Kerentanan PHP2Shell Picu Pembaruan Darurat PHP untuk Melindungi Server Web

Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.

PHP2Shell Mengungkap Risiko Eksekusi Kode Jarak Jauh pada Server

Istilah PHP2Shell merujuk pada sepasang celah berbahaya dalam PHP yang memengaruhi lingkungan server web. Masalah keamanan yang ditemukan dikenali melalui nomor CVE-2026-109618 dan CVE-2026-109619. Setiap kerentanan memiliki nilai CVSS 4.0 sebesar 9,2 yang menandakan ancaman serius terhadap sistem. Dampak terpenting adalah kemungkinan eksekusi kode jarak jauh melalui permintaan web yang dirancang khusus. Dalam kondisi rentan, pelaku tidak selalu memerlukan akun pengguna.

Pengembang PHP merilis rilis keamanan penting tanggal 21 Oktober 2026 setelah menyiapkan patch untuk masalah keamanan. Respons keamanan tersebut mendorong tindakan cepat pengelola sistem karena PHP menjadi fondasi berbagai website dinamis. Aplikasi web seperti Joomla dapat terdampak apabila menjalankan runtime PHP rentan. Meski demikian, masalah keamanan terjadi dalam runtime PHP, bukan semata-mata akibat plugin website. Oleh karena itu, pembaruan plugin tidak menggantikan perbaikan runtime PHP.

CVE-2026-109618 dan CVE-2026-109619 Memiliki Mekanisme Serangan Berbeda

Celah keamanan CVE-2026-109618 berkaitan dengan penanganan kondisi kehabisan memori dalam mesin pemrosesan bahasa PHP. Saat sistem mengalami kegagalan alokasi memori, sebagian data permintaan dapat berada dalam kondisi belum sepenuhnya terinisialisasi. Kelemahan dapat muncul saat runtime memproses data internal yang tidak berada dalam keadaan semestinya. Gangguan pada struktur memori berpotensi mengganggu integritas proses. Dalam skenario eksploitasi, penyerang dapat mencapai eksekusi kode jarak jauh.

CVE-2026-109619 berkaitan dengan penggunaan keadaan internal yang sudah tidak valid. Pada proses pengelolaan request, struktur global yang terkait permintaan tertentu dapat bertahan setelah memori pendukungnya dibebaskan. Ketika sistem kembali menggunakan referensi lama, integritas memori berpotensi terganggu. Dua kelemahan yang ditemukan menunjukkan risiko kesalahan pemrosesan tingkat rendah. Meski bahasa PHP dikenal melalui pembuatan website, mesin pelaksananya bergantung pada keamanan kode sistem.

Serangan Remote Code Execution Dapat Membahayakan Data Server

Kemampuan menjalankan kode dari lokasi berbeda termasuk kategori ancaman yang sangat berbahaya. Jika sistem benar-benar berhasil ditembus, penyerang dapat mencoba melakukan tindakan tanpa otorisasi. Besarnya dampak bergantung pada hak akses proses PHP. Apabila pembatasan akses tidak memadai, data dan layanan mungkin menghadapi gangguan. Sebagai contoh, website toko online dapat mengalami gangguan operasional apabila lingkungan server berhasil disalahgunakan.

Di samping ancaman terhadap kerahasiaan, penyalahgunaan sistem bisa menyebabkan gangguan operasional. Jika layanan terganggu, pengunjung mungkin gagal membuka halaman. Dalam organisasi yang mengandalkan website, insiden server dapat mengganggu hubungan dengan pelanggan. Walaupun dampaknya perlu diwaspadai, keberadaan kerentanan tidak membuktikan suatu server telah diretas. Peninjauan indikator keamanan tetap menjadi dasar penilaian kemungkinan insiden. Langkah pemeriksaan ini membantu administrator mengambil keputusan secara tepat.

