Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.
Kerentanan PHP2Shell Menjadi Ancaman Serius bagi Keamanan Server Web
Nama PHP2Shell digunakan untuk menyebut dua kerentanan keamanan kritis yang berpotensi mengancam aplikasi berbasis PHP. Celah perangkat lunak tersebut memiliki identifikasi CVE-2026-109618 serta CVE-2026-109619. Keduanya mendapatkan nilai CVSS 4.0 sebesar 9,2 yang menandakan ancaman serius terhadap sistem. Risiko paling mengkhawatirkan adalah kemampuan penyerang mengeksekusi kode tanpa izin melalui pemrosesan permintaan HTTP tertentu. Apabila server masih menggunakan PHP terdampak, eksploitasi berpotensi terjadi tanpa autentikasi.
Tim keamanan PHP menerbitkan perbaikan kritis pada 21 Oktober 2026 setelah menyiapkan patch untuk masalah keamanan. Langkah ini mendorong tindakan cepat pengelola sistem karena PHP menjadi fondasi berbagai website dinamis. Website berbasis WordPress dapat menghadapi risiko ketika lingkungan PHP belum diperbarui. Namun, celah tersebut berasal dari komponen internal PHP, bukan semata-mata akibat plugin website. Sebagai konsekuensinya, memperbarui CMS saja tidak mencukupi.
CVE-2026-109618 dan CVE-2026-109619 Memiliki Mekanisme Serangan Berbeda
Masalah yang diidentifikasi sebagai CVE-2026-109618 melibatkan kesalahan pengelolaan alokasi memori dalam runtime PHP. Apabila permintaan memicu kondisi kehabisan memori, sebagian data permintaan dapat berada dalam kondisi belum sepenuhnya terinisialisasi. Risiko terjadi apabila runtime memproses data internal yang tidak berada dalam keadaan semestinya. Kesalahan pengelolaan ini dapat menyebabkan kerusakan memori. Apabila kelemahan berhasil dimanfaatkan, penyerang dapat mencapai eksekusi kode jarak jauh.
Masalah keamanan berikutnya berkaitan dengan penggunaan keadaan internal yang sudah tidak valid. Dalam pemrosesan permintaan, struktur global yang terkait permintaan tertentu dapat digunakan kembali setelah masa berlakunya berakhir. Apabila pekerja server mengakses informasi yang sudah tidak valid, integritas memori berpotensi terganggu. Dua kelemahan yang ditemukan menunjukkan risiko kesalahan pemrosesan tingkat rendah. Kendati PHP sering dipahami sebagai bahasa pemrograman web, komponen internalnya tetap membutuhkan perlindungan memori.
Risiko Pengambilalihan Sistem Akibat Kerentanan PHP
Kemampuan menjalankan kode dari lokasi berbeda termasuk kategori ancaman yang sangat berbahaya. Ketika penyerang memperoleh kemampuan tersebut, penyerang dapat mencoba melakukan tindakan tanpa otorisasi. Besarnya dampak dipengaruhi tingkat kewenangan layanan yang diserang. Dalam lingkungan yang tidak terlindungi, file aplikasi berpotensi mengalami perubahan. Untuk menggambarkan potensi dampaknya, portal layanan pelanggan dapat mengalami gangguan operasional apabila penyerang memperoleh akses yang memadai.
Tidak terbatas pada risiko kebocoran informasi, serangan berpotensi memengaruhi stabilitas website. Ketika server mengalami gangguan, pelanggan dapat kesulitan menggunakan layanan. Bagi pengelola bisnis online, insiden server dapat mengganggu hubungan dengan pelanggan. Namun, keberadaan kerentanan tidak membuktikan suatu server telah diretas. Analisis aktivitas server tetap menjadi dasar penilaian kemungkinan insiden. Evaluasi berbasis bukti mempermudah penanganan berdasarkan temuan nyata.
