Kerentanan PHP2Shell Picu Pembaruan Darurat PHP untuk Melindungi Server Web

Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.

PHP2Shell Mengungkap Risiko Eksekusi Kode Jarak Jauh pada Server

PHP2Shell merupakan sepasang celah berbahaya dalam PHP yang dapat membahayakan infrastruktur website. Celah perangkat lunak tersebut dikenali melalui nomor CVE-2026-109618 dan CVE-2026-109619. Keduanya mendapatkan skor keparahan 9,2 dari 10 yang menunjukkan potensi dampak besar. Dampak terpenting adalah potensi menjalankan perintah berbahaya dari luar server melalui pemrosesan permintaan HTTP tertentu. Apabila server masih menggunakan PHP terdampak, pelaku tidak selalu memerlukan akun pengguna.

Proyek PHP mengumumkan rilis keamanan penting tanggal 21 Oktober 2026 setelah menyelesaikan penanganan dua kelemahan tersebut. Respons keamanan tersebut mendapat perhatian luas karena PHP digunakan oleh banyak aplikasi web. Website berbasis WordPress dapat menghadapi risiko ketika lingkungan PHP belum diperbarui. Perlu dipahami, masalah keamanan terjadi dalam runtime PHP, bukan semata-mata akibat plugin website. Oleh karena itu, pembaruan plugin tidak menggantikan perbaikan runtime PHP.

CVE-2026-109618 dan CVE-2026-109619 Memiliki Mekanisme Serangan Berbeda

Celah keamanan CVE-2026-109618 melibatkan kesalahan pengelolaan alokasi memori dalam mesin pemrosesan bahasa PHP. Saat sistem mengalami kegagalan alokasi memori, informasi sementara dapat memiliki keadaan yang tidak lengkap. Kelemahan dapat muncul saat proses pembersihan memperlakukan data tersebut sebagai informasi valid. Gangguan pada struktur memori dapat menyebabkan kerusakan memori. Pada serangan yang memenuhi kondisi tertentu, sistem bisa dipaksa mengeksekusi instruksi berbahaya.

CVE-2026-109619 berkaitan dengan penggunaan keadaan internal yang sudah tidak valid. Pada proses pengelolaan request, informasi sementara milik permintaan sebelumnya dapat tetap tersimpan meskipun alokasi terkait telah dilepaskan. Ketika sistem kembali menggunakan referensi lama, gangguan keamanan dapat terjadi. Dua kelemahan yang ditemukan menggambarkan kerumitan keamanan runtime. Kendati PHP sering dipahami sebagai bahasa pemrograman web, rangkaian pemrosesan dasarnya harus dirancang secara aman.

Dampak PHP2Shell terhadap Website dan Informasi Pengguna

Kemampuan menjalankan kode dari lokasi berbeda merupakan salah satu risiko keamanan paling serius. Apabila eksploitasi berhasil, penyerang dapat mencoba melakukan tindakan tanpa otorisasi. Besarnya dampak bergantung pada hak akses proses PHP. Pada server dengan pengaturan keamanan lemah, informasi sensitif dapat terancam. Dalam skenario yang perlu diantisipasi, website toko online dapat berpotensi kehilangan kerahasiaan informasi apabila lingkungan server berhasil disalahgunakan.

Di samping ancaman terhadap kerahasiaan, penyalahgunaan sistem bisa menyebabkan gangguan operasional. Ketika server mengalami gangguan, aktivitas transaksi berpotensi terhambat. Bagi pengelola bisnis online, masalah keamanan berisiko menurunkan kepercayaan. Meski demikian, keberadaan kerentanan tidak membuktikan suatu server telah diretas. Peninjauan indikator keamanan tetap menjadi dasar penilaian kemungkinan insiden. Evaluasi berbasis bukti mempermudah penanganan berdasarkan temuan nyata.

