Kerentanan PHP2Shell Picu Pembaruan Darurat PHP untuk Melindungi Server Web

Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.

Dua Celah Kritis PHP Memicu Peringatan Keamanan Siber

Istilah PHP2Shell merujuk pada dua kelemahan serius pada sistem pemrosesan PHP yang dapat membahayakan infrastruktur website. Kedua kerentanan tersebut terdaftar sebagai CVE-2026-109618 dan CVE-2026-109619. Keduanya mendapatkan nilai CVSS 4.0 sebesar 9,2 yang menunjukkan potensi dampak besar. Bahaya utamanya adalah kemungkinan eksekusi kode jarak jauh melalui permintaan web yang dirancang khusus. Apabila server masih menggunakan PHP terdampak, eksploitasi berpotensi terjadi tanpa autentikasi.

Tim keamanan PHP menerbitkan perbaikan kritis pada 21 Oktober 2026 setelah mengembangkan perbaikan terhadap kerentanan. Respons keamanan tersebut mendapat perhatian luas karena PHP merupakan bahasa pemrograman populer untuk server. Aplikasi web seperti Joomla dapat terdampak apabila menjalankan runtime PHP rentan. Perlu dipahami, kerentanan ini berada pada mesin PHP, bukan hanya karena kesalahan tema aplikasi. Sebagai konsekuensinya, pembaruan plugin tidak menggantikan perbaikan runtime PHP.

CVE-2026-109618 dan CVE-2026-109619 Memiliki Mekanisme Serangan Berbeda

Celah keamanan CVE-2026-109618 muncul dari kelemahan pemrosesan out-of-memory dalam mesin pemrosesan bahasa PHP. Ketika proses pengalokasian memori gagal, struktur internal tertentu mungkin belum siap digunakan. Kelemahan dapat muncul saat runtime memproses data internal yang tidak berada dalam keadaan semestinya. Kondisi tersebut dapat menyebabkan kerusakan memori. Pada serangan yang memenuhi kondisi tertentu, sistem bisa dipaksa mengeksekusi instruksi berbahaya.

CVE-2026-109619 berkaitan dengan penggunaan keadaan internal yang sudah tidak valid. Dalam pemrosesan permintaan, informasi sementara milik permintaan sebelumnya dapat tetap tersimpan meskipun alokasi terkait telah dilepaskan. Apabila pekerja server mengakses informasi yang sudah tidak valid, celah eksploitasi dapat terbuka. Kedua masalah tersebut menunjukkan risiko kesalahan pemrosesan tingkat rendah. Walaupun PHP banyak digunakan untuk pengembangan aplikasi, komponen internalnya tetap membutuhkan perlindungan memori.

Risiko Pengambilalihan Sistem Akibat Kerentanan PHP

Eksekusi kode jarak jauh yang dikenal sebagai RCE menjadi perhatian utama dalam keamanan server. Apabila eksploitasi berhasil, penyerang dapat mencoba melakukan tindakan tanpa otorisasi. Cakupan penyalahgunaan ditentukan oleh konfigurasi dan izin sistem. Pada server dengan pengaturan keamanan lemah, data dan layanan mungkin menghadapi gangguan. Untuk menggambarkan potensi dampaknya, portal layanan pelanggan dapat menghadapi risiko perubahan file apabila penyerang memperoleh akses yang memadai.

Di samping ancaman terhadap kerahasiaan, eksploitasi server juga dapat mengganggu ketersediaan layanan. Ketika server mengalami gangguan, pengunjung mungkin gagal membuka halaman. Untuk perusahaan digital, gangguan tersebut dapat memengaruhi reputasi. Namun, penemuan celah tidak otomatis menunjukkan keberhasilan serangan. Analisis aktivitas server tetap dibutuhkan untuk memastikan kondisi sistem. Pendekatan tersebut membantu administrator mengambil keputusan secara tepat.

