Kerentanan PHP2Shell Picu Pembaruan Darurat PHP untuk Melindungi Server Web

Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.

Dua Celah Kritis PHP Memicu Peringatan Keamanan Siber

Nama PHP2Shell digunakan untuk menyebut dua kelemahan serius pada sistem pemrosesan PHP yang berpotensi mengancam aplikasi berbasis PHP. Masalah keamanan yang ditemukan memiliki identifikasi CVE-2026-109618 serta CVE-2026-109619. Keduanya mendapatkan peringkat kritis dengan skor 9,2 yang menandakan ancaman serius terhadap sistem. Dampak terpenting adalah potensi menjalankan perintah berbahaya dari luar server melalui permintaan web yang dirancang khusus. Dalam kondisi rentan, penyerang dapat mencoba serangan tanpa login.

Proyek PHP mengumumkan perbaikan kritis pada 21 Oktober 2026 setelah mengembangkan perbaikan terhadap kerentanan. Respons keamanan tersebut mendapat perhatian luas karena PHP menjadi fondasi berbagai website dinamis. Website berbasis WordPress dapat memiliki potensi paparan jika server menggunakan versi terdampak. Perlu dipahami, kerentanan ini berada pada mesin PHP, bukan hanya karena kesalahan tema aplikasi. Dengan kondisi tersebut, update aplikasi tanpa patch PHP belum menyelesaikan masalah.

Memahami Masalah Memori yang Menjadi Penyebab PHP2Shell

Masalah yang diidentifikasi sebagai CVE-2026-109618 muncul dari kelemahan pemrosesan out-of-memory dalam mesin pemrosesan bahasa PHP. Apabila permintaan memicu kondisi kehabisan memori, struktur internal tertentu mungkin belum siap digunakan. Masalah muncul ketika runtime memproses data internal yang tidak berada dalam keadaan semestinya. Gangguan pada struktur memori berpotensi mengganggu integritas proses. Apabila kelemahan berhasil dimanfaatkan, sistem bisa dipaksa mengeksekusi instruksi berbahaya.

Kerentanan kedua terjadi akibat penggunaan informasi internal yang sudah kedaluwarsa. Ketika PHP menangani aktivitas server, sebagian keadaan internal yang seharusnya dibersihkan dapat tetap tersimpan meskipun alokasi terkait telah dilepaskan. Jika permintaan berikutnya memakai keadaan tersebut, celah eksploitasi dapat terbuka. Dua kelemahan yang ditemukan memperlihatkan pentingnya pengelolaan memori. Meski bahasa PHP dikenal melalui pembuatan website, komponen internalnya tetap membutuhkan perlindungan memori.

Serangan Remote Code Execution Dapat Membahayakan Data Server

Remote Code Execution atau RCE termasuk kategori ancaman yang sangat berbahaya. Apabila eksploitasi berhasil, pelaku berpotensi menjalankan instruksi pada server. Cakupan penyalahgunaan ditentukan oleh konfigurasi dan izin sistem. Dalam lingkungan yang tidak terlindungi, data dan layanan mungkin menghadapi gangguan. Dalam skenario yang perlu diantisipasi, portal layanan pelanggan dapat mengalami gangguan operasional apabila penyerang memperoleh akses yang memadai.

Selain kemungkinan pencurian data, eksploitasi server juga dapat mengganggu ketersediaan layanan. Jika layanan terganggu, pelanggan dapat kesulitan menggunakan layanan. Bagi pengelola bisnis online, masalah keamanan berisiko menurunkan kepercayaan. Meski demikian, keberadaan kerentanan tidak membuktikan suatu server telah diretas. Peninjauan indikator keamanan tetap menjadi dasar penilaian kemungkinan insiden. Pendekatan tersebut mempermudah penanganan berdasarkan temuan nyata.

