Kerentanan PHP2Shell Picu Pembaruan Darurat PHP untuk Melindungi Server Web

Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.

Kerentanan PHP2Shell Menjadi Ancaman Serius bagi Keamanan Server Web

Nama PHP2Shell digunakan untuk menyebut dua kelemahan serius pada sistem pemrosesan PHP yang memengaruhi lingkungan server web. Kedua kerentanan tersebut terdaftar sebagai CVE-2026-109618 dan CVE-2026-109619. Masing-masing memperoleh skor keparahan 9,2 dari 10 yang menunjukkan potensi dampak besar. Dampak terpenting adalah kemampuan penyerang mengeksekusi kode tanpa izin melalui permintaan web yang dirancang khusus. Apabila server masih menggunakan PHP terdampak, pelaku tidak selalu memerlukan akun pengguna.

Proyek PHP mengumumkan rilis keamanan penting tanggal 21 Oktober 2026 setelah mengembangkan perbaikan terhadap kerentanan. Respons keamanan tersebut menjadi prioritas administrator karena PHP merupakan bahasa pemrograman populer untuk server. Portal yang menggunakan Drupal dapat menghadapi risiko ketika lingkungan PHP belum diperbarui. Perlu dipahami, celah tersebut berasal dari komponen internal PHP, bukan secara khusus disebabkan kode CMS tertentu. Sebagai konsekuensinya, pembaruan plugin tidak menggantikan perbaikan runtime PHP.

Memahami Masalah Memori yang Menjadi Penyebab PHP2Shell

Kerentanan pertama berkaitan dengan penanganan kondisi kehabisan memori dalam mesin pemrosesan bahasa PHP. Ketika proses pengalokasian memori gagal, sebagian data permintaan dapat berada dalam kondisi belum sepenuhnya terinisialisasi. Masalah muncul ketika proses pembersihan memperlakukan data tersebut sebagai informasi valid. Gangguan pada struktur memori membuka peluang penyalahgunaan keadaan memori. Apabila kelemahan berhasil dimanfaatkan, penyerang dapat mencapai eksekusi kode jarak jauh.

CVE-2026-109619 berkaitan dengan penggunaan keadaan internal yang sudah tidak valid. Pada proses pengelolaan request, struktur global yang terkait permintaan tertentu dapat digunakan kembali setelah masa berlakunya berakhir. Ketika sistem kembali menggunakan referensi lama, celah eksploitasi dapat terbuka. Dua kelemahan yang ditemukan menggambarkan kerumitan keamanan runtime. Kendati PHP sering dipahami sebagai bahasa pemrograman web, komponen internalnya tetap membutuhkan perlindungan memori.

Risiko Pengambilalihan Sistem Akibat Kerentanan PHP

Kemampuan menjalankan kode dari lokasi berbeda merupakan salah satu risiko keamanan paling serius. Apabila eksploitasi berhasil, kode berbahaya dapat dieksekusi dalam lingkungan terdampak. Cakupan penyalahgunaan dipengaruhi tingkat kewenangan layanan yang diserang. Dalam lingkungan yang tidak terlindungi, file aplikasi berpotensi mengalami perubahan. Untuk menggambarkan potensi dampaknya, portal layanan pelanggan dapat berpotensi kehilangan kerahasiaan informasi apabila serangan berhasil mencapai komponen penting.

Di samping ancaman terhadap kerahasiaan, eksploitasi server juga dapat mengganggu ketersediaan layanan. Jika layanan terganggu, pelanggan dapat kesulitan menggunakan layanan. Dalam organisasi yang mengandalkan website, gangguan tersebut dapat memengaruhi reputasi. Walaupun dampaknya perlu diwaspadai, keberadaan kerentanan tidak membuktikan suatu server telah diretas. Peninjauan indikator keamanan tetap menjadi dasar penilaian kemungkinan insiden. Langkah pemeriksaan ini membantu administrator mengambil keputusan secara tepat.

