Kerentanan PHP2Shell Picu Pembaruan Darurat PHP untuk Melindungi Server Web

Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.

Kerentanan PHP2Shell Menjadi Ancaman Serius bagi Keamanan Server Web

Nama PHP2Shell digunakan untuk menyebut dua kelemahan serius pada sistem pemrosesan PHP yang dapat membahayakan infrastruktur website. Celah perangkat lunak tersebut dikenali melalui nomor CVE-2026-109618 dan CVE-2026-109619. Keduanya mendapatkan peringkat kritis dengan skor 9,2 yang menunjukkan potensi dampak besar. Bahaya utamanya adalah kemampuan penyerang mengeksekusi kode tanpa izin melalui pemrosesan permintaan HTTP tertentu. Pada instalasi yang belum diperbaiki, penyerang dapat mencoba serangan tanpa login.

Proyek PHP mengumumkan perbaikan kritis pada 21 Oktober 2026 setelah menyelesaikan penanganan dua kelemahan tersebut. Langkah ini menjadi prioritas administrator karena PHP menjadi fondasi berbagai website dinamis. Portal yang menggunakan Drupal dapat memiliki potensi paparan jika server menggunakan versi terdampak. Namun, celah tersebut berasal dari komponen internal PHP, bukan hanya karena kesalahan tema aplikasi. Sebagai konsekuensinya, pembaruan plugin tidak menggantikan perbaikan runtime PHP.

CVE-2026-109618 dan CVE-2026-109619 Memiliki Mekanisme Serangan Berbeda

Masalah yang diidentifikasi sebagai CVE-2026-109618 muncul dari kelemahan pemrosesan out-of-memory dalam mesin pemrosesan bahasa PHP. Ketika proses pengalokasian memori gagal, struktur internal tertentu mungkin belum siap digunakan. Masalah muncul ketika proses pembersihan memperlakukan data tersebut sebagai informasi valid. Gangguan pada struktur memori berpotensi mengganggu integritas proses. Dalam skenario eksploitasi, pelaku berpotensi menjalankan kode tanpa izin.

Masalah keamanan berikutnya terjadi akibat penggunaan informasi internal yang sudah kedaluwarsa. Pada proses pengelolaan request, sebagian keadaan internal yang seharusnya dibersihkan dapat bertahan setelah memori pendukungnya dibebaskan. Ketika sistem kembali menggunakan referensi lama, celah eksploitasi dapat terbuka. Kedua masalah tersebut menggambarkan kerumitan keamanan runtime. Walaupun PHP banyak digunakan untuk pengembangan aplikasi, komponen internalnya tetap membutuhkan perlindungan memori.

Serangan Remote Code Execution Dapat Membahayakan Data Server

Kemampuan menjalankan kode dari lokasi berbeda termasuk kategori ancaman yang sangat berbahaya. Apabila eksploitasi berhasil, kode berbahaya dapat dieksekusi dalam lingkungan terdampak. Besarnya dampak ditentukan oleh konfigurasi dan izin sistem. Pada server dengan pengaturan keamanan lemah, data dan layanan mungkin menghadapi gangguan. Sebagai contoh, website toko online dapat mengalami gangguan operasional apabila serangan berhasil mencapai komponen penting.

Selain kemungkinan pencurian data, eksploitasi server juga dapat mengganggu ketersediaan layanan. Jika layanan terganggu, pelanggan dapat kesulitan menggunakan layanan. Untuk perusahaan digital, masalah keamanan berisiko menurunkan kepercayaan. Walaupun dampaknya perlu diwaspadai, instalasi rentan belum tentu sudah mengalami kompromi. Peninjauan indikator keamanan tetap dibutuhkan untuk memastikan kondisi sistem. Langkah pemeriksaan ini mengurangi kesimpulan yang tidak didukung data.

