Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.
Kerentanan PHP2Shell Menjadi Ancaman Serius bagi Keamanan Server Web
Istilah PHP2Shell merujuk pada sepasang celah berbahaya dalam PHP yang dapat membahayakan infrastruktur website. Masalah keamanan yang ditemukan dikenali melalui nomor CVE-2026-109618 dan CVE-2026-109619. Keduanya mendapatkan nilai CVSS 4.0 sebesar 9,2 yang menunjukkan potensi dampak besar. Bahaya utamanya adalah kemampuan penyerang mengeksekusi kode tanpa izin melalui permintaan web yang dirancang khusus. Pada instalasi yang belum diperbaiki, eksploitasi berpotensi terjadi tanpa autentikasi.
Pengembang PHP merilis rilis keamanan penting tanggal 21 Oktober 2026 setelah mengembangkan perbaikan terhadap kerentanan. Penerbitan pembaruan itu mendorong tindakan cepat pengelola sistem karena PHP merupakan bahasa pemrograman populer untuk server. Website berbasis WordPress dapat memiliki potensi paparan jika server menggunakan versi terdampak. Namun, masalah keamanan terjadi dalam runtime PHP, bukan secara khusus disebabkan kode CMS tertentu. Oleh karena itu, pembaruan plugin tidak menggantikan perbaikan runtime PHP.
CVE-2026-109618 dan CVE-2026-109619 Memiliki Mekanisme Serangan Berbeda
Kerentanan pertama muncul dari kelemahan pemrosesan out-of-memory dalam sistem internal interpreter PHP. Ketika proses pengalokasian memori gagal, informasi sementara dapat memiliki keadaan yang tidak lengkap. Kelemahan dapat muncul saat runtime memproses data internal yang tidak berada dalam keadaan semestinya. Gangguan pada struktur memori berpotensi mengganggu integritas proses. Dalam skenario eksploitasi, sistem bisa dipaksa mengeksekusi instruksi berbahaya.
Masalah keamanan berikutnya berkaitan dengan penggunaan keadaan internal yang sudah tidak valid. Pada proses pengelolaan request, sebagian keadaan internal yang seharusnya dibersihkan dapat tetap tersimpan meskipun alokasi terkait telah dilepaskan. Apabila pekerja server mengakses informasi yang sudah tidak valid, gangguan keamanan dapat terjadi. Sepasang kerentanan ini menggambarkan kerumitan keamanan runtime. Meski bahasa PHP dikenal melalui pembuatan website, mesin pelaksananya bergantung pada keamanan kode sistem.
Dampak PHP2Shell terhadap Website dan Informasi Pengguna
Kemampuan menjalankan kode dari lokasi berbeda termasuk kategori ancaman yang sangat berbahaya. Jika sistem benar-benar berhasil ditembus, pelaku berpotensi menjalankan instruksi pada server. Tingkat kerusakan dipengaruhi tingkat kewenangan layanan yang diserang. Dalam lingkungan yang tidak terlindungi, file aplikasi berpotensi mengalami perubahan. Sebagai contoh, aplikasi administrasi bisnis dapat menghadapi risiko perubahan file apabila lingkungan server berhasil disalahgunakan.
Di samping ancaman terhadap kerahasiaan, eksploitasi server juga dapat mengganggu ketersediaan layanan. Jika layanan terganggu, aktivitas transaksi berpotensi terhambat. Untuk perusahaan digital, gangguan tersebut dapat memengaruhi reputasi. Walaupun dampaknya perlu diwaspadai, instalasi rentan belum tentu sudah mengalami kompromi. Pemeriksaan log tetap diperlukan guna membedakan risiko dari serangan berhasil. Pendekatan tersebut mengurangi kesimpulan yang tidak didukung data.