Pembaruan PHP Darurat Menjadi Perlindungan Utama terhadap PHP2Shell

Untuk menangani kedua kerentanan, tim keamanan PHP merilis sejumlah pembaruan keamanan penting. Pembaruan yang tersedia adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Keempat rilis keamanan itu ditujukan untuk memperbaiki dua celah awal PHP2Shell. Administrator instalasi PHP terdampak sebaiknya tidak menunda proses pembaruan, terutama apabila server dapat diakses melalui internet. Proses instalasi patch harus dipastikan terpasang pada lingkungan produksi, bukan hanya memperbarui aplikasi website.

Bagi instalasi yang menggunakan cabang PHP lama, pembaruan perlu direncanakan lebih cermat. Rilis lama yang tidak lagi didukung sudah tidak menerima patch rutin dari pengembang inti. Meskipun demikian, beberapa vendor distribusi Linux dapat menerbitkan patch bagi instalasi lama. Tim keamanan PHP juga menyediakan patch sumber terbatas bagi beberapa cabang lama. Namun, migrasi ke versi yang didukung tetap dianjurkan.

Strategi Keamanan untuk Administrator PHP dan Pengelola Hosting

Langkah pertama dalam perlindungan adalah memeriksa versi PHP pada setiap layanan. Inventarisasi perlu meliputi server produksi, lingkungan pengujian, dan layanan pendukung. Pemeriksaan menyeluruh dibutuhkan karena layanan tambahan dapat memiliki runtime PHP tersendiri. Ketika inventarisasi selesai, administrator harus memilih patch yang sesuai dengan lingkungan server. Untuk mengurangi risiko perubahan sistem, cadangan konfigurasi dan data penting sebaiknya tersedia. Ketika instalasi selesai, layanan PHP perlu dimuat ulang atau dijalankan kembali.

Jika terdapat kendala pemasangan patch, pengembang PHP menyediakan langkah mitigasi sementara. Dalam penanganan masalah out-of-memory, penyesuaian batas memori merupakan salah satu mitigasi yang disarankan. Pengaturan batas input HTTP juga menjadi lapisan perlindungan tambahan. Untuk kerentanan berikutnya, pengaturan session.upload_progress.enabled=0 menjadi langkah mitigasi terhadap skenario khusus. Namun, pembatasan konfigurasi tidak membuat sistem sepenuhnya aman. Oleh sebab itu, pemasangan versi yang diperbaiki merupakan tindakan utama.

Di samping memperbarui runtime, administrator perlu meninjau log server. Pemeriksaan tersebut bertujuan mengenali aktivitas tidak biasa. Aktivitas yang patut diperiksa meliputi peluncuran shell secara tidak terduga, lalu lintas eksternal yang menyimpang, serta perubahan file tanpa alasan jelas. Ketika aktivitas berbahaya teridentifikasi, sistem sebaiknya diisolasi sesuai prosedur respons insiden. Respons keamanan yang dilakukan dapat melibatkan pemulihan dari cadangan bersih sesuai kondisi keamanan sebenarnya.

Perlindungan Website Memerlukan Patch dan Pemantauan Berkelanjutan

Penemuan dua kerentanan kritis PHP memperlihatkan tantangan besar dalam menjaga keamanan teknologi server. Kedua celah tersebut dapat memungkinkan eksekusi kode tanpa autentikasi sehingga administrator perlu segera memasang patch. Selain dua celah awal, pada 23 Oktober 2026 pengembang PHP mengumumkan kondisi khusus terkait session upload progress yang tercatat dengan nomor CVE-2026-115560. Pada aplikasi dengan kombinasi pengaturan khusus, pengguna perlu mempertimbangkan mitigasi sesi sesuai panduan resmi sampai pembaruan tambahan dirilis. Berkat penerapan praktik keamanan yang tepat, perlindungan infrastruktur dapat diperkuat. Bagaimana pendapat Anda, apakah pemantauan aktivitas server sudah mendapat perhatian yang memadai dalam operasional server?