Kerentanan PHP2Shell Picu Pembaruan Darurat PHP untuk Melindungi Server Web

Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.

Dua Celah Kritis PHP Memicu Peringatan Keamanan Siber

PHP2Shell merupakan sepasang celah berbahaya dalam PHP yang dapat membahayakan infrastruktur website. Celah perangkat lunak tersebut memiliki identifikasi CVE-2026-109618 serta CVE-2026-109619. Setiap kerentanan memiliki nilai CVSS 4.0 sebesar 9,2 yang menunjukkan potensi dampak besar. Bahaya utamanya adalah kemampuan penyerang mengeksekusi kode tanpa izin melalui pemrosesan permintaan HTTP tertentu. Dalam kondisi rentan, pelaku tidak selalu memerlukan akun pengguna.

Tim keamanan PHP menerbitkan pembaruan darurat pada 21 Oktober 2026 setelah mengembangkan perbaikan terhadap kerentanan. Penerbitan pembaruan itu mendorong tindakan cepat pengelola sistem karena PHP digunakan oleh banyak aplikasi web. Portal yang menggunakan Drupal dapat memiliki potensi paparan jika server menggunakan versi terdampak. Meski demikian, celah tersebut berasal dari komponen internal PHP, bukan semata-mata akibat plugin website. Sebagai konsekuensinya, memperbarui CMS saja tidak mencukupi.

Memahami Masalah Memori yang Menjadi Penyebab PHP2Shell

Kerentanan pertama melibatkan kesalahan pengelolaan alokasi memori dalam mesin pemrosesan bahasa PHP. Apabila permintaan memicu kondisi kehabisan memori, informasi sementara dapat memiliki keadaan yang tidak lengkap. Kelemahan dapat muncul saat proses pembersihan memperlakukan data tersebut sebagai informasi valid. Kesalahan pengelolaan ini membuka peluang penyalahgunaan keadaan memori. Pada serangan yang memenuhi kondisi tertentu, penyerang dapat mencapai eksekusi kode jarak jauh.

Kerentanan kedua melibatkan referensi terhadap data yang telah dibebaskan dari memori. Ketika PHP menangani aktivitas server, struktur global yang terkait permintaan tertentu dapat digunakan kembali setelah masa berlakunya berakhir. Ketika sistem kembali menggunakan referensi lama, celah eksploitasi dapat terbuka. Dua kelemahan yang ditemukan menunjukkan risiko kesalahan pemrosesan tingkat rendah. Meski bahasa PHP dikenal melalui pembuatan website, rangkaian pemrosesan dasarnya harus dirancang secara aman.

Dampak PHP2Shell terhadap Website dan Informasi Pengguna

Kemampuan menjalankan kode dari lokasi berbeda menjadi perhatian utama dalam keamanan server. Ketika penyerang memperoleh kemampuan tersebut, penyerang dapat mencoba melakukan tindakan tanpa otorisasi. Besarnya dampak dipengaruhi tingkat kewenangan layanan yang diserang. Dalam lingkungan yang tidak terlindungi, informasi sensitif dapat terancam. Sebagai contoh, portal layanan pelanggan dapat berpotensi kehilangan kerahasiaan informasi apabila penyerang memperoleh akses yang memadai.

Selain kemungkinan pencurian data, eksploitasi server juga dapat mengganggu ketersediaan layanan. Jika layanan terganggu, aktivitas transaksi berpotensi terhambat. Bagi pengelola bisnis online, gangguan tersebut dapat memengaruhi reputasi. Meski demikian, penemuan celah tidak otomatis menunjukkan keberhasilan serangan. Analisis aktivitas server tetap dibutuhkan untuk memastikan kondisi sistem. Pendekatan tersebut mengurangi kesimpulan yang tidak didukung data.

