Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.
Kerentanan PHP2Shell Menjadi Ancaman Serius bagi Keamanan Server Web
Nama PHP2Shell digunakan untuk menyebut dua kerentanan keamanan kritis yang memengaruhi lingkungan server web. Kedua kerentanan tersebut dikenali melalui nomor CVE-2026-109618 dan CVE-2026-109619. Keduanya mendapatkan nilai CVSS 4.0 sebesar 9,2 yang menunjukkan potensi dampak besar. Dampak terpenting adalah kemampuan penyerang mengeksekusi kode tanpa izin melalui interaksi jaringan yang mengeksploitasi kelemahan internal. Apabila server masih menggunakan PHP terdampak, pelaku tidak selalu memerlukan akun pengguna.
Pengembang PHP merilis perbaikan kritis pada 21 Oktober 2026 setelah mengembangkan perbaikan terhadap kerentanan. Respons keamanan tersebut mendorong tindakan cepat pengelola sistem karena PHP merupakan bahasa pemrograman populer untuk server. Portal yang menggunakan Drupal dapat memiliki potensi paparan jika server menggunakan versi terdampak. Meski demikian, masalah keamanan terjadi dalam runtime PHP, bukan semata-mata akibat plugin website. Dengan kondisi tersebut, pembaruan plugin tidak menggantikan perbaikan runtime PHP.
CVE-2026-109618 dan CVE-2026-109619 Memiliki Mekanisme Serangan Berbeda
Masalah yang diidentifikasi sebagai CVE-2026-109618 melibatkan kesalahan pengelolaan alokasi memori dalam mesin pemrosesan bahasa PHP. Saat sistem mengalami kegagalan alokasi memori, struktur internal tertentu mungkin belum siap digunakan. Masalah muncul ketika runtime memproses data internal yang tidak berada dalam keadaan semestinya. Kesalahan pengelolaan ini dapat menyebabkan kerusakan memori. Pada serangan yang memenuhi kondisi tertentu, penyerang dapat mencapai eksekusi kode jarak jauh.
Masalah keamanan berikutnya terjadi akibat penggunaan informasi internal yang sudah kedaluwarsa. Ketika PHP menangani aktivitas server, sebagian keadaan internal yang seharusnya dibersihkan dapat tetap tersimpan meskipun alokasi terkait telah dilepaskan. Jika permintaan berikutnya memakai keadaan tersebut, integritas memori berpotensi terganggu. Sepasang kerentanan ini menunjukkan risiko kesalahan pemrosesan tingkat rendah. Walaupun PHP banyak digunakan untuk pengembangan aplikasi, rangkaian pemrosesan dasarnya harus dirancang secara aman.
Dampak PHP2Shell terhadap Website dan Informasi Pengguna
Remote Code Execution atau RCE menjadi perhatian utama dalam keamanan server. Apabila eksploitasi berhasil, pelaku berpotensi menjalankan instruksi pada server. Besarnya dampak dipengaruhi tingkat kewenangan layanan yang diserang. Pada server dengan pengaturan keamanan lemah, file aplikasi berpotensi mengalami perubahan. Sebagai contoh, aplikasi administrasi bisnis dapat menghadapi risiko perubahan file apabila serangan berhasil mencapai komponen penting.
Selain kemungkinan pencurian data, eksploitasi server juga dapat mengganggu ketersediaan layanan. Jika layanan terganggu, aktivitas transaksi berpotensi terhambat. Untuk perusahaan digital, masalah keamanan berisiko menurunkan kepercayaan. Meski demikian, penemuan celah tidak otomatis menunjukkan keberhasilan serangan. Pemeriksaan log tetap dibutuhkan untuk memastikan kondisi sistem. Pendekatan tersebut membantu administrator mengambil keputusan secara tepat.