Versi PHP Terbaru Menutup Dua Kerentanan Keamanan Kritis

Untuk menangani kedua kerentanan, tim keamanan PHP merilis empat versi perbaikan utama. Versi yang direkomendasikan adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Keempat rilis keamanan itu mengatasi CVE-2026-109618 dan CVE-2026-109619. Pengelola layanan berbasis PHP perlu memprioritaskan pemasangan patch, terutama apabila server dapat diakses melalui internet. Proses instalasi patch harus dipastikan terpasang pada lingkungan produksi, bukan hanya memperbarui aplikasi website.

Bagi instalasi yang menggunakan cabang PHP lama, situasinya membutuhkan perhatian tambahan. Versi tersebut tidak memperoleh pembaruan reguler dari proyek utama PHP. Di sisi lain, sejumlah penyedia sistem operasi dan layanan dukungan jangka panjang dapat menyediakan paket keamanan khusus. Proyek PHP menyiapkan patch sumber terbatas bagi beberapa cabang lama. Namun, penggunaan runtime modern menjadi pilihan lebih berkelanjutan.

Pencegahan Serangan PHP2Shell Melalui Pembaruan dan Pengawasan Server

Langkah pertama dalam perlindungan adalah mengidentifikasi seluruh instalasi PHP. Pemeriksaan sebaiknya mencakup website publik, aplikasi internal, serta komponen pihak ketiga. Pemeriksaan menyeluruh dibutuhkan karena layanan tambahan dapat memiliki runtime PHP tersendiri. Setelah versi diketahui, administrator dapat memasang pembaruan melalui mekanisme sistem operasi. Untuk mengurangi risiko perubahan sistem, cadangan konfigurasi dan data penting sebaiknya tersedia. Sesudah proses pembaruan, administrator perlu memastikan proses aktif memakai versi yang diperbaiki.

Ketika server tidak bisa segera diperbarui, administrator dapat menerapkan pembatasan sementara berdasarkan panduan PHP. Dalam penanganan masalah out-of-memory, perubahan batas memori dapat membantu menghambat kondisi eksploitasi khusus. Pembatasan ukuran permintaan juga menjadi lapisan perlindungan tambahan. Untuk kerentanan berikutnya, penonaktifan session upload progress menjadi langkah mitigasi terhadap skenario khusus. Namun, pengaturan sementara belum memberikan perlindungan lengkap. Karena itu, pembaruan runtime tetap harus diprioritaskan.

Untuk memperkuat pengamanan setelah pembaruan, administrator perlu meninjau log server. Kegiatan pemantauan tersebut membantu mengidentifikasi kemungkinan eksploitasi. Contoh temuan yang perlu ditelusuri meliputi proses server menjalankan program yang tidak dikenal, koneksi keluar yang tidak biasa, serta perubahan file tanpa alasan jelas. Ketika aktivitas berbahaya teridentifikasi, administrator harus mengikuti kebijakan pemulihan organisasi. Respons keamanan yang dilakukan harus mempertimbangkan pergantian kredensial yang terdampak sesuai hasil investigasi.

Ancaman PHP2Shell Menegaskan Pentingnya Keamanan Server Web

Kemunculan PHP2Shell memperlihatkan tantangan besar dalam menjaga keamanan teknologi server. Kedua celah tersebut berpotensi membuka akses kode jarak jauh sehingga perbaikan runtime menjadi tindakan penting. Sebagai perkembangan keamanan tambahan, pada 23 Oktober 2026 pengembang PHP mengungkap skenario lanjutan pada fitur kemajuan unggahan sesi yang tercatat dengan nomor CVE-2026-115560. Untuk skenario yang memenuhi persyaratan tertentu, pengguna dianjurkan mengikuti pembatasan sementara yang diumumkan sampai pembaruan tambahan dirilis. Melalui pembaruan dan pemantauan berkelanjutan, ketahanan server dapat ditingkatkan. Bagaimana pendapat Anda, apakah pengelolaan versi perangkat lunak sudah diterapkan secara konsisten pada layanan digital?