Versi PHP Terbaru Menutup Dua Kerentanan Keamanan Kritis

Sebagai solusi utama PHP2Shell, proyek PHP menerbitkan rilis resmi yang telah mendapatkan patch. Rilis PHP yang memuat perbaikan adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Seluruh versi tersebut memuat perbaikan terhadap dua kerentanan kritis yang diumumkan. Pengguna versi lama dianjurkan segera memperbarui runtime, terutama apabila server dapat diakses melalui internet. Proses instalasi patch harus dipastikan terpasang pada lingkungan produksi, bukan hanya memperbarui aplikasi website.

Untuk PHP 8.1 dan versi lebih lama, pengelola harus memeriksa dukungan keamanan. Versi tersebut sudah tidak menerima patch rutin dari pengembang inti. Di sisi lain, beberapa vendor distribusi Linux dapat menyediakan paket keamanan khusus. Tim keamanan PHP juga menyediakan patch sumber terbatas bagi beberapa cabang lama. Meski tersedia alternatif tersebut, migrasi ke versi yang didukung tetap dianjurkan.

Pencegahan Serangan PHP2Shell Melalui Pembaruan dan Pengawasan Server

Tindakan awal pengamanan adalah memeriksa versi PHP pada setiap layanan. Inventarisasi perlu meliputi sistem utama maupun layanan tersembunyi yang memakai PHP. Pendataan tersebut diperlukan karena layanan tambahan dapat memiliki runtime PHP tersendiri. Ketika inventarisasi selesai, administrator dapat memasang pembaruan melalui mekanisme sistem operasi. Sebagai persiapan pemeliharaan, backup yang dapat dipulihkan perlu dipastikan. Sesudah proses pembaruan, layanan PHP perlu dimuat ulang atau dijalankan kembali.

Apabila pembaruan belum dapat dilakukan, pengembang PHP menyediakan langkah mitigasi sementara. Dalam penanganan masalah out-of-memory, pengaturan memory_limit=-1 dapat mengurangi jalur serangan tertentu. Pengaturan batas input HTTP juga berperan dalam membatasi permintaan berisiko. Pada jalur serangan yang berbeda, pengaturan session.upload_progress.enabled=0 menjadi langkah mitigasi terhadap skenario khusus. Meski langkah tersebut bermanfaat, pembatasan konfigurasi tidak membuat sistem sepenuhnya aman. Karena itu, instalasi patch tidak boleh ditunda tanpa alasan kuat.

Selain menerapkan patch, administrator sebaiknya memeriksa catatan aktivitas PHP. Analisis keamanan ini dapat menunjukkan indikasi kompromi sistem. Contoh temuan yang perlu ditelusuri meliputi aktivitas proses anak yang mencurigakan, lalu lintas eksternal yang menyimpang, serta modifikasi berkas aplikasi yang tidak direncanakan. Ketika aktivitas berbahaya teridentifikasi, administrator harus mengikuti kebijakan pemulihan organisasi. Proses penanganan ini harus mempertimbangkan pergantian kredensial yang terdampak sesuai tingkat kerusakan yang ditemukan.

Ancaman PHP2Shell Menegaskan Pentingnya Keamanan Server Web

Pengungkapan CVE-2026-109618 dan CVE-2026-109619 menunjukkan kebutuhan mendesak dalam menjaga keamanan teknologi server. Kerentanan yang ditemukan berpotensi membuka akses kode jarak jauh sehingga administrator perlu segera memasang patch. Selain dua celah awal, pada 23 Oktober 2026 pengembang PHP memberikan informasi mengenai jalur eksploitasi yang tidak biasa yang dilacak sebagai CVE-2026-115560. Pada aplikasi dengan kombinasi pengaturan khusus, pengguna disarankan menonaktifkan session.upload_progress.enabled sampai perbaikan lanjutan tersedia. Berkat penerapan praktik keamanan yang tepat, ketahanan server dapat ditingkatkan. Menurut Anda, apakah pembaruan keamanan rutin sudah menjadi prioritas dalam pengelolaan website?