Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.
Kerentanan PHP2Shell Menjadi Ancaman Serius bagi Keamanan Server Web
Nama PHP2Shell digunakan untuk menyebut dua kerentanan keamanan kritis yang berpotensi mengancam aplikasi berbasis PHP. Masalah keamanan yang ditemukan terdaftar sebagai CVE-2026-109618 dan CVE-2026-109619. Masing-masing memperoleh skor keparahan 9,2 dari 10 yang menggambarkan tingkat risiko tinggi. Bahaya utamanya adalah kemampuan penyerang mengeksekusi kode tanpa izin melalui permintaan web yang dirancang khusus. Pada instalasi yang belum diperbaiki, pelaku tidak selalu memerlukan akun pengguna.
Proyek PHP mengumumkan pembaruan darurat pada 21 Oktober 2026 setelah mengembangkan perbaikan terhadap kerentanan. Respons keamanan tersebut mendorong tindakan cepat pengelola sistem karena PHP digunakan oleh banyak aplikasi web. Aplikasi web seperti Joomla dapat menghadapi risiko ketika lingkungan PHP belum diperbarui. Namun, celah tersebut berasal dari komponen internal PHP, bukan secara khusus disebabkan kode CMS tertentu. Sebagai konsekuensinya, update aplikasi tanpa patch PHP belum menyelesaikan masalah.
CVE-2026-109618 dan CVE-2026-109619 Memiliki Mekanisme Serangan Berbeda
Kerentanan pertama melibatkan kesalahan pengelolaan alokasi memori dalam sistem internal interpreter PHP. Apabila permintaan memicu kondisi kehabisan memori, sebagian data permintaan dapat berada dalam kondisi belum sepenuhnya terinisialisasi. Masalah muncul ketika runtime memproses data internal yang tidak berada dalam keadaan semestinya. Kesalahan pengelolaan ini dapat menyebabkan kerusakan memori. Apabila kelemahan berhasil dimanfaatkan, sistem bisa dipaksa mengeksekusi instruksi berbahaya.
Masalah keamanan berikutnya terjadi akibat penggunaan informasi internal yang sudah kedaluwarsa. Pada proses pengelolaan request, sebagian keadaan internal yang seharusnya dibersihkan dapat digunakan kembali setelah masa berlakunya berakhir. Ketika sistem kembali menggunakan referensi lama, gangguan keamanan dapat terjadi. Dua kelemahan yang ditemukan memperlihatkan pentingnya pengelolaan memori. Kendati PHP sering dipahami sebagai bahasa pemrograman web, rangkaian pemrosesan dasarnya harus dirancang secara aman.
Dampak PHP2Shell terhadap Website dan Informasi Pengguna
Eksekusi kode jarak jauh yang dikenal sebagai RCE merupakan salah satu risiko keamanan paling serius. Jika sistem benar-benar berhasil ditembus, pelaku berpotensi menjalankan instruksi pada server. Tingkat kerusakan dipengaruhi tingkat kewenangan layanan yang diserang. Pada server dengan pengaturan keamanan lemah, file aplikasi berpotensi mengalami perubahan. Untuk menggambarkan potensi dampaknya, aplikasi administrasi bisnis dapat berpotensi kehilangan kerahasiaan informasi apabila lingkungan server berhasil disalahgunakan.
Di samping ancaman terhadap kerahasiaan, eksploitasi server juga dapat mengganggu ketersediaan layanan. Ketika server mengalami gangguan, pelanggan dapat kesulitan menggunakan layanan. Untuk perusahaan digital, insiden server dapat mengganggu hubungan dengan pelanggan. Meski demikian, penemuan celah tidak otomatis menunjukkan keberhasilan serangan. Peninjauan indikator keamanan tetap menjadi dasar penilaian kemungkinan insiden. Evaluasi berbasis bukti membantu administrator mengambil keputusan secara tepat.
