Kerentanan PHP2Shell Picu Pembaruan Darurat PHP untuk Melindungi Server Web

Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.

PHP2Shell Mengungkap Risiko Eksekusi Kode Jarak Jauh pada Server

PHP2Shell merupakan sepasang celah berbahaya dalam PHP yang dapat membahayakan infrastruktur website. Celah perangkat lunak tersebut terdaftar sebagai CVE-2026-109618 dan CVE-2026-109619. Masing-masing memperoleh nilai CVSS 4.0 sebesar 9,2 yang menunjukkan potensi dampak besar. Dampak terpenting adalah kemungkinan eksekusi kode jarak jauh melalui pemrosesan permintaan HTTP tertentu. Pada instalasi yang belum diperbaiki, penyerang dapat mencoba serangan tanpa login.

Tim keamanan PHP menerbitkan perbaikan kritis pada 21 Oktober 2026 setelah menyiapkan patch untuk masalah keamanan. Respons keamanan tersebut mendorong tindakan cepat pengelola sistem karena PHP menjadi fondasi berbagai website dinamis. Portal yang menggunakan Drupal dapat memiliki potensi paparan jika server menggunakan versi terdampak. Perlu dipahami, masalah keamanan terjadi dalam runtime PHP, bukan secara khusus disebabkan kode CMS tertentu. Sebagai konsekuensinya, pembaruan plugin tidak menggantikan perbaikan runtime PHP.

Cara Dua Kerentanan PHP2Shell Mengancam Infrastruktur Website

Masalah yang diidentifikasi sebagai CVE-2026-109618 berkaitan dengan penanganan kondisi kehabisan memori dalam runtime PHP. Ketika proses pengalokasian memori gagal, sebagian data permintaan dapat berada dalam kondisi belum sepenuhnya terinisialisasi. Risiko terjadi apabila proses pembersihan memperlakukan data tersebut sebagai informasi valid. Kondisi tersebut berpotensi mengganggu integritas proses. Dalam skenario eksploitasi, sistem bisa dipaksa mengeksekusi instruksi berbahaya.

CVE-2026-109619 melibatkan referensi terhadap data yang telah dibebaskan dari memori. Pada proses pengelolaan request, informasi sementara milik permintaan sebelumnya dapat digunakan kembali setelah masa berlakunya berakhir. Jika permintaan berikutnya memakai keadaan tersebut, integritas memori berpotensi terganggu. Dua kelemahan yang ditemukan memperlihatkan pentingnya pengelolaan memori. Kendati PHP sering dipahami sebagai bahasa pemrograman web, mesin pelaksananya bergantung pada keamanan kode sistem.

Risiko Pengambilalihan Sistem Akibat Kerentanan PHP

Remote Code Execution atau RCE merupakan salah satu risiko keamanan paling serius. Apabila eksploitasi berhasil, kode berbahaya dapat dieksekusi dalam lingkungan terdampak. Besarnya dampak bergantung pada hak akses proses PHP. Apabila pembatasan akses tidak memadai, informasi sensitif dapat terancam. Untuk menggambarkan potensi dampaknya, aplikasi administrasi bisnis dapat menghadapi risiko perubahan file apabila lingkungan server berhasil disalahgunakan.

Tidak terbatas pada risiko kebocoran informasi, eksploitasi server juga dapat mengganggu ketersediaan layanan. Ketika server mengalami gangguan, pelanggan dapat kesulitan menggunakan layanan. Dalam organisasi yang mengandalkan website, masalah keamanan berisiko menurunkan kepercayaan. Namun, keberadaan kerentanan tidak membuktikan suatu server telah diretas. Analisis aktivitas server tetap diperlukan guna membedakan risiko dari serangan berhasil. Langkah pemeriksaan ini membantu administrator mengambil keputusan secara tepat.

