Kerentanan PHP2Shell Picu Pembaruan Darurat PHP untuk Melindungi Server Web

Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.

Dua Celah Kritis PHP Memicu Peringatan Keamanan Siber

Nama PHP2Shell digunakan untuk menyebut dua kelemahan serius pada sistem pemrosesan PHP yang berpotensi mengancam aplikasi berbasis PHP. Masalah keamanan yang ditemukan dikenali melalui nomor CVE-2026-109618 dan CVE-2026-109619. Masing-masing memperoleh skor keparahan 9,2 dari 10 yang menandakan ancaman serius terhadap sistem. Risiko paling mengkhawatirkan adalah kemungkinan eksekusi kode jarak jauh melalui permintaan web yang dirancang khusus. Dalam kondisi rentan, pelaku tidak selalu memerlukan akun pengguna.

Proyek PHP mengumumkan perbaikan kritis pada 21 Oktober 2026 setelah mengembangkan perbaikan terhadap kerentanan. Respons keamanan tersebut menjadi prioritas administrator karena PHP digunakan oleh banyak aplikasi web. Portal yang menggunakan Drupal dapat menghadapi risiko ketika lingkungan PHP belum diperbarui. Perlu dipahami, kerentanan ini berada pada mesin PHP, bukan hanya karena kesalahan tema aplikasi. Oleh karena itu, update aplikasi tanpa patch PHP belum menyelesaikan masalah.

CVE-2026-109618 dan CVE-2026-109619 Memiliki Mekanisme Serangan Berbeda

Celah keamanan CVE-2026-109618 melibatkan kesalahan pengelolaan alokasi memori dalam mesin pemrosesan bahasa PHP. Apabila permintaan memicu kondisi kehabisan memori, struktur internal tertentu mungkin belum siap digunakan. Kelemahan dapat muncul saat proses pembersihan memperlakukan data tersebut sebagai informasi valid. Kesalahan pengelolaan ini dapat menyebabkan kerusakan memori. Dalam skenario eksploitasi, pelaku berpotensi menjalankan kode tanpa izin.

Masalah keamanan berikutnya berkaitan dengan penggunaan keadaan internal yang sudah tidak valid. Pada proses pengelolaan request, struktur global yang terkait permintaan tertentu dapat digunakan kembali setelah masa berlakunya berakhir. Apabila pekerja server mengakses informasi yang sudah tidak valid, integritas memori berpotensi terganggu. Dua kelemahan yang ditemukan memperlihatkan pentingnya pengelolaan memori. Kendati PHP sering dipahami sebagai bahasa pemrograman web, mesin pelaksananya bergantung pada keamanan kode sistem.

Risiko Pengambilalihan Sistem Akibat Kerentanan PHP

Kemampuan menjalankan kode dari lokasi berbeda menjadi perhatian utama dalam keamanan server. Jika sistem benar-benar berhasil ditembus, kode berbahaya dapat dieksekusi dalam lingkungan terdampak. Besarnya dampak dipengaruhi tingkat kewenangan layanan yang diserang. Dalam lingkungan yang tidak terlindungi, file aplikasi berpotensi mengalami perubahan. Untuk menggambarkan potensi dampaknya, website toko online dapat menghadapi risiko perubahan file apabila serangan berhasil mencapai komponen penting.

Tidak terbatas pada risiko kebocoran informasi, serangan berpotensi memengaruhi stabilitas website. Jika layanan terganggu, pelanggan dapat kesulitan menggunakan layanan. Bagi pengelola bisnis online, gangguan tersebut dapat memengaruhi reputasi. Namun, instalasi rentan belum tentu sudah mengalami kompromi. Pemeriksaan log tetap diperlukan guna membedakan risiko dari serangan berhasil. Langkah pemeriksaan ini mempermudah penanganan berdasarkan temuan nyata.