Versi PHP Terbaru Menutup Dua Kerentanan Keamanan Kritis
Untuk menangani kedua kerentanan, proyek PHP menerbitkan rilis resmi yang telah mendapatkan patch. Pembaruan yang tersedia adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Masing-masing pembaruan ditujukan untuk memperbaiki dua celah awal PHP2Shell. Pengguna versi lama dianjurkan segera memperbarui runtime, terutama apabila server dapat diakses melalui internet. Tindakan perbaikan keamanan harus dipastikan terpasang pada lingkungan produksi, bukan terbatas pada plugin maupun tema.
Untuk PHP 8.1 dan versi lebih lama, situasinya membutuhkan perhatian tambahan. Versi tersebut tidak memperoleh pembaruan reguler dari proyek utama PHP. Di sisi lain, sejumlah penyedia sistem operasi dan layanan dukungan jangka panjang dapat menyediakan paket keamanan khusus. Proyek PHP menyiapkan perbaikan sumber minimal untuk PHP 7.4, 8.0, dan 8.1. Meski tersedia alternatif tersebut, penggunaan runtime modern menjadi pilihan lebih berkelanjutan.
Langkah Melindungi Server Web dan Memantau Potensi Eksploitasi PHP2Shell
Prioritas utama administrator adalah mengidentifikasi seluruh instalasi PHP. Inventarisasi perlu meliputi website publik, aplikasi internal, serta komponen pihak ketiga. Hal ini penting karena komponen tertentu mungkin menjalankan PHP secara tidak langsung. Setelah versi diketahui, administrator harus memilih patch yang sesuai dengan lingkungan server. Sebagai persiapan pemeliharaan, rencana pemulihan sistem sebaiknya disiapkan. Sesudah proses pembaruan, layanan PHP perlu dimuat ulang atau dijalankan kembali.
Ketika server tidak bisa segera diperbarui, pengembang PHP menyediakan langkah mitigasi sementara. Dalam penanganan masalah out-of-memory, pengaturan memory_limit=-1 dapat mengurangi jalur serangan tertentu. Pengaturan batas input HTTP juga dapat membantu mengurangi paparan. Sementara itu, pengaturan session.upload_progress.enabled=0 membantu menghambat salah satu jalur yang diketahui. Meski langkah tersebut bermanfaat, pengaturan sementara belum memberikan perlindungan lengkap. Oleh sebab itu, instalasi patch tidak boleh ditunda tanpa alasan kuat.
Selain menerapkan patch, administrator sebaiknya memeriksa catatan aktivitas PHP. Kegiatan pemantauan tersebut membantu mengidentifikasi kemungkinan eksploitasi. Aktivitas yang patut diperiksa meliputi peluncuran shell secara tidak terduga, koneksi keluar yang tidak biasa, serta modifikasi berkas aplikasi yang tidak direncanakan. Jika terdapat bukti penyalahgunaan, sistem sebaiknya diisolasi sesuai prosedur respons insiden. Respons keamanan yang dilakukan dapat melibatkan pemulihan dari cadangan bersih sesuai tingkat kerusakan yang ditemukan.
Kesimpulan: Pembaruan PHP Menjadi Langkah Utama Mengatasi PHP2Shell
Penemuan dua kerentanan kritis PHP menunjukkan kebutuhan mendesak dalam memastikan ketahanan layanan digital. Kerentanan yang ditemukan berpotensi membuka akses kode jarak jauh sehingga pembaruan PHP harus menjadi prioritas. Selain dua celah awal, pada 23 Oktober 2026 pengembang PHP mengumumkan kondisi khusus terkait session upload progress yang dilacak sebagai CVE-2026-115560. Pada aplikasi dengan kombinasi pengaturan khusus, pengguna dianjurkan mengikuti pembatasan sementara yang diumumkan sampai pembaruan tambahan dirilis. Dengan pengelolaan yang disiplin, ketahanan server dapat ditingkatkan. Dari pengalaman Anda, apakah pemantauan aktivitas server sudah mendapat perhatian yang memadai dalam operasional server?
