Kerentanan PHP2Shell Picu Pembaruan Darurat PHP untuk Melindungi Server Web

Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.

Dua Celah Kritis PHP Memicu Peringatan Keamanan Siber

Istilah PHP2Shell merujuk pada sepasang celah berbahaya dalam PHP yang dapat membahayakan infrastruktur website. Kedua kerentanan tersebut terdaftar sebagai CVE-2026-109618 dan CVE-2026-109619. Keduanya mendapatkan peringkat kritis dengan skor 9,2 yang menggambarkan tingkat risiko tinggi. Dampak terpenting adalah potensi menjalankan perintah berbahaya dari luar server melalui pemrosesan permintaan HTTP tertentu. Pada instalasi yang belum diperbaiki, pelaku tidak selalu memerlukan akun pengguna.

Tim keamanan PHP menerbitkan perbaikan kritis pada 21 Oktober 2026 setelah menyelesaikan penanganan dua kelemahan tersebut. Penerbitan pembaruan itu mendapat perhatian luas karena PHP digunakan oleh banyak aplikasi web. Aplikasi web seperti Joomla dapat terdampak apabila menjalankan runtime PHP rentan. Meski demikian, celah tersebut berasal dari komponen internal PHP, bukan hanya karena kesalahan tema aplikasi. Sebagai konsekuensinya, update aplikasi tanpa patch PHP belum menyelesaikan masalah.

CVE-2026-109618 dan CVE-2026-109619 Memiliki Mekanisme Serangan Berbeda

Masalah yang diidentifikasi sebagai CVE-2026-109618 muncul dari kelemahan pemrosesan out-of-memory dalam mesin pemrosesan bahasa PHP. Apabila permintaan memicu kondisi kehabisan memori, informasi sementara dapat memiliki keadaan yang tidak lengkap. Kelemahan dapat muncul saat sistem menangani struktur yang belum terbentuk dengan benar. Gangguan pada struktur memori membuka peluang penyalahgunaan keadaan memori. Apabila kelemahan berhasil dimanfaatkan, pelaku berpotensi menjalankan kode tanpa izin.

Masalah keamanan berikutnya berkaitan dengan penggunaan keadaan internal yang sudah tidak valid. Pada proses pengelolaan request, struktur global yang terkait permintaan tertentu dapat tetap tersimpan meskipun alokasi terkait telah dilepaskan. Apabila pekerja server mengakses informasi yang sudah tidak valid, celah eksploitasi dapat terbuka. Dua kelemahan yang ditemukan menggambarkan kerumitan keamanan runtime. Meski bahasa PHP dikenal melalui pembuatan website, komponen internalnya tetap membutuhkan perlindungan memori.

Risiko Pengambilalihan Sistem Akibat Kerentanan PHP

Eksekusi kode jarak jauh yang dikenal sebagai RCE merupakan salah satu risiko keamanan paling serius. Apabila eksploitasi berhasil, kode berbahaya dapat dieksekusi dalam lingkungan terdampak. Cakupan penyalahgunaan dipengaruhi tingkat kewenangan layanan yang diserang. Apabila pembatasan akses tidak memadai, data dan layanan mungkin menghadapi gangguan. Dalam skenario yang perlu diantisipasi, website toko online dapat berpotensi kehilangan kerahasiaan informasi apabila serangan berhasil mencapai komponen penting.

Selain kemungkinan pencurian data, penyalahgunaan sistem bisa menyebabkan gangguan operasional. Ketika server mengalami gangguan, pengunjung mungkin gagal membuka halaman. Untuk perusahaan digital, gangguan tersebut dapat memengaruhi reputasi. Walaupun dampaknya perlu diwaspadai, keberadaan kerentanan tidak membuktikan suatu server telah diretas. Pemeriksaan log tetap menjadi dasar penilaian kemungkinan insiden. Langkah pemeriksaan ini membantu administrator mengambil keputusan secara tepat.