Administrator Server Diminta Segera Memasang Patch PHP

Sebagai solusi utama PHP2Shell, tim keamanan PHP merilis sejumlah pembaruan keamanan penting. Rilis PHP yang memuat perbaikan adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Keempat rilis keamanan itu mengatasi CVE-2026-109618 dan CVE-2026-109619. Pengguna versi lama dianjurkan segera memperbarui runtime, terutama apabila layanan menerima permintaan dari jaringan publik. Pembaruan tersebut harus mencakup PHP yang benar-benar digunakan server, bukan terbatas pada plugin maupun tema.

Dalam lingkungan dengan PHP yang sudah melewati masa dukungan, situasinya membutuhkan perhatian tambahan. Rilis lama yang tidak lagi didukung sudah tidak menerima patch rutin dari pengembang inti. Walaupun dukungan utama telah berakhir, beberapa vendor distribusi Linux dapat menawarkan perbaikan melalui backport. Proyek PHP menyiapkan backport dasar untuk sejumlah rilis yang tidak lagi didukung. Walaupun ada jalur perbaikan sementara, penggunaan runtime modern menjadi pilihan lebih berkelanjutan.

Langkah Melindungi Server Web dan Memantau Potensi Eksploitasi PHP2Shell

Tindakan awal pengamanan adalah memeriksa versi PHP pada setiap layanan. Inventarisasi perlu meliputi website publik, aplikasi internal, serta komponen pihak ketiga. Pendataan tersebut diperlukan karena layanan tambahan dapat memiliki runtime PHP tersendiri. Ketika inventarisasi selesai, administrator harus memilih patch yang sesuai dengan lingkungan server. Sebagai persiapan pemeliharaan, backup yang dapat dipulihkan perlu dipastikan. Ketika instalasi selesai, pekerja server harus menggunakan runtime terbaru.

Apabila pembaruan belum dapat dilakukan, administrator dapat menerapkan pembatasan sementara berdasarkan panduan PHP. Pada kerentanan terkait kegagalan alokasi memori, pengaturan memory_limit=-1 dapat mengurangi jalur serangan tertentu. Pembatasan ukuran permintaan juga menjadi lapisan perlindungan tambahan. Sementara itu, pembatasan fitur kemajuan unggahan sesi membantu menghambat salah satu jalur yang diketahui. Perlu ditegaskan, pengaturan sementara belum memberikan perlindungan lengkap. Dengan mempertimbangkan keterbatasannya, pembaruan runtime tetap harus diprioritaskan.

Di samping memperbarui runtime, administrator dianjurkan mengevaluasi rekaman permintaan web. Analisis keamanan ini membantu mengidentifikasi kemungkinan eksploitasi. Indikator yang membutuhkan perhatian meliputi aktivitas proses anak yang mencurigakan, koneksi keluar yang tidak biasa, serta munculnya file yang tidak dikenali. Ketika aktivitas berbahaya teridentifikasi, administrator harus mengikuti kebijakan pemulihan organisasi. Pemulihan tersebut harus mempertimbangkan pergantian kredensial yang terdampak sesuai hasil investigasi.

Perlindungan Website Memerlukan Patch dan Pemantauan Berkelanjutan

Pengungkapan CVE-2026-109618 dan CVE-2026-109619 memperlihatkan tantangan besar dalam menjaga keamanan teknologi server. Masalah keamanan ini dapat memungkinkan eksekusi kode tanpa autentikasi sehingga pembaruan PHP harus menjadi prioritas. Di luar pembaruan darurat tersebut, pada 23 Oktober 2026 pengembang PHP mengungkap skenario lanjutan pada fitur kemajuan unggahan sesi yang dilacak sebagai CVE-2026-115560. Pada aplikasi dengan kombinasi pengaturan khusus, pengguna perlu mempertimbangkan mitigasi sesi sesuai panduan resmi sampai pembaruan tambahan dirilis. Melalui pembaruan dan pemantauan berkelanjutan, perlindungan infrastruktur dapat diperkuat. Dari pengalaman Anda, apakah pengelolaan versi perangkat lunak sudah mendapat perhatian yang memadai dalam operasional server?