Administrator Server Diminta Segera Memasang Patch PHP
Dalam merespons ancaman keamanan tersebut, tim keamanan PHP merilis sejumlah pembaruan keamanan penting. Versi yang direkomendasikan adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Seluruh versi tersebut mengatasi CVE-2026-109618 dan CVE-2026-109619. Administrator instalasi PHP terdampak sebaiknya tidak menunda proses pembaruan, terutama apabila aplikasi beroperasi sebagai website publik. Tindakan perbaikan keamanan harus diterapkan pada runtime aktif, bukan hanya memperbarui aplikasi website.
Bagi instalasi yang menggunakan cabang PHP lama, pengelola harus memeriksa dukungan keamanan. Cabang PHP yang telah mencapai akhir masa dukungan sudah tidak menerima patch rutin dari pengembang inti. Di sisi lain, penyedia pemeliharaan perangkat lunak tertentu dapat menerbitkan patch bagi instalasi lama. Tim keamanan PHP juga menyediakan perbaikan sumber minimal untuk PHP 7.4, 8.0, dan 8.1. Walaupun ada jalur perbaikan sementara, migrasi ke versi yang didukung tetap dianjurkan.
Strategi Keamanan untuk Administrator PHP dan Pengelola Hosting
Prioritas utama administrator adalah memeriksa versi PHP pada setiap layanan. Peninjauan harus memperhatikan sistem utama maupun layanan tersembunyi yang memakai PHP. Pemeriksaan menyeluruh dibutuhkan karena komponen tertentu mungkin menjalankan PHP secara tidak langsung. Sesudah lingkungan teridentifikasi, administrator perlu menerapkan paket keamanan dari penyedia resmi. Sebelum pembaruan, rencana pemulihan sistem sebaiknya disiapkan. Setelah patch dipasang, administrator perlu memastikan proses aktif memakai versi yang diperbaiki.
Ketika server tidak bisa segera diperbarui, administrator dapat menerapkan pembatasan sementara berdasarkan panduan PHP. Pada kerentanan terkait kegagalan alokasi memori, perubahan batas memori dapat membantu menghambat kondisi eksploitasi khusus. Pengaturan batas input HTTP juga dapat membantu mengurangi paparan. Untuk kerentanan berikutnya, pembatasan fitur kemajuan unggahan sesi dapat menutup kondisi eksploitasi tertentu. Perlu ditegaskan, pengaturan sementara belum memberikan perlindungan lengkap. Karena itu, pemasangan versi yang diperbaiki merupakan tindakan utama.
Untuk memperkuat pengamanan setelah pembaruan, administrator dianjurkan mengevaluasi rekaman permintaan web. Pemeriksaan tersebut bertujuan mengenali aktivitas tidak biasa. Indikator yang membutuhkan perhatian meliputi aktivitas proses anak yang mencurigakan, lalu lintas eksternal yang menyimpang, serta munculnya file yang tidak dikenali. Ketika aktivitas berbahaya teridentifikasi, tim keamanan perlu menjalankan penanganan insiden. Proses penanganan ini harus mempertimbangkan pergantian kredensial yang terdampak sesuai hasil investigasi.
Ancaman PHP2Shell Menegaskan Pentingnya Keamanan Server Web
Kemunculan PHP2Shell menjadi pengingat penting dalam menjaga keamanan teknologi server. Kerentanan yang ditemukan berpotensi membuka akses kode jarak jauh sehingga pembaruan PHP harus menjadi prioritas. Sebagai perkembangan keamanan tambahan, pada 23 Oktober 2026 pengembang PHP memberikan informasi mengenai jalur eksploitasi yang tidak biasa yang memiliki identifikasi CVE-2026-115560. Dalam kondisi konfigurasi tertentu, pengguna perlu mempertimbangkan mitigasi sesi sesuai panduan resmi sampai pembaruan tambahan dirilis. Melalui pembaruan dan pemantauan berkelanjutan, perlindungan infrastruktur dapat diperkuat. Menurut Anda, apakah pengelolaan versi perangkat lunak sudah mendapat perhatian yang memadai dalam operasional server?