Pembaruan PHP Darurat Menjadi Perlindungan Utama terhadap PHP2Shell

Untuk menangani kedua kerentanan, tim keamanan PHP merilis sejumlah pembaruan keamanan penting. Pembaruan yang tersedia adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Seluruh versi tersebut mengatasi CVE-2026-109618 dan CVE-2026-109619. Administrator instalasi PHP terdampak dianjurkan segera memperbarui runtime, terutama apabila server dapat diakses melalui internet. Tindakan perbaikan keamanan harus dipastikan terpasang pada lingkungan produksi, bukan sekadar memasang pembaruan CMS.

Dalam lingkungan dengan PHP yang sudah melewati masa dukungan, pengelola harus memeriksa dukungan keamanan. Rilis lama yang tidak lagi didukung berada di luar siklus dukungan keamanan resmi. Walaupun dukungan utama telah berakhir, sejumlah penyedia sistem operasi dan layanan dukungan jangka panjang dapat menawarkan perbaikan melalui backport. Pengembang inti turut menerbitkan backport dasar untuk sejumlah rilis yang tidak lagi didukung. Meski tersedia alternatif tersebut, pembaruan ke cabang aktif lebih baik untuk keamanan jangka panjang.

Langkah Melindungi Server Web dan Memantau Potensi Eksploitasi PHP2Shell

Tindakan awal pengamanan adalah memeriksa versi PHP pada setiap layanan. Peninjauan harus memperhatikan website publik, aplikasi internal, serta komponen pihak ketiga. Pendataan tersebut diperlukan karena sebuah organisasi dapat menggunakan PHP tanpa menyadarinya. Setelah versi diketahui, administrator perlu menerapkan paket keamanan dari penyedia resmi. Sebelum pembaruan, backup yang dapat dipulihkan perlu dipastikan. Sesudah proses pembaruan, layanan PHP perlu dimuat ulang atau dijalankan kembali.

Apabila pembaruan belum dapat dilakukan, pengembang PHP menyediakan langkah mitigasi sementara. Untuk CVE-2026-109618, penyesuaian batas memori merupakan salah satu mitigasi yang disarankan. Pengaturan batas input HTTP juga dapat membantu mengurangi paparan. Sementara itu, pembatasan fitur kemajuan unggahan sesi menjadi langkah mitigasi terhadap skenario khusus. Namun, pembatasan konfigurasi tidak membuat sistem sepenuhnya aman. Karena itu, pemasangan versi yang diperbaiki merupakan tindakan utama.

Untuk memperkuat pengamanan setelah pembaruan, administrator dianjurkan mengevaluasi rekaman permintaan web. Kegiatan pemantauan tersebut bertujuan mengenali aktivitas tidak biasa. Indikator yang membutuhkan perhatian meliputi peluncuran shell secara tidak terduga, lalu lintas eksternal yang menyimpang, serta munculnya file yang tidak dikenali. Jika terdapat bukti penyalahgunaan, administrator harus mengikuti kebijakan pemulihan organisasi. Pemulihan tersebut dapat melibatkan pemulihan dari cadangan bersih sesuai kondisi keamanan sebenarnya.

Ancaman PHP2Shell Menegaskan Pentingnya Keamanan Server Web

Kemunculan PHP2Shell memperlihatkan tantangan besar dalam memastikan ketahanan layanan digital. Kerentanan yang ditemukan memiliki risiko pengambilalihan proses server sehingga pembaruan PHP harus menjadi prioritas. Di luar pembaruan darurat tersebut, pada 23 Oktober 2026 pengembang PHP mengungkap skenario lanjutan pada fitur kemajuan unggahan sesi yang dilacak sebagai CVE-2026-115560. Untuk skenario yang memenuhi persyaratan tertentu, pengguna disarankan menonaktifkan session.upload_progress.enabled sampai patch berikutnya diterbitkan. Dengan pengelolaan yang disiplin, perlindungan infrastruktur dapat diperkuat. Menurut Anda, apakah pembaruan keamanan rutin sudah menjadi prioritas dalam pengelolaan website?