Versi PHP Terbaru Menutup Dua Kerentanan Keamanan Kritis

Sebagai solusi utama PHP2Shell, proyek PHP menerbitkan sejumlah pembaruan keamanan penting. Pembaruan yang tersedia adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Seluruh versi tersebut memuat perbaikan terhadap dua kerentanan kritis yang diumumkan. Administrator instalasi PHP terdampak sebaiknya tidak menunda proses pembaruan, terutama apabila aplikasi beroperasi sebagai website publik. Proses instalasi patch harus dipastikan terpasang pada lingkungan produksi, bukan hanya memperbarui aplikasi website.

Dalam lingkungan dengan PHP yang sudah melewati masa dukungan, situasinya membutuhkan perhatian tambahan. Versi tersebut berada di luar siklus dukungan keamanan resmi. Di sisi lain, penyedia pemeliharaan perangkat lunak tertentu dapat menerbitkan patch bagi instalasi lama. Proyek PHP menyiapkan backport dasar untuk sejumlah rilis yang tidak lagi didukung. Walaupun ada jalur perbaikan sementara, migrasi ke versi yang didukung tetap dianjurkan.

Langkah Melindungi Server Web dan Memantau Potensi Eksploitasi PHP2Shell

Tindakan awal pengamanan adalah mendata runtime PHP yang digunakan. Inventarisasi perlu meliputi sistem utama maupun layanan tersembunyi yang memakai PHP. Pendataan tersebut diperlukan karena sebuah organisasi dapat menggunakan PHP tanpa menyadarinya. Setelah versi diketahui, administrator perlu menerapkan paket keamanan dari penyedia resmi. Sebagai persiapan pemeliharaan, rencana pemulihan sistem sebaiknya disiapkan. Ketika instalasi selesai, administrator perlu memastikan proses aktif memakai versi yang diperbaiki.

Jika terdapat kendala pemasangan patch, pengembang PHP menyediakan langkah mitigasi sementara. Dalam penanganan masalah out-of-memory, pengaturan memory_limit=-1 dapat mengurangi jalur serangan tertentu. Pembatasan ukuran permintaan juga menjadi lapisan perlindungan tambahan. Pada jalur serangan yang berbeda, pengaturan session.upload_progress.enabled=0 dapat menutup kondisi eksploitasi tertentu. Perlu ditegaskan, tidak satu pun mitigasi ini menggantikan patch. Karena itu, instalasi patch tidak boleh ditunda tanpa alasan kuat.

Untuk memperkuat pengamanan setelah pembaruan, administrator sebaiknya memeriksa catatan aktivitas PHP. Pemeriksaan tersebut bertujuan mengenali aktivitas tidak biasa. Contoh temuan yang perlu ditelusuri meliputi peluncuran shell secara tidak terduga, lalu lintas eksternal yang menyimpang, serta modifikasi berkas aplikasi yang tidak direncanakan. Jika terdapat bukti penyalahgunaan, administrator harus mengikuti kebijakan pemulihan organisasi. Respons keamanan yang dilakukan harus mempertimbangkan pergantian kredensial yang terdampak sesuai tingkat kerusakan yang ditemukan.

Ancaman PHP2Shell Menegaskan Pentingnya Keamanan Server Web

Penemuan dua kerentanan kritis PHP memperlihatkan tantangan besar dalam melindungi infrastruktur website. Kedua celah tersebut memiliki risiko pengambilalihan proses server sehingga pembaruan PHP harus menjadi prioritas. Selain dua celah awal, pada 23 Oktober 2026 pengembang PHP mengumumkan kondisi khusus terkait session upload progress yang tercatat dengan nomor CVE-2026-115560. Pada aplikasi dengan kombinasi pengaturan khusus, pengguna perlu mempertimbangkan mitigasi sesi sesuai panduan resmi sampai patch berikutnya diterbitkan. Melalui pembaruan dan pemantauan berkelanjutan, risiko serangan dapat ditekan. Menurut Anda, apakah pengelolaan versi perangkat lunak sudah diterapkan secara konsisten pada layanan digital?