Kerentanan PHP2Shell Picu Pembaruan Darurat PHP untuk Melindungi Server Web

Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.

Dua Celah Kritis PHP Memicu Peringatan Keamanan Siber

Istilah PHP2Shell merujuk pada dua kerentanan keamanan kritis yang dapat membahayakan infrastruktur website. Celah perangkat lunak tersebut terdaftar sebagai CVE-2026-109618 dan CVE-2026-109619. Masing-masing memperoleh nilai CVSS 4.0 sebesar 9,2 yang menandakan ancaman serius terhadap sistem. Risiko paling mengkhawatirkan adalah kemungkinan eksekusi kode jarak jauh melalui pemrosesan permintaan HTTP tertentu. Pada instalasi yang belum diperbaiki, penyerang dapat mencoba serangan tanpa login.

Proyek PHP mengumumkan perbaikan kritis pada 21 Oktober 2026 setelah menyiapkan patch untuk masalah keamanan. Respons keamanan tersebut mendapat perhatian luas karena PHP digunakan oleh banyak aplikasi web. Website berbasis WordPress dapat terdampak apabila menjalankan runtime PHP rentan. Perlu dipahami, celah tersebut berasal dari komponen internal PHP, bukan semata-mata akibat plugin website. Sebagai konsekuensinya, memperbarui CMS saja tidak mencukupi.

Cara Dua Kerentanan PHP2Shell Mengancam Infrastruktur Website

Masalah yang diidentifikasi sebagai CVE-2026-109618 melibatkan kesalahan pengelolaan alokasi memori dalam sistem internal interpreter PHP. Apabila permintaan memicu kondisi kehabisan memori, sebagian data permintaan dapat berada dalam kondisi belum sepenuhnya terinisialisasi. Risiko terjadi apabila proses pembersihan memperlakukan data tersebut sebagai informasi valid. Kesalahan pengelolaan ini membuka peluang penyalahgunaan keadaan memori. Pada serangan yang memenuhi kondisi tertentu, sistem bisa dipaksa mengeksekusi instruksi berbahaya.

Kerentanan kedua terjadi akibat penggunaan informasi internal yang sudah kedaluwarsa. Pada proses pengelolaan request, struktur global yang terkait permintaan tertentu dapat digunakan kembali setelah masa berlakunya berakhir. Jika permintaan berikutnya memakai keadaan tersebut, gangguan keamanan dapat terjadi. Dua kelemahan yang ditemukan menunjukkan risiko kesalahan pemrosesan tingkat rendah. Meski bahasa PHP dikenal melalui pembuatan website, rangkaian pemrosesan dasarnya harus dirancang secara aman.

Dampak PHP2Shell terhadap Website dan Informasi Pengguna

Remote Code Execution atau RCE merupakan salah satu risiko keamanan paling serius. Jika sistem benar-benar berhasil ditembus, penyerang dapat mencoba melakukan tindakan tanpa otorisasi. Tingkat kerusakan ditentukan oleh konfigurasi dan izin sistem. Apabila pembatasan akses tidak memadai, data dan layanan mungkin menghadapi gangguan. Untuk menggambarkan potensi dampaknya, portal layanan pelanggan dapat berpotensi kehilangan kerahasiaan informasi apabila serangan berhasil mencapai komponen penting.

Selain kemungkinan pencurian data, penyalahgunaan sistem bisa menyebabkan gangguan operasional. Ketika server mengalami gangguan, aktivitas transaksi berpotensi terhambat. Bagi pengelola bisnis online, insiden server dapat mengganggu hubungan dengan pelanggan. Walaupun dampaknya perlu diwaspadai, penemuan celah tidak otomatis menunjukkan keberhasilan serangan. Analisis aktivitas server tetap menjadi dasar penilaian kemungkinan insiden. Pendekatan tersebut membantu administrator mengambil keputusan secara tepat.