Administrator Server Diminta Segera Memasang Patch PHP

Sebagai solusi utama PHP2Shell, tim keamanan PHP merilis sejumlah pembaruan keamanan penting. Versi yang direkomendasikan adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Keempat rilis keamanan itu mengatasi CVE-2026-109618 dan CVE-2026-109619. Pengelola layanan berbasis PHP sebaiknya tidak menunda proses pembaruan, terutama apabila server dapat diakses melalui internet. Proses instalasi patch harus diterapkan pada runtime aktif, bukan hanya memperbarui aplikasi website.

Dalam lingkungan dengan PHP yang sudah melewati masa dukungan, situasinya membutuhkan perhatian tambahan. Versi tersebut berada di luar siklus dukungan keamanan resmi. Di sisi lain, beberapa vendor distribusi Linux dapat menerbitkan patch bagi instalasi lama. Proyek PHP menyiapkan perbaikan sumber minimal untuk PHP 7.4, 8.0, dan 8.1. Namun, pembaruan ke cabang aktif lebih baik untuk keamanan jangka panjang.

Langkah Melindungi Server Web dan Memantau Potensi Eksploitasi PHP2Shell

Prioritas utama administrator adalah mengidentifikasi seluruh instalasi PHP. Peninjauan harus memperhatikan sistem utama maupun layanan tersembunyi yang memakai PHP. Pemeriksaan menyeluruh dibutuhkan karena komponen tertentu mungkin menjalankan PHP secara tidak langsung. Setelah versi diketahui, administrator dapat memasang pembaruan melalui mekanisme sistem operasi. Sebagai persiapan pemeliharaan, cadangan konfigurasi dan data penting sebaiknya tersedia. Setelah patch dipasang, administrator perlu memastikan proses aktif memakai versi yang diperbaiki.

Jika terdapat kendala pemasangan patch, administrator dapat menerapkan pembatasan sementara berdasarkan panduan PHP. Pada kerentanan terkait kegagalan alokasi memori, penyesuaian batas memori merupakan salah satu mitigasi yang disarankan. Pembatasan ukuran permintaan juga dapat membantu mengurangi paparan. Pada jalur serangan yang berbeda, pengaturan session.upload_progress.enabled=0 membantu menghambat salah satu jalur yang diketahui. Perlu ditegaskan, tidak satu pun mitigasi ini menggantikan patch. Oleh sebab itu, pemasangan versi yang diperbaiki merupakan tindakan utama.

Untuk memperkuat pengamanan setelah pembaruan, administrator sebaiknya memeriksa catatan aktivitas PHP. Pemeriksaan tersebut bertujuan mengenali aktivitas tidak biasa. Aktivitas yang patut diperiksa meliputi proses server menjalankan program yang tidak dikenal, koneksi keluar yang tidak biasa, serta modifikasi berkas aplikasi yang tidak direncanakan. Jika terdapat bukti penyalahgunaan, tim keamanan perlu menjalankan penanganan insiden. Respons keamanan yang dilakukan harus mempertimbangkan pergantian kredensial yang terdampak sesuai hasil investigasi.

Ancaman PHP2Shell Menegaskan Pentingnya Keamanan Server Web

Penemuan dua kerentanan kritis PHP menjadi pengingat penting dalam memastikan ketahanan layanan digital. Masalah keamanan ini memiliki risiko pengambilalihan proses server sehingga pembaruan PHP harus menjadi prioritas. Di luar pembaruan darurat tersebut, pada 23 Oktober 2026 pengembang PHP memberikan informasi mengenai jalur eksploitasi yang tidak biasa yang dilacak sebagai CVE-2026-115560. Pada aplikasi dengan kombinasi pengaturan khusus, pengguna dianjurkan mengikuti pembatasan sementara yang diumumkan sampai perbaikan lanjutan tersedia. Melalui pembaruan dan pemantauan berkelanjutan, ketahanan server dapat ditingkatkan. Dari pengalaman Anda, apakah pengelolaan versi perangkat lunak sudah mendapat perhatian yang memadai dalam operasional server?