Pembaruan PHP Darurat Menjadi Perlindungan Utama terhadap PHP2Shell
Untuk menangani kedua kerentanan, tim keamanan PHP merilis sejumlah pembaruan keamanan penting. Versi yang direkomendasikan adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Masing-masing pembaruan memuat perbaikan terhadap dua kerentanan kritis yang diumumkan. Administrator instalasi PHP terdampak dianjurkan segera memperbarui runtime, terutama apabila aplikasi beroperasi sebagai website publik. Proses instalasi patch harus mencakup PHP yang benar-benar digunakan server, bukan hanya memperbarui aplikasi website.
Untuk PHP 8.1 dan versi lebih lama, pembaruan perlu direncanakan lebih cermat. Cabang PHP yang telah mencapai akhir masa dukungan berada di luar siklus dukungan keamanan resmi. Meskipun demikian, sejumlah penyedia sistem operasi dan layanan dukungan jangka panjang dapat menyediakan paket keamanan khusus. Tim keamanan PHP juga menyediakan patch sumber terbatas bagi beberapa cabang lama. Walaupun ada jalur perbaikan sementara, pembaruan ke cabang aktif lebih baik untuk keamanan jangka panjang.
Pencegahan Serangan PHP2Shell Melalui Pembaruan dan Pengawasan Server
Langkah pertama dalam perlindungan adalah mengidentifikasi seluruh instalasi PHP. Peninjauan harus memperhatikan sistem utama maupun layanan tersembunyi yang memakai PHP. Pendataan tersebut diperlukan karena sebuah organisasi dapat menggunakan PHP tanpa menyadarinya. Setelah versi diketahui, administrator perlu menerapkan paket keamanan dari penyedia resmi. Sebelum pembaruan, rencana pemulihan sistem sebaiknya disiapkan. Setelah patch dipasang, administrator perlu memastikan proses aktif memakai versi yang diperbaiki.
Apabila pembaruan belum dapat dilakukan, administrator dapat menerapkan pembatasan sementara berdasarkan panduan PHP. Dalam penanganan masalah out-of-memory, penyesuaian batas memori merupakan salah satu mitigasi yang disarankan. Pembatasan ukuran permintaan juga menjadi lapisan perlindungan tambahan. Sementara itu, pembatasan fitur kemajuan unggahan sesi dapat menutup kondisi eksploitasi tertentu. Namun, pembatasan konfigurasi tidak membuat sistem sepenuhnya aman. Dengan mempertimbangkan keterbatasannya, instalasi patch tidak boleh ditunda tanpa alasan kuat.
Untuk memperkuat pengamanan setelah pembaruan, administrator perlu meninjau log server. Kegiatan pemantauan tersebut dapat menunjukkan indikasi kompromi sistem. Indikator yang membutuhkan perhatian meliputi peluncuran shell secara tidak terduga, komunikasi jaringan menuju tujuan asing, serta perubahan file tanpa alasan jelas. Apabila ditemukan indikasi kompromi, administrator harus mengikuti kebijakan pemulihan organisasi. Pemulihan tersebut perlu mencakup pemeriksaan integritas data sesuai hasil investigasi.
Kesimpulan: Pembaruan PHP Menjadi Langkah Utama Mengatasi PHP2Shell
Penemuan dua kerentanan kritis PHP memperlihatkan tantangan besar dalam menjaga keamanan teknologi server. Kerentanan yang ditemukan memiliki risiko pengambilalihan proses server sehingga administrator perlu segera memasang patch. Sebagai perkembangan keamanan tambahan, pada 23 Oktober 2026 pengembang PHP mengungkap skenario lanjutan pada fitur kemajuan unggahan sesi yang memiliki identifikasi CVE-2026-115560. Dalam kondisi konfigurasi tertentu, pengguna disarankan menonaktifkan session.upload_progress.enabled sampai patch berikutnya diterbitkan. Berkat penerapan praktik keamanan yang tepat, perlindungan infrastruktur dapat diperkuat. Bagaimana pendapat Anda, apakah pengelolaan versi perangkat lunak sudah mendapat perhatian yang memadai dalam operasional server?
