Kerentanan PHP2Shell Picu Pembaruan Darurat PHP untuk Melindungi Server Web
Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.
PHP2Shell Mengungkap Risiko Eksekusi Kode Jarak Jauh pada Server
Nama PHP2Shell digunakan untuk menyebut sepasang celah berbahaya dalam PHP yang berpotensi mengancam aplikasi berbasis PHP. Masalah keamanan yang ditemukan memiliki identifikasi CVE-2026-109618 serta CVE-2026-109619. Masing-masing memperoleh peringkat kritis dengan skor 9,2 yang menggambarkan tingkat risiko tinggi. Dampak terpenting adalah kemungkinan eksekusi kode jarak jauh melalui interaksi jaringan yang mengeksploitasi kelemahan internal. Apabila server masih menggunakan PHP terdampak, eksploitasi berpotensi terjadi tanpa autentikasi.
Proyek PHP mengumumkan rilis keamanan penting tanggal 21 Oktober 2026 setelah menyiapkan patch untuk masalah keamanan. Respons keamanan tersebut mendapat perhatian luas karena PHP digunakan oleh banyak aplikasi web. Portal yang menggunakan Drupal dapat terdampak apabila menjalankan runtime PHP rentan. Meski demikian, kerentanan ini berada pada mesin PHP, bukan hanya karena kesalahan tema aplikasi. Sebagai konsekuensinya, pembaruan plugin tidak menggantikan perbaikan runtime PHP.
CVE-2026-109618 dan CVE-2026-109619 Memiliki Mekanisme Serangan Berbeda
Celah keamanan CVE-2026-109618 berkaitan dengan penanganan kondisi kehabisan memori dalam mesin pemrosesan bahasa PHP. Apabila permintaan memicu kondisi kehabisan memori, sebagian data permintaan dapat berada dalam kondisi belum sepenuhnya terinisialisasi. Masalah muncul ketika sistem menangani struktur yang belum terbentuk dengan benar. Kondisi tersebut dapat menyebabkan kerusakan memori. Pada serangan yang memenuhi kondisi tertentu, sistem bisa dipaksa mengeksekusi instruksi berbahaya.
Masalah keamanan berikutnya terjadi akibat penggunaan informasi internal yang sudah kedaluwarsa. Dalam pemrosesan permintaan, struktur global yang terkait permintaan tertentu dapat bertahan setelah memori pendukungnya dibebaskan. Jika permintaan berikutnya memakai keadaan tersebut, integritas memori berpotensi terganggu. Sepasang kerentanan ini menunjukkan risiko kesalahan pemrosesan tingkat rendah. Walaupun PHP banyak digunakan untuk pengembangan aplikasi, komponen internalnya tetap membutuhkan perlindungan memori.
Dampak PHP2Shell terhadap Website dan Informasi Pengguna
Eksekusi kode jarak jauh yang dikenal sebagai RCE menjadi perhatian utama dalam keamanan server. Ketika penyerang memperoleh kemampuan tersebut, penyerang dapat mencoba melakukan tindakan tanpa otorisasi. Besarnya dampak ditentukan oleh konfigurasi dan izin sistem. Pada server dengan pengaturan keamanan lemah, data dan layanan mungkin menghadapi gangguan. Sebagai contoh, website toko online dapat menghadapi risiko perubahan file apabila serangan berhasil mencapai komponen penting.
Di samping ancaman terhadap kerahasiaan, serangan berpotensi memengaruhi stabilitas website. Ketika server mengalami gangguan, aktivitas transaksi berpotensi terhambat. Bagi pengelola bisnis online, masalah keamanan berisiko menurunkan kepercayaan. Walaupun dampaknya perlu diwaspadai, instalasi rentan belum tentu sudah mengalami kompromi. Pemeriksaan log tetap dibutuhkan untuk memastikan kondisi sistem. Evaluasi berbasis bukti mengurangi kesimpulan yang tidak didukung data.
