Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.
PHP2Shell Mengungkap Risiko Eksekusi Kode Jarak Jauh pada Server
Nama PHP2Shell digunakan untuk menyebut dua kelemahan serius pada sistem pemrosesan PHP yang berpotensi mengancam aplikasi berbasis PHP. Kedua kerentanan tersebut dikenali melalui nomor CVE-2026-109618 dan CVE-2026-109619. Setiap kerentanan memiliki skor keparahan 9,2 dari 10 yang menandakan ancaman serius terhadap sistem. Bahaya utamanya adalah potensi menjalankan perintah berbahaya dari luar server melalui permintaan web yang dirancang khusus. Dalam kondisi rentan, penyerang dapat mencoba serangan tanpa login.
Proyek PHP mengumumkan perbaikan kritis pada 21 Oktober 2026 setelah menyelesaikan penanganan dua kelemahan tersebut. Langkah ini mendorong tindakan cepat pengelola sistem karena PHP digunakan oleh banyak aplikasi web. Website berbasis WordPress dapat terdampak apabila menjalankan runtime PHP rentan. Namun, kerentanan ini berada pada mesin PHP, bukan secara khusus disebabkan kode CMS tertentu. Sebagai konsekuensinya, update aplikasi tanpa patch PHP belum menyelesaikan masalah.
Cara Dua Kerentanan PHP2Shell Mengancam Infrastruktur Website
Celah keamanan CVE-2026-109618 muncul dari kelemahan pemrosesan out-of-memory dalam sistem internal interpreter PHP. Apabila permintaan memicu kondisi kehabisan memori, informasi sementara dapat memiliki keadaan yang tidak lengkap. Risiko terjadi apabila proses pembersihan memperlakukan data tersebut sebagai informasi valid. Gangguan pada struktur memori dapat menyebabkan kerusakan memori. Apabila kelemahan berhasil dimanfaatkan, pelaku berpotensi menjalankan kode tanpa izin.
CVE-2026-109619 terjadi akibat penggunaan informasi internal yang sudah kedaluwarsa. Ketika PHP menangani aktivitas server, sebagian keadaan internal yang seharusnya dibersihkan dapat bertahan setelah memori pendukungnya dibebaskan. Jika permintaan berikutnya memakai keadaan tersebut, gangguan keamanan dapat terjadi. Kedua masalah tersebut menunjukkan risiko kesalahan pemrosesan tingkat rendah. Meski bahasa PHP dikenal melalui pembuatan website, rangkaian pemrosesan dasarnya harus dirancang secara aman.
Dampak PHP2Shell terhadap Website dan Informasi Pengguna
Remote Code Execution atau RCE merupakan salah satu risiko keamanan paling serius. Ketika penyerang memperoleh kemampuan tersebut, penyerang dapat mencoba melakukan tindakan tanpa otorisasi. Cakupan penyalahgunaan ditentukan oleh konfigurasi dan izin sistem. Apabila pembatasan akses tidak memadai, informasi sensitif dapat terancam. Untuk menggambarkan potensi dampaknya, website toko online dapat berpotensi kehilangan kerahasiaan informasi apabila serangan berhasil mencapai komponen penting.
Di samping ancaman terhadap kerahasiaan, serangan berpotensi memengaruhi stabilitas website. Jika layanan terganggu, aktivitas transaksi berpotensi terhambat. Untuk perusahaan digital, insiden server dapat mengganggu hubungan dengan pelanggan. Walaupun dampaknya perlu diwaspadai, instalasi rentan belum tentu sudah mengalami kompromi. Analisis aktivitas server tetap dibutuhkan untuk memastikan kondisi sistem. Pendekatan tersebut mempermudah penanganan berdasarkan temuan nyata.
Pembaruan PHP Darurat Menjadi Perlindungan Utama terhadap PHP2Shell
Dalam merespons ancaman keamanan tersebut, pengembang PHP menyediakan empat versi perbaikan utama. Pembaruan yang tersedia adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Seluruh versi tersebut ditujukan untuk memperbaiki dua celah awal PHP2Shell. Administrator instalasi PHP terdampak dianjurkan segera memperbarui runtime, terutama apabila server dapat diakses melalui internet. Proses instalasi patch harus diterapkan pada runtime aktif, bukan terbatas pada plugin maupun tema.
Bagi instalasi yang menggunakan cabang PHP lama, situasinya membutuhkan perhatian tambahan. Versi tersebut sudah tidak menerima patch rutin dari pengembang inti. Meskipun demikian, beberapa vendor distribusi Linux dapat menyediakan paket keamanan khusus. Pengembang inti turut menerbitkan perbaikan sumber minimal untuk PHP 7.4, 8.0, dan 8.1. Walaupun ada jalur perbaikan sementara, pembaruan ke cabang aktif lebih baik untuk keamanan jangka panjang.
Strategi Keamanan untuk Administrator PHP dan Pengelola Hosting
Prioritas utama administrator adalah mendata runtime PHP yang digunakan. Inventarisasi perlu meliputi website publik, aplikasi internal, serta komponen pihak ketiga. Hal ini penting karena layanan tambahan dapat memiliki runtime PHP tersendiri. Setelah versi diketahui, administrator perlu menerapkan paket keamanan dari penyedia resmi. Untuk mengurangi risiko perubahan sistem, cadangan konfigurasi dan data penting sebaiknya tersedia. Setelah patch dipasang, pekerja server harus menggunakan runtime terbaru.
Apabila pembaruan belum dapat dilakukan, tersedia sejumlah rekomendasi untuk mengurangi paparan. Dalam penanganan masalah out-of-memory, penyesuaian batas memori merupakan salah satu mitigasi yang disarankan. Pembatasan ukuran permintaan juga dapat membantu mengurangi paparan. Sementara itu, penonaktifan session upload progress menjadi langkah mitigasi terhadap skenario khusus. Perlu ditegaskan, tidak satu pun mitigasi ini menggantikan patch. Oleh sebab itu, pemasangan versi yang diperbaiki merupakan tindakan utama.
Selain menerapkan patch, administrator dianjurkan mengevaluasi rekaman permintaan web. Kegiatan pemantauan tersebut membantu mengidentifikasi kemungkinan eksploitasi. Indikator yang membutuhkan perhatian meliputi proses server menjalankan program yang tidak dikenal, komunikasi jaringan menuju tujuan asing, serta perubahan file tanpa alasan jelas. Apabila ditemukan indikasi kompromi, administrator harus mengikuti kebijakan pemulihan organisasi. Proses penanganan ini dapat melibatkan pemulihan dari cadangan bersih sesuai hasil investigasi.
Perlindungan Website Memerlukan Patch dan Pemantauan Berkelanjutan
Pengungkapan CVE-2026-109618 dan CVE-2026-109619 memperlihatkan tantangan besar dalam menjaga keamanan teknologi server. Masalah keamanan ini memiliki risiko pengambilalihan proses server sehingga administrator perlu segera memasang patch. Selain dua celah awal, pada 23 Oktober 2026 pengembang PHP memberikan informasi mengenai jalur eksploitasi yang tidak biasa yang tercatat dengan nomor CVE-2026-115560. Dalam kondisi konfigurasi tertentu, pengguna dianjurkan mengikuti pembatasan sementara yang diumumkan sampai patch berikutnya diterbitkan. Melalui pembaruan dan pemantauan berkelanjutan, risiko serangan dapat ditekan. Bagaimana pendapat Anda, apakah pembaruan keamanan rutin sudah menjadi prioritas dalam pengelolaan website?
