Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.
PHP2Shell Mengungkap Risiko Eksekusi Kode Jarak Jauh pada Server
Istilah PHP2Shell merujuk pada dua kerentanan keamanan kritis yang memengaruhi lingkungan server web. Kedua kerentanan tersebut dikenali melalui nomor CVE-2026-109618 dan CVE-2026-109619. Masing-masing memperoleh peringkat kritis dengan skor 9,2 yang menandakan ancaman serius terhadap sistem. Bahaya utamanya adalah potensi menjalankan perintah berbahaya dari luar server melalui pemrosesan permintaan HTTP tertentu. Apabila server masih menggunakan PHP terdampak, pelaku tidak selalu memerlukan akun pengguna.
Tim keamanan PHP menerbitkan pembaruan darurat pada 21 Oktober 2026 setelah menyelesaikan penanganan dua kelemahan tersebut. Respons keamanan tersebut menjadi prioritas administrator karena PHP digunakan oleh banyak aplikasi web. Aplikasi web seperti Joomla dapat menghadapi risiko ketika lingkungan PHP belum diperbarui. Perlu dipahami, celah tersebut berasal dari komponen internal PHP, bukan semata-mata akibat plugin website. Dengan kondisi tersebut, pembaruan plugin tidak menggantikan perbaikan runtime PHP.
CVE-2026-109618 dan CVE-2026-109619 Memiliki Mekanisme Serangan Berbeda
Masalah yang diidentifikasi sebagai CVE-2026-109618 muncul dari kelemahan pemrosesan out-of-memory dalam sistem internal interpreter PHP. Saat sistem mengalami kegagalan alokasi memori, informasi sementara dapat memiliki keadaan yang tidak lengkap. Kelemahan dapat muncul saat runtime memproses data internal yang tidak berada dalam keadaan semestinya. Kondisi tersebut dapat menyebabkan kerusakan memori. Dalam skenario eksploitasi, pelaku berpotensi menjalankan kode tanpa izin.
Masalah keamanan berikutnya berkaitan dengan penggunaan keadaan internal yang sudah tidak valid. Pada proses pengelolaan request, informasi sementara milik permintaan sebelumnya dapat bertahan setelah memori pendukungnya dibebaskan. Ketika sistem kembali menggunakan referensi lama, celah eksploitasi dapat terbuka. Kedua masalah tersebut menggambarkan kerumitan keamanan runtime. Meski bahasa PHP dikenal melalui pembuatan website, mesin pelaksananya bergantung pada keamanan kode sistem.
Serangan Remote Code Execution Dapat Membahayakan Data Server
Eksekusi kode jarak jauh yang dikenal sebagai RCE merupakan salah satu risiko keamanan paling serius. Ketika penyerang memperoleh kemampuan tersebut, kode berbahaya dapat dieksekusi dalam lingkungan terdampak. Tingkat kerusakan ditentukan oleh konfigurasi dan izin sistem. Dalam lingkungan yang tidak terlindungi, file aplikasi berpotensi mengalami perubahan. Sebagai contoh, portal layanan pelanggan dapat mengalami gangguan operasional apabila lingkungan server berhasil disalahgunakan.
Di samping ancaman terhadap kerahasiaan, penyalahgunaan sistem bisa menyebabkan gangguan operasional. Jika layanan terganggu, pengunjung mungkin gagal membuka halaman. Untuk perusahaan digital, gangguan tersebut dapat memengaruhi reputasi. Walaupun dampaknya perlu diwaspadai, keberadaan kerentanan tidak membuktikan suatu server telah diretas. Peninjauan indikator keamanan tetap menjadi dasar penilaian kemungkinan insiden. Evaluasi berbasis bukti mengurangi kesimpulan yang tidak didukung data.