Pembaruan PHP Darurat Menjadi Perlindungan Utama terhadap PHP2Shell
Sebagai solusi utama PHP2Shell, tim keamanan PHP merilis rilis resmi yang telah mendapatkan patch. Versi yang direkomendasikan adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Seluruh versi tersebut ditujukan untuk memperbaiki dua celah awal PHP2Shell. Pengelola layanan berbasis PHP sebaiknya tidak menunda proses pembaruan, terutama apabila aplikasi beroperasi sebagai website publik. Tindakan perbaikan keamanan harus mencakup PHP yang benar-benar digunakan server, bukan sekadar memasang pembaruan CMS.
Bagi instalasi yang menggunakan cabang PHP lama, pengelola harus memeriksa dukungan keamanan. Rilis lama yang tidak lagi didukung sudah tidak menerima patch rutin dari pengembang inti. Meskipun demikian, penyedia pemeliharaan perangkat lunak tertentu dapat menawarkan perbaikan melalui backport. Proyek PHP menyiapkan backport dasar untuk sejumlah rilis yang tidak lagi didukung. Namun, penggunaan runtime modern menjadi pilihan lebih berkelanjutan.
Strategi Keamanan untuk Administrator PHP dan Pengelola Hosting
Tindakan awal pengamanan adalah mendata runtime PHP yang digunakan. Inventarisasi perlu meliputi website publik, aplikasi internal, serta komponen pihak ketiga. Pemeriksaan menyeluruh dibutuhkan karena komponen tertentu mungkin menjalankan PHP secara tidak langsung. Sesudah lingkungan teridentifikasi, administrator harus memilih patch yang sesuai dengan lingkungan server. Untuk mengurangi risiko perubahan sistem, cadangan konfigurasi dan data penting sebaiknya tersedia. Sesudah proses pembaruan, administrator perlu memastikan proses aktif memakai versi yang diperbaiki.
Apabila pembaruan belum dapat dilakukan, pengembang PHP menyediakan langkah mitigasi sementara. Dalam penanganan masalah out-of-memory, penyesuaian batas memori merupakan salah satu mitigasi yang disarankan. Pembatasan ukuran permintaan juga menjadi lapisan perlindungan tambahan. Sementara itu, pembatasan fitur kemajuan unggahan sesi membantu menghambat salah satu jalur yang diketahui. Meski langkah tersebut bermanfaat, pembatasan konfigurasi tidak membuat sistem sepenuhnya aman. Dengan mempertimbangkan keterbatasannya, pembaruan runtime tetap harus diprioritaskan.
Selain menerapkan patch, administrator perlu meninjau log server. Pemeriksaan tersebut membantu mengidentifikasi kemungkinan eksploitasi. Indikator yang membutuhkan perhatian meliputi proses server menjalankan program yang tidak dikenal, komunikasi jaringan menuju tujuan asing, serta modifikasi berkas aplikasi yang tidak direncanakan. Ketika aktivitas berbahaya teridentifikasi, tim keamanan perlu menjalankan penanganan insiden. Proses penanganan ini dapat melibatkan pemulihan dari cadangan bersih sesuai tingkat kerusakan yang ditemukan.
Perlindungan Website Memerlukan Patch dan Pemantauan Berkelanjutan
Penemuan dua kerentanan kritis PHP menunjukkan kebutuhan mendesak dalam menjaga keamanan teknologi server. Kedua celah tersebut berpotensi membuka akses kode jarak jauh sehingga perbaikan runtime menjadi tindakan penting. Di luar pembaruan darurat tersebut, pada 23 Oktober 2026 pengembang PHP mengungkap skenario lanjutan pada fitur kemajuan unggahan sesi yang dilacak sebagai CVE-2026-115560. Dalam kondisi konfigurasi tertentu, pengguna disarankan menonaktifkan session.upload_progress.enabled sampai perbaikan lanjutan tersedia. Dengan pengelolaan yang disiplin, risiko serangan dapat ditekan. Dari pengalaman Anda, apakah pembaruan keamanan rutin sudah menjadi prioritas dalam pengelolaan website?