Versi PHP Terbaru Menutup Dua Kerentanan Keamanan Kritis
Dalam merespons ancaman keamanan tersebut, tim keamanan PHP merilis rilis resmi yang telah mendapatkan patch. Rilis PHP yang memuat perbaikan adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Masing-masing pembaruan ditujukan untuk memperbaiki dua celah awal PHP2Shell. Pengelola layanan berbasis PHP sebaiknya tidak menunda proses pembaruan, terutama apabila aplikasi beroperasi sebagai website publik. Tindakan perbaikan keamanan harus dipastikan terpasang pada lingkungan produksi, bukan terbatas pada plugin maupun tema.
Dalam lingkungan dengan PHP yang sudah melewati masa dukungan, pembaruan perlu direncanakan lebih cermat. Cabang PHP yang telah mencapai akhir masa dukungan tidak memperoleh pembaruan reguler dari proyek utama PHP. Di sisi lain, penyedia pemeliharaan perangkat lunak tertentu dapat menyediakan paket keamanan khusus. Pengembang inti turut menerbitkan backport dasar untuk sejumlah rilis yang tidak lagi didukung. Namun, penggunaan runtime modern menjadi pilihan lebih berkelanjutan.
Pencegahan Serangan PHP2Shell Melalui Pembaruan dan Pengawasan Server
Prioritas utama administrator adalah mendata runtime PHP yang digunakan. Inventarisasi perlu meliputi server produksi, lingkungan pengujian, dan layanan pendukung. Pendataan tersebut diperlukan karena komponen tertentu mungkin menjalankan PHP secara tidak langsung. Setelah versi diketahui, administrator dapat memasang pembaruan melalui mekanisme sistem operasi. Sebelum pembaruan, rencana pemulihan sistem sebaiknya disiapkan. Ketika instalasi selesai, administrator perlu memastikan proses aktif memakai versi yang diperbaiki.
Ketika server tidak bisa segera diperbarui, administrator dapat menerapkan pembatasan sementara berdasarkan panduan PHP. Untuk CVE-2026-109618, penyesuaian batas memori merupakan salah satu mitigasi yang disarankan. Pembatasan ukuran permintaan juga berperan dalam membatasi permintaan berisiko. Pada jalur serangan yang berbeda, pembatasan fitur kemajuan unggahan sesi membantu menghambat salah satu jalur yang diketahui. Perlu ditegaskan, tidak satu pun mitigasi ini menggantikan patch. Dengan mempertimbangkan keterbatasannya, pemasangan versi yang diperbaiki merupakan tindakan utama.
Di samping memperbarui runtime, administrator dianjurkan mengevaluasi rekaman permintaan web. Analisis keamanan ini membantu mengidentifikasi kemungkinan eksploitasi. Indikator yang membutuhkan perhatian meliputi peluncuran shell secara tidak terduga, komunikasi jaringan menuju tujuan asing, serta munculnya file yang tidak dikenali. Ketika aktivitas berbahaya teridentifikasi, tim keamanan perlu menjalankan penanganan insiden. Proses penanganan ini harus mempertimbangkan pergantian kredensial yang terdampak sesuai tingkat kerusakan yang ditemukan.
Ancaman PHP2Shell Menegaskan Pentingnya Keamanan Server Web
Kemunculan PHP2Shell menjadi pengingat penting dalam melindungi infrastruktur website. Kedua celah tersebut dapat memungkinkan eksekusi kode tanpa autentikasi sehingga pembaruan PHP harus menjadi prioritas. Di luar pembaruan darurat tersebut, pada 23 Oktober 2026 pengembang PHP memberikan informasi mengenai jalur eksploitasi yang tidak biasa yang tercatat dengan nomor CVE-2026-115560. Dalam kondisi konfigurasi tertentu, pengguna dianjurkan mengikuti pembatasan sementara yang diumumkan sampai perbaikan lanjutan tersedia. Berkat penerapan praktik keamanan yang tepat, risiko serangan dapat ditekan. Bagaimana pendapat Anda, apakah pembaruan keamanan rutin sudah diterapkan secara konsisten pada layanan digital?