Versi PHP Terbaru Menutup Dua Kerentanan Keamanan Kritis

Dalam merespons ancaman keamanan tersebut, proyek PHP menerbitkan sejumlah pembaruan keamanan penting. Rilis PHP yang memuat perbaikan adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Masing-masing pembaruan ditujukan untuk memperbaiki dua celah awal PHP2Shell. Pengelola layanan berbasis PHP sebaiknya tidak menunda proses pembaruan, terutama apabila aplikasi beroperasi sebagai website publik. Tindakan perbaikan keamanan harus mencakup PHP yang benar-benar digunakan server, bukan sekadar memasang pembaruan CMS.

Untuk PHP 8.1 dan versi lebih lama, pengelola harus memeriksa dukungan keamanan. Versi tersebut sudah tidak menerima patch rutin dari pengembang inti. Walaupun dukungan utama telah berakhir, penyedia pemeliharaan perangkat lunak tertentu dapat menerbitkan patch bagi instalasi lama. Pengembang inti turut menerbitkan perbaikan sumber minimal untuk PHP 7.4, 8.0, dan 8.1. Walaupun ada jalur perbaikan sementara, penggunaan runtime modern menjadi pilihan lebih berkelanjutan.

Langkah Melindungi Server Web dan Memantau Potensi Eksploitasi PHP2Shell

Prioritas utama administrator adalah memeriksa versi PHP pada setiap layanan. Pemeriksaan sebaiknya mencakup server produksi, lingkungan pengujian, dan layanan pendukung. Pendataan tersebut diperlukan karena layanan tambahan dapat memiliki runtime PHP tersendiri. Sesudah lingkungan teridentifikasi, administrator harus memilih patch yang sesuai dengan lingkungan server. Sebelum pembaruan, cadangan konfigurasi dan data penting sebaiknya tersedia. Ketika instalasi selesai, layanan PHP perlu dimuat ulang atau dijalankan kembali.

Jika terdapat kendala pemasangan patch, tersedia sejumlah rekomendasi untuk mengurangi paparan. Untuk CVE-2026-109618, perubahan batas memori dapat membantu menghambat kondisi eksploitasi khusus. Pengaturan batas input HTTP juga dapat membantu mengurangi paparan. Untuk kerentanan berikutnya, pengaturan session.upload_progress.enabled=0 dapat menutup kondisi eksploitasi tertentu. Namun, pembatasan konfigurasi tidak membuat sistem sepenuhnya aman. Oleh sebab itu, pemasangan versi yang diperbaiki merupakan tindakan utama.

Di samping memperbarui runtime, administrator sebaiknya memeriksa catatan aktivitas PHP. Pemeriksaan tersebut bertujuan mengenali aktivitas tidak biasa. Aktivitas yang patut diperiksa meliputi proses server menjalankan program yang tidak dikenal, lalu lintas eksternal yang menyimpang, serta munculnya file yang tidak dikenali. Apabila ditemukan indikasi kompromi, administrator harus mengikuti kebijakan pemulihan organisasi. Pemulihan tersebut harus mempertimbangkan pergantian kredensial yang terdampak sesuai tingkat kerusakan yang ditemukan.

Kesimpulan: Pembaruan PHP Menjadi Langkah Utama Mengatasi PHP2Shell

Kemunculan PHP2Shell menunjukkan kebutuhan mendesak dalam memastikan ketahanan layanan digital. Kerentanan yang ditemukan dapat memungkinkan eksekusi kode tanpa autentikasi sehingga administrator perlu segera memasang patch. Sebagai perkembangan keamanan tambahan, pada 23 Oktober 2026 pengembang PHP memberikan informasi mengenai jalur eksploitasi yang tidak biasa yang dilacak sebagai CVE-2026-115560. Untuk skenario yang memenuhi persyaratan tertentu, pengguna disarankan menonaktifkan session.upload_progress.enabled sampai pembaruan tambahan dirilis. Berkat penerapan praktik keamanan yang tepat, perlindungan infrastruktur dapat diperkuat. Bagaimana pendapat Anda, apakah pemantauan aktivitas server sudah diterapkan secara konsisten pada layanan digital?