Pembaruan PHP Darurat Menjadi Perlindungan Utama terhadap PHP2Shell

Dalam merespons ancaman keamanan tersebut, tim keamanan PHP merilis rilis resmi yang telah mendapatkan patch. Pembaruan yang tersedia adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Seluruh versi tersebut mengatasi CVE-2026-109618 dan CVE-2026-109619. Administrator instalasi PHP terdampak sebaiknya tidak menunda proses pembaruan, terutama apabila layanan menerima permintaan dari jaringan publik. Proses instalasi patch harus dipastikan terpasang pada lingkungan produksi, bukan terbatas pada plugin maupun tema.

Dalam lingkungan dengan PHP yang sudah melewati masa dukungan, pengelola harus memeriksa dukungan keamanan. Versi tersebut sudah tidak menerima patch rutin dari pengembang inti. Walaupun dukungan utama telah berakhir, sejumlah penyedia sistem operasi dan layanan dukungan jangka panjang dapat menawarkan perbaikan melalui backport. Pengembang inti turut menerbitkan backport dasar untuk sejumlah rilis yang tidak lagi didukung. Namun, penggunaan runtime modern menjadi pilihan lebih berkelanjutan.

Pencegahan Serangan PHP2Shell Melalui Pembaruan dan Pengawasan Server

Tindakan awal pengamanan adalah mengidentifikasi seluruh instalasi PHP. Inventarisasi perlu meliputi website publik, aplikasi internal, serta komponen pihak ketiga. Pendataan tersebut diperlukan karena komponen tertentu mungkin menjalankan PHP secara tidak langsung. Setelah versi diketahui, administrator perlu menerapkan paket keamanan dari penyedia resmi. Sebagai persiapan pemeliharaan, rencana pemulihan sistem sebaiknya disiapkan. Setelah patch dipasang, administrator perlu memastikan proses aktif memakai versi yang diperbaiki.

Jika terdapat kendala pemasangan patch, administrator dapat menerapkan pembatasan sementara berdasarkan panduan PHP. Untuk CVE-2026-109618, perubahan batas memori dapat membantu menghambat kondisi eksploitasi khusus. Pengendalian volume data yang diterima juga menjadi lapisan perlindungan tambahan. Untuk kerentanan berikutnya, pengaturan session.upload_progress.enabled=0 dapat menutup kondisi eksploitasi tertentu. Meski langkah tersebut bermanfaat, pengaturan sementara belum memberikan perlindungan lengkap. Dengan mempertimbangkan keterbatasannya, pemasangan versi yang diperbaiki merupakan tindakan utama.

Di samping memperbarui runtime, administrator perlu meninjau log server. Analisis keamanan ini membantu mengidentifikasi kemungkinan eksploitasi. Contoh temuan yang perlu ditelusuri meliputi peluncuran shell secara tidak terduga, komunikasi jaringan menuju tujuan asing, serta munculnya file yang tidak dikenali. Ketika aktivitas berbahaya teridentifikasi, tim keamanan perlu menjalankan penanganan insiden. Proses penanganan ini harus mempertimbangkan pergantian kredensial yang terdampak sesuai kondisi keamanan sebenarnya.

Kesimpulan: Pembaruan PHP Menjadi Langkah Utama Mengatasi PHP2Shell

Pengungkapan CVE-2026-109618 dan CVE-2026-109619 menunjukkan kebutuhan mendesak dalam memastikan ketahanan layanan digital. Masalah keamanan ini berpotensi membuka akses kode jarak jauh sehingga administrator perlu segera memasang patch. Sebagai perkembangan keamanan tambahan, pada 23 Oktober 2026 pengembang PHP mengungkap skenario lanjutan pada fitur kemajuan unggahan sesi yang dilacak sebagai CVE-2026-115560. Dalam kondisi konfigurasi tertentu, pengguna perlu mempertimbangkan mitigasi sesi sesuai panduan resmi sampai pembaruan tambahan dirilis. Melalui pembaruan dan pemantauan berkelanjutan, risiko serangan dapat ditekan. Dari pengalaman Anda, apakah pengelolaan versi perangkat lunak sudah diterapkan secara konsisten pada layanan digital?