Administrator Server Diminta Segera Memasang Patch PHP

Dalam merespons ancaman keamanan tersebut, tim keamanan PHP merilis empat versi perbaikan utama. Pembaruan yang tersedia adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Masing-masing pembaruan ditujukan untuk memperbaiki dua celah awal PHP2Shell. Administrator instalasi PHP terdampak perlu memprioritaskan pemasangan patch, terutama apabila aplikasi beroperasi sebagai website publik. Proses instalasi patch harus diterapkan pada runtime aktif, bukan sekadar memasang pembaruan CMS.

Untuk PHP 8.1 dan versi lebih lama, situasinya membutuhkan perhatian tambahan. Versi tersebut berada di luar siklus dukungan keamanan resmi. Walaupun dukungan utama telah berakhir, sejumlah penyedia sistem operasi dan layanan dukungan jangka panjang dapat menyediakan paket keamanan khusus. Proyek PHP menyiapkan backport dasar untuk sejumlah rilis yang tidak lagi didukung. Walaupun ada jalur perbaikan sementara, pembaruan ke cabang aktif lebih baik untuk keamanan jangka panjang.

Langkah Melindungi Server Web dan Memantau Potensi Eksploitasi PHP2Shell

Prioritas utama administrator adalah mengidentifikasi seluruh instalasi PHP. Inventarisasi perlu meliputi sistem utama maupun layanan tersembunyi yang memakai PHP. Pendataan tersebut diperlukan karena layanan tambahan dapat memiliki runtime PHP tersendiri. Setelah versi diketahui, administrator dapat memasang pembaruan melalui mekanisme sistem operasi. Untuk mengurangi risiko perubahan sistem, cadangan konfigurasi dan data penting sebaiknya tersedia. Ketika instalasi selesai, administrator perlu memastikan proses aktif memakai versi yang diperbaiki.

Apabila pembaruan belum dapat dilakukan, administrator dapat menerapkan pembatasan sementara berdasarkan panduan PHP. Untuk CVE-2026-109618, penyesuaian batas memori merupakan salah satu mitigasi yang disarankan. Pembatasan ukuran permintaan juga dapat membantu mengurangi paparan. Pada jalur serangan yang berbeda, pembatasan fitur kemajuan unggahan sesi dapat menutup kondisi eksploitasi tertentu. Namun, pembatasan konfigurasi tidak membuat sistem sepenuhnya aman. Oleh sebab itu, pembaruan runtime tetap harus diprioritaskan.

Selain menerapkan patch, administrator perlu meninjau log server. Analisis keamanan ini membantu mengidentifikasi kemungkinan eksploitasi. Indikator yang membutuhkan perhatian meliputi peluncuran shell secara tidak terduga, komunikasi jaringan menuju tujuan asing, serta modifikasi berkas aplikasi yang tidak direncanakan. Jika terdapat bukti penyalahgunaan, sistem sebaiknya diisolasi sesuai prosedur respons insiden. Respons keamanan yang dilakukan dapat melibatkan pemulihan dari cadangan bersih sesuai tingkat kerusakan yang ditemukan.

Perlindungan Website Memerlukan Patch dan Pemantauan Berkelanjutan

Kemunculan PHP2Shell menjadi pengingat penting dalam melindungi infrastruktur website. Masalah keamanan ini memiliki risiko pengambilalihan proses server sehingga perbaikan runtime menjadi tindakan penting. Sebagai perkembangan keamanan tambahan, pada 23 Oktober 2026 pengembang PHP mengungkap skenario lanjutan pada fitur kemajuan unggahan sesi yang tercatat dengan nomor CVE-2026-115560. Dalam kondisi konfigurasi tertentu, pengguna disarankan menonaktifkan session.upload_progress.enabled sampai pembaruan tambahan dirilis. Dengan pengelolaan yang disiplin, risiko serangan dapat ditekan. Dari pengalaman Anda, apakah pengelolaan versi perangkat lunak sudah diterapkan secara konsisten pada layanan digital?