Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.
PHP2Shell Mengungkap Risiko Eksekusi Kode Jarak Jauh pada Server
Istilah PHP2Shell merujuk pada dua kerentanan keamanan kritis yang dapat membahayakan infrastruktur website. Celah perangkat lunak tersebut dikenali melalui nomor CVE-2026-109618 dan CVE-2026-109619. Masing-masing memperoleh skor keparahan 9,2 dari 10 yang menggambarkan tingkat risiko tinggi. Dampak terpenting adalah kemungkinan eksekusi kode jarak jauh melalui interaksi jaringan yang mengeksploitasi kelemahan internal. Pada instalasi yang belum diperbaiki, pelaku tidak selalu memerlukan akun pengguna.
Pengembang PHP merilis pembaruan darurat pada 21 Oktober 2026 setelah menyiapkan patch untuk masalah keamanan. Respons keamanan tersebut mendapat perhatian luas karena PHP merupakan bahasa pemrograman populer untuk server. Aplikasi web seperti Joomla dapat terdampak apabila menjalankan runtime PHP rentan. Namun, kerentanan ini berada pada mesin PHP, bukan secara khusus disebabkan kode CMS tertentu. Dengan kondisi tersebut, update aplikasi tanpa patch PHP belum menyelesaikan masalah.
CVE-2026-109618 dan CVE-2026-109619 Memiliki Mekanisme Serangan Berbeda
Celah keamanan CVE-2026-109618 berkaitan dengan penanganan kondisi kehabisan memori dalam sistem internal interpreter PHP. Ketika proses pengalokasian memori gagal, struktur internal tertentu mungkin belum siap digunakan. Kelemahan dapat muncul saat proses pembersihan memperlakukan data tersebut sebagai informasi valid. Kesalahan pengelolaan ini berpotensi mengganggu integritas proses. Apabila kelemahan berhasil dimanfaatkan, penyerang dapat mencapai eksekusi kode jarak jauh.
CVE-2026-109619 berkaitan dengan penggunaan keadaan internal yang sudah tidak valid. Dalam pemrosesan permintaan, informasi sementara milik permintaan sebelumnya dapat digunakan kembali setelah masa berlakunya berakhir. Jika permintaan berikutnya memakai keadaan tersebut, integritas memori berpotensi terganggu. Sepasang kerentanan ini menunjukkan risiko kesalahan pemrosesan tingkat rendah. Kendati PHP sering dipahami sebagai bahasa pemrograman web, rangkaian pemrosesan dasarnya harus dirancang secara aman.
Risiko Pengambilalihan Sistem Akibat Kerentanan PHP
Kemampuan menjalankan kode dari lokasi berbeda merupakan salah satu risiko keamanan paling serius. Jika sistem benar-benar berhasil ditembus, penyerang dapat mencoba melakukan tindakan tanpa otorisasi. Besarnya dampak bergantung pada hak akses proses PHP. Pada server dengan pengaturan keamanan lemah, informasi sensitif dapat terancam. Sebagai contoh, website toko online dapat mengalami gangguan operasional apabila serangan berhasil mencapai komponen penting.
Selain kemungkinan pencurian data, penyalahgunaan sistem bisa menyebabkan gangguan operasional. Apabila aplikasi tidak dapat diakses, pengunjung mungkin gagal membuka halaman. Dalam organisasi yang mengandalkan website, masalah keamanan berisiko menurunkan kepercayaan. Namun, penemuan celah tidak otomatis menunjukkan keberhasilan serangan. Analisis aktivitas server tetap dibutuhkan untuk memastikan kondisi sistem. Evaluasi berbasis bukti membantu administrator mengambil keputusan secara tepat.
Administrator Server Diminta Segera Memasang Patch PHP
Dalam merespons ancaman keamanan tersebut, tim keamanan PHP merilis rilis resmi yang telah mendapatkan patch. Versi yang direkomendasikan adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Keempat rilis keamanan itu mengatasi CVE-2026-109618 dan CVE-2026-109619. Administrator instalasi PHP terdampak perlu memprioritaskan pemasangan patch, terutama apabila aplikasi beroperasi sebagai website publik. Pembaruan tersebut harus dipastikan terpasang pada lingkungan produksi, bukan sekadar memasang pembaruan CMS.
Untuk PHP 8.1 dan versi lebih lama, pembaruan perlu direncanakan lebih cermat. Cabang PHP yang telah mencapai akhir masa dukungan berada di luar siklus dukungan keamanan resmi. Di sisi lain, penyedia pemeliharaan perangkat lunak tertentu dapat menyediakan paket keamanan khusus. Tim keamanan PHP juga menyediakan patch sumber terbatas bagi beberapa cabang lama. Namun, migrasi ke versi yang didukung tetap dianjurkan.
Langkah Melindungi Server Web dan Memantau Potensi Eksploitasi PHP2Shell
Prioritas utama administrator adalah mengidentifikasi seluruh instalasi PHP. Peninjauan harus memperhatikan sistem utama maupun layanan tersembunyi yang memakai PHP. Pendataan tersebut diperlukan karena sebuah organisasi dapat menggunakan PHP tanpa menyadarinya. Setelah versi diketahui, administrator harus memilih patch yang sesuai dengan lingkungan server. Untuk mengurangi risiko perubahan sistem, backup yang dapat dipulihkan perlu dipastikan. Setelah patch dipasang, layanan PHP perlu dimuat ulang atau dijalankan kembali.
Ketika server tidak bisa segera diperbarui, administrator dapat menerapkan pembatasan sementara berdasarkan panduan PHP. Pada kerentanan terkait kegagalan alokasi memori, perubahan batas memori dapat membantu menghambat kondisi eksploitasi khusus. Pengendalian volume data yang diterima juga menjadi lapisan perlindungan tambahan. Pada jalur serangan yang berbeda, penonaktifan session upload progress menjadi langkah mitigasi terhadap skenario khusus. Perlu ditegaskan, pengaturan sementara belum memberikan perlindungan lengkap. Dengan mempertimbangkan keterbatasannya, pemasangan versi yang diperbaiki merupakan tindakan utama.
Selain menerapkan patch, administrator perlu meninjau log server. Analisis keamanan ini bertujuan mengenali aktivitas tidak biasa. Indikator yang membutuhkan perhatian meliputi proses server menjalankan program yang tidak dikenal, komunikasi jaringan menuju tujuan asing, serta munculnya file yang tidak dikenali. Jika terdapat bukti penyalahgunaan, administrator harus mengikuti kebijakan pemulihan organisasi. Respons keamanan yang dilakukan dapat melibatkan pemulihan dari cadangan bersih sesuai kondisi keamanan sebenarnya.
Ancaman PHP2Shell Menegaskan Pentingnya Keamanan Server Web
Penemuan dua kerentanan kritis PHP menunjukkan kebutuhan mendesak dalam memastikan ketahanan layanan digital. Masalah keamanan ini berpotensi membuka akses kode jarak jauh sehingga administrator perlu segera memasang patch. Selain dua celah awal, pada 23 Oktober 2026 pengembang PHP mengumumkan kondisi khusus terkait session upload progress yang memiliki identifikasi CVE-2026-115560. Dalam kondisi konfigurasi tertentu, pengguna perlu mempertimbangkan mitigasi sesi sesuai panduan resmi sampai patch berikutnya diterbitkan. Dengan pengelolaan yang disiplin, ketahanan server dapat ditingkatkan. Bagaimana pendapat Anda, apakah pengelolaan versi perangkat lunak sudah mendapat perhatian yang memadai dalam operasional server?