Versi PHP Terbaru Menutup Dua Kerentanan Keamanan Kritis
Untuk menangani kedua kerentanan, pengembang PHP menyediakan rilis resmi yang telah mendapatkan patch. Pembaruan yang tersedia adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Keempat rilis keamanan itu ditujukan untuk memperbaiki dua celah awal PHP2Shell. Administrator instalasi PHP terdampak dianjurkan segera memperbarui runtime, terutama apabila layanan menerima permintaan dari jaringan publik. Proses instalasi patch harus diterapkan pada runtime aktif, bukan hanya memperbarui aplikasi website.
Untuk PHP 8.1 dan versi lebih lama, pembaruan perlu direncanakan lebih cermat. Rilis lama yang tidak lagi didukung tidak memperoleh pembaruan reguler dari proyek utama PHP. Meskipun demikian, sejumlah penyedia sistem operasi dan layanan dukungan jangka panjang dapat menerbitkan patch bagi instalasi lama. Pengembang inti turut menerbitkan perbaikan sumber minimal untuk PHP 7.4, 8.0, dan 8.1. Meski tersedia alternatif tersebut, penggunaan runtime modern menjadi pilihan lebih berkelanjutan.
Pencegahan Serangan PHP2Shell Melalui Pembaruan dan Pengawasan Server
Langkah pertama dalam perlindungan adalah mengidentifikasi seluruh instalasi PHP. Pemeriksaan sebaiknya mencakup website publik, aplikasi internal, serta komponen pihak ketiga. Hal ini penting karena sebuah organisasi dapat menggunakan PHP tanpa menyadarinya. Sesudah lingkungan teridentifikasi, administrator harus memilih patch yang sesuai dengan lingkungan server. Sebelum pembaruan, backup yang dapat dipulihkan perlu dipastikan. Ketika instalasi selesai, pekerja server harus menggunakan runtime terbaru.
Ketika server tidak bisa segera diperbarui, tersedia sejumlah rekomendasi untuk mengurangi paparan. Dalam penanganan masalah out-of-memory, pengaturan memory_limit=-1 dapat mengurangi jalur serangan tertentu. Pengendalian volume data yang diterima juga dapat membantu mengurangi paparan. Pada jalur serangan yang berbeda, penonaktifan session upload progress menjadi langkah mitigasi terhadap skenario khusus. Namun, tidak satu pun mitigasi ini menggantikan patch. Oleh sebab itu, instalasi patch tidak boleh ditunda tanpa alasan kuat.
Untuk memperkuat pengamanan setelah pembaruan, administrator sebaiknya memeriksa catatan aktivitas PHP. Analisis keamanan ini membantu mengidentifikasi kemungkinan eksploitasi. Aktivitas yang patut diperiksa meliputi aktivitas proses anak yang mencurigakan, lalu lintas eksternal yang menyimpang, serta munculnya file yang tidak dikenali. Ketika aktivitas berbahaya teridentifikasi, administrator harus mengikuti kebijakan pemulihan organisasi. Proses penanganan ini harus mempertimbangkan pergantian kredensial yang terdampak sesuai hasil investigasi.
Kesimpulan: Pembaruan PHP Menjadi Langkah Utama Mengatasi PHP2Shell
Kemunculan PHP2Shell memperlihatkan tantangan besar dalam memastikan ketahanan layanan digital. Kerentanan yang ditemukan berpotensi membuka akses kode jarak jauh sehingga pembaruan PHP harus menjadi prioritas. Selain dua celah awal, pada 23 Oktober 2026 pengembang PHP mengumumkan kondisi khusus terkait session upload progress yang dilacak sebagai CVE-2026-115560. Pada aplikasi dengan kombinasi pengaturan khusus, pengguna disarankan menonaktifkan session.upload_progress.enabled sampai patch berikutnya diterbitkan. Melalui pembaruan dan pemantauan berkelanjutan, ketahanan server dapat ditingkatkan. Menurut Anda, apakah pengelolaan versi perangkat lunak sudah mendapat perhatian yang memadai dalam operasional server?
