Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.
PHP2Shell Mengungkap Risiko Eksekusi Kode Jarak Jauh pada Server
Istilah PHP2Shell merujuk pada dua kerentanan keamanan kritis yang dapat membahayakan infrastruktur website. Kedua kerentanan tersebut dikenali melalui nomor CVE-2026-109618 dan CVE-2026-109619. Keduanya mendapatkan nilai CVSS 4.0 sebesar 9,2 yang menggambarkan tingkat risiko tinggi. Risiko paling mengkhawatirkan adalah kemungkinan eksekusi kode jarak jauh melalui interaksi jaringan yang mengeksploitasi kelemahan internal. Pada instalasi yang belum diperbaiki, pelaku tidak selalu memerlukan akun pengguna.
Pengembang PHP merilis rilis keamanan penting tanggal 21 Oktober 2026 setelah menyelesaikan penanganan dua kelemahan tersebut. Penerbitan pembaruan itu mendapat perhatian luas karena PHP digunakan oleh banyak aplikasi web. Aplikasi web seperti Joomla dapat terdampak apabila menjalankan runtime PHP rentan. Namun, masalah keamanan terjadi dalam runtime PHP, bukan semata-mata akibat plugin website. Dengan kondisi tersebut, memperbarui CMS saja tidak mencukupi.
CVE-2026-109618 dan CVE-2026-109619 Memiliki Mekanisme Serangan Berbeda
Kerentanan pertama muncul dari kelemahan pemrosesan out-of-memory dalam mesin pemrosesan bahasa PHP. Apabila permintaan memicu kondisi kehabisan memori, informasi sementara dapat memiliki keadaan yang tidak lengkap. Kelemahan dapat muncul saat sistem menangani struktur yang belum terbentuk dengan benar. Gangguan pada struktur memori dapat menyebabkan kerusakan memori. Apabila kelemahan berhasil dimanfaatkan, sistem bisa dipaksa mengeksekusi instruksi berbahaya.
Kerentanan kedua berkaitan dengan penggunaan keadaan internal yang sudah tidak valid. Dalam pemrosesan permintaan, sebagian keadaan internal yang seharusnya dibersihkan dapat digunakan kembali setelah masa berlakunya berakhir. Jika permintaan berikutnya memakai keadaan tersebut, celah eksploitasi dapat terbuka. Sepasang kerentanan ini menunjukkan risiko kesalahan pemrosesan tingkat rendah. Meski bahasa PHP dikenal melalui pembuatan website, rangkaian pemrosesan dasarnya harus dirancang secara aman.
Dampak PHP2Shell terhadap Website dan Informasi Pengguna
Kemampuan menjalankan kode dari lokasi berbeda merupakan salah satu risiko keamanan paling serius. Apabila eksploitasi berhasil, pelaku berpotensi menjalankan instruksi pada server. Tingkat kerusakan bergantung pada hak akses proses PHP. Apabila pembatasan akses tidak memadai, data dan layanan mungkin menghadapi gangguan. Sebagai contoh, portal layanan pelanggan dapat menghadapi risiko perubahan file apabila lingkungan server berhasil disalahgunakan.
Selain kemungkinan pencurian data, serangan berpotensi memengaruhi stabilitas website. Jika layanan terganggu, pengunjung mungkin gagal membuka halaman. Untuk perusahaan digital, gangguan tersebut dapat memengaruhi reputasi. Walaupun dampaknya perlu diwaspadai, instalasi rentan belum tentu sudah mengalami kompromi. Pemeriksaan log tetap diperlukan guna membedakan risiko dari serangan berhasil. Evaluasi berbasis bukti membantu administrator mengambil keputusan secara tepat.
Versi PHP Terbaru Menutup Dua Kerentanan Keamanan Kritis
Untuk menangani kedua kerentanan, tim keamanan PHP merilis rilis resmi yang telah mendapatkan patch. Pembaruan yang tersedia adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Seluruh versi tersebut ditujukan untuk memperbaiki dua celah awal PHP2Shell. Administrator instalasi PHP terdampak perlu memprioritaskan pemasangan patch, terutama apabila aplikasi beroperasi sebagai website publik. Tindakan perbaikan keamanan harus mencakup PHP yang benar-benar digunakan server, bukan hanya memperbarui aplikasi website.
Dalam lingkungan dengan PHP yang sudah melewati masa dukungan, pembaruan perlu direncanakan lebih cermat. Versi tersebut tidak memperoleh pembaruan reguler dari proyek utama PHP. Di sisi lain, penyedia pemeliharaan perangkat lunak tertentu dapat menyediakan paket keamanan khusus. Tim keamanan PHP juga menyediakan backport dasar untuk sejumlah rilis yang tidak lagi didukung. Walaupun ada jalur perbaikan sementara, pembaruan ke cabang aktif lebih baik untuk keamanan jangka panjang.
Strategi Keamanan untuk Administrator PHP dan Pengelola Hosting
Prioritas utama administrator adalah memeriksa versi PHP pada setiap layanan. Peninjauan harus memperhatikan server produksi, lingkungan pengujian, dan layanan pendukung. Hal ini penting karena layanan tambahan dapat memiliki runtime PHP tersendiri. Setelah versi diketahui, administrator harus memilih patch yang sesuai dengan lingkungan server. Sebelum pembaruan, rencana pemulihan sistem sebaiknya disiapkan. Sesudah proses pembaruan, layanan PHP perlu dimuat ulang atau dijalankan kembali.
Ketika server tidak bisa segera diperbarui, administrator dapat menerapkan pembatasan sementara berdasarkan panduan PHP. Dalam penanganan masalah out-of-memory, pengaturan memory_limit=-1 dapat mengurangi jalur serangan tertentu. Pengendalian volume data yang diterima juga dapat membantu mengurangi paparan. Untuk kerentanan berikutnya, penonaktifan session upload progress menjadi langkah mitigasi terhadap skenario khusus. Meski langkah tersebut bermanfaat, tidak satu pun mitigasi ini menggantikan patch. Oleh sebab itu, instalasi patch tidak boleh ditunda tanpa alasan kuat.
Untuk memperkuat pengamanan setelah pembaruan, administrator dianjurkan mengevaluasi rekaman permintaan web. Analisis keamanan ini dapat menunjukkan indikasi kompromi sistem. Indikator yang membutuhkan perhatian meliputi peluncuran shell secara tidak terduga, lalu lintas eksternal yang menyimpang, serta munculnya file yang tidak dikenali. Apabila ditemukan indikasi kompromi, sistem sebaiknya diisolasi sesuai prosedur respons insiden. Proses penanganan ini harus mempertimbangkan pergantian kredensial yang terdampak sesuai hasil investigasi.
Ancaman PHP2Shell Menegaskan Pentingnya Keamanan Server Web
Penemuan dua kerentanan kritis PHP menunjukkan kebutuhan mendesak dalam melindungi infrastruktur website. Kerentanan yang ditemukan memiliki risiko pengambilalihan proses server sehingga perbaikan runtime menjadi tindakan penting. Di luar pembaruan darurat tersebut, pada 23 Oktober 2026 pengembang PHP memberikan informasi mengenai jalur eksploitasi yang tidak biasa yang memiliki identifikasi CVE-2026-115560. Pada aplikasi dengan kombinasi pengaturan khusus, pengguna dianjurkan mengikuti pembatasan sementara yang diumumkan sampai perbaikan lanjutan tersedia. Dengan pengelolaan yang disiplin, perlindungan infrastruktur dapat diperkuat. Dari pengalaman Anda, apakah pemantauan aktivitas server sudah diterapkan secara konsisten pada layanan digital?