Pembaruan PHP Darurat Menjadi Perlindungan Utama terhadap PHP2Shell

Dalam merespons ancaman keamanan tersebut, pengembang PHP menyediakan rilis resmi yang telah mendapatkan patch. Versi yang direkomendasikan adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Seluruh versi tersebut ditujukan untuk memperbaiki dua celah awal PHP2Shell. Administrator instalasi PHP terdampak perlu memprioritaskan pemasangan patch, terutama apabila server dapat diakses melalui internet. Pembaruan tersebut harus diterapkan pada runtime aktif, bukan hanya memperbarui aplikasi website.

Dalam lingkungan dengan PHP yang sudah melewati masa dukungan, situasinya membutuhkan perhatian tambahan. Cabang PHP yang telah mencapai akhir masa dukungan berada di luar siklus dukungan keamanan resmi. Di sisi lain, penyedia pemeliharaan perangkat lunak tertentu dapat menerbitkan patch bagi instalasi lama. Proyek PHP menyiapkan backport dasar untuk sejumlah rilis yang tidak lagi didukung. Namun, migrasi ke versi yang didukung tetap dianjurkan.

Pencegahan Serangan PHP2Shell Melalui Pembaruan dan Pengawasan Server

Prioritas utama administrator adalah mengidentifikasi seluruh instalasi PHP. Pemeriksaan sebaiknya mencakup server produksi, lingkungan pengujian, dan layanan pendukung. Hal ini penting karena layanan tambahan dapat memiliki runtime PHP tersendiri. Setelah versi diketahui, administrator perlu menerapkan paket keamanan dari penyedia resmi. Untuk mengurangi risiko perubahan sistem, rencana pemulihan sistem sebaiknya disiapkan. Ketika instalasi selesai, layanan PHP perlu dimuat ulang atau dijalankan kembali.

Apabila pembaruan belum dapat dilakukan, administrator dapat menerapkan pembatasan sementara berdasarkan panduan PHP. Untuk CVE-2026-109618, perubahan batas memori dapat membantu menghambat kondisi eksploitasi khusus. Pembatasan ukuran permintaan juga dapat membantu mengurangi paparan. Untuk kerentanan berikutnya, penonaktifan session upload progress dapat menutup kondisi eksploitasi tertentu. Namun, tidak satu pun mitigasi ini menggantikan patch. Karena itu, pembaruan runtime tetap harus diprioritaskan.

Selain menerapkan patch, administrator sebaiknya memeriksa catatan aktivitas PHP. Pemeriksaan tersebut bertujuan mengenali aktivitas tidak biasa. Aktivitas yang patut diperiksa meliputi aktivitas proses anak yang mencurigakan, koneksi keluar yang tidak biasa, serta munculnya file yang tidak dikenali. Jika terdapat bukti penyalahgunaan, tim keamanan perlu menjalankan penanganan insiden. Respons keamanan yang dilakukan dapat melibatkan pemulihan dari cadangan bersih sesuai hasil investigasi.

Ancaman PHP2Shell Menegaskan Pentingnya Keamanan Server Web

Pengungkapan CVE-2026-109618 dan CVE-2026-109619 menunjukkan kebutuhan mendesak dalam menjaga keamanan teknologi server. Kerentanan yang ditemukan dapat memungkinkan eksekusi kode tanpa autentikasi sehingga pembaruan PHP harus menjadi prioritas. Sebagai perkembangan keamanan tambahan, pada 23 Oktober 2026 pengembang PHP mengumumkan kondisi khusus terkait session upload progress yang dilacak sebagai CVE-2026-115560. Pada aplikasi dengan kombinasi pengaturan khusus, pengguna perlu mempertimbangkan mitigasi sesi sesuai panduan resmi sampai pembaruan tambahan dirilis. Melalui pembaruan dan pemantauan berkelanjutan, ketahanan server dapat ditingkatkan. Bagaimana pendapat Anda, apakah pemantauan aktivitas server sudah diterapkan secara konsisten pada layanan digital?