum pengungkapan publik menggunakan kapabilitas deteksi transaksi-penuh yang baru.
Mengapa penting
Kerentanan kritis skala-internet pertama yang ditemukan dengan AI frontier dalam program coordinated disclosure: ini menunjukkan penemuan kerentanan agentic sebagai kapabilitas defender sambil menggarisbawahi perlombaan eksploitasi kecepatan-mesin, menggema hasil 33/37 CVE dari AWS Continuum minggu ini.
Cakupan penerapan
Semua operator web/WordPress harus segera menambal PHP (8.5.12/8.4.27/8.3.36/8.2.35) dan tetap mengaktifkan aturan WAF; tim keamanan harus memperlakukan program penemuan kerentanan berbantuan AI sebagai input mainstream untuk triase CVE.