Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.
Kerentanan PHP2Shell Menjadi Ancaman Serius bagi Keamanan Server Web
Nama PHP2Shell digunakan untuk menyebut sepasang celah berbahaya dalam PHP yang dapat membahayakan infrastruktur website. Kedua kerentanan tersebut memiliki identifikasi CVE-2026-109618 serta CVE-2026-109619. Keduanya mendapatkan skor keparahan 9,2 dari 10 yang menggambarkan tingkat risiko tinggi. Bahaya utamanya adalah potensi menjalankan perintah berbahaya dari luar server melalui pemrosesan permintaan HTTP tertentu. Apabila server masih menggunakan PHP terdampak, eksploitasi berpotensi terjadi tanpa autentikasi.
Tim keamanan PHP menerbitkan perbaikan kritis pada 21 Oktober 2026 setelah menyelesaikan penanganan dua kelemahan tersebut. Respons keamanan tersebut menjadi prioritas administrator karena PHP merupakan bahasa pemrograman populer untuk server. Aplikasi web seperti Joomla dapat memiliki potensi paparan jika server menggunakan versi terdampak. Perlu dipahami, celah tersebut berasal dari komponen internal PHP, bukan hanya karena kesalahan tema aplikasi. Oleh karena itu, pembaruan plugin tidak menggantikan perbaikan runtime PHP.
Cara Dua Kerentanan PHP2Shell Mengancam Infrastruktur Website
Masalah yang diidentifikasi sebagai CVE-2026-109618 melibatkan kesalahan pengelolaan alokasi memori dalam mesin pemrosesan bahasa PHP. Apabila permintaan memicu kondisi kehabisan memori, informasi sementara dapat memiliki keadaan yang tidak lengkap. Kelemahan dapat muncul saat sistem menangani struktur yang belum terbentuk dengan benar. Kondisi tersebut berpotensi mengganggu integritas proses. Dalam skenario eksploitasi, sistem bisa dipaksa mengeksekusi instruksi berbahaya.
Kerentanan kedua melibatkan referensi terhadap data yang telah dibebaskan dari memori. Dalam pemrosesan permintaan, informasi sementara milik permintaan sebelumnya dapat digunakan kembali setelah masa berlakunya berakhir. Ketika sistem kembali menggunakan referensi lama, integritas memori berpotensi terganggu. Kedua masalah tersebut menunjukkan risiko kesalahan pemrosesan tingkat rendah. Kendati PHP sering dipahami sebagai bahasa pemrograman web, mesin pelaksananya bergantung pada keamanan kode sistem.
Risiko Pengambilalihan Sistem Akibat Kerentanan PHP
Kemampuan menjalankan kode dari lokasi berbeda menjadi perhatian utama dalam keamanan server. Ketika penyerang memperoleh kemampuan tersebut, pelaku berpotensi menjalankan instruksi pada server. Cakupan penyalahgunaan bergantung pada hak akses proses PHP. Apabila pembatasan akses tidak memadai, informasi sensitif dapat terancam. Sebagai contoh, website toko online dapat berpotensi kehilangan kerahasiaan informasi apabila lingkungan server berhasil disalahgunakan.
Tidak terbatas pada risiko kebocoran informasi, eksploitasi server juga dapat mengganggu ketersediaan layanan. Ketika server mengalami gangguan, pengunjung mungkin gagal membuka halaman. Dalam organisasi yang mengandalkan website, masalah keamanan berisiko menurunkan kepercayaan. Walaupun dampaknya perlu diwaspadai, penemuan celah tidak otomatis menunjukkan keberhasilan serangan. Pemeriksaan log tetap diperlukan guna membedakan risiko dari serangan berhasil. Langkah pemeriksaan ini mempermudah penanganan berdasarkan temuan nyata.
Versi PHP Terbaru Menutup Dua Kerentanan Keamanan Kritis
Sebagai solusi utama PHP2Shell, proyek PHP menerbitkan rilis resmi yang telah mendapatkan patch. Versi yang direkomendasikan adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Keempat rilis keamanan itu mengatasi CVE-2026-109618 dan CVE-2026-109619. Pengguna versi lama perlu memprioritaskan pemasangan patch, terutama apabila server dapat diakses melalui internet. Pembaruan tersebut harus dipastikan terpasang pada lingkungan produksi, bukan hanya memperbarui aplikasi website.
Bagi instalasi yang menggunakan cabang PHP lama, pengelola harus memeriksa dukungan keamanan. Rilis lama yang tidak lagi didukung berada di luar siklus dukungan keamanan resmi. Walaupun dukungan utama telah berakhir, penyedia pemeliharaan perangkat lunak tertentu dapat menyediakan paket keamanan khusus. Proyek PHP menyiapkan patch sumber terbatas bagi beberapa cabang lama. Walaupun ada jalur perbaikan sementara, migrasi ke versi yang didukung tetap dianjurkan.
Strategi Keamanan untuk Administrator PHP dan Pengelola Hosting
Langkah pertama dalam perlindungan adalah mengidentifikasi seluruh instalasi PHP. Inventarisasi perlu meliputi sistem utama maupun layanan tersembunyi yang memakai PHP. Hal ini penting karena layanan tambahan dapat memiliki runtime PHP tersendiri. Sesudah lingkungan teridentifikasi, administrator perlu menerapkan paket keamanan dari penyedia resmi. Untuk mengurangi risiko perubahan sistem, rencana pemulihan sistem sebaiknya disiapkan. Setelah patch dipasang, layanan PHP perlu dimuat ulang atau dijalankan kembali.
Ketika server tidak bisa segera diperbarui, tersedia sejumlah rekomendasi untuk mengurangi paparan. Dalam penanganan masalah out-of-memory, penyesuaian batas memori merupakan salah satu mitigasi yang disarankan. Pengaturan batas input HTTP juga dapat membantu mengurangi paparan. Sementara itu, pengaturan session.upload_progress.enabled=0 menjadi langkah mitigasi terhadap skenario khusus. Namun, pembatasan konfigurasi tidak membuat sistem sepenuhnya aman. Dengan mempertimbangkan keterbatasannya, pembaruan runtime tetap harus diprioritaskan.
Di samping memperbarui runtime, administrator perlu meninjau log server. Analisis keamanan ini bertujuan mengenali aktivitas tidak biasa. Contoh temuan yang perlu ditelusuri meliputi peluncuran shell secara tidak terduga, lalu lintas eksternal yang menyimpang, serta perubahan file tanpa alasan jelas. Apabila ditemukan indikasi kompromi, administrator harus mengikuti kebijakan pemulihan organisasi. Pemulihan tersebut dapat melibatkan pemulihan dari cadangan bersih sesuai hasil investigasi.
Perlindungan Website Memerlukan Patch dan Pemantauan Berkelanjutan
Penemuan dua kerentanan kritis PHP menunjukkan kebutuhan mendesak dalam menjaga keamanan teknologi server. Masalah keamanan ini berpotensi membuka akses kode jarak jauh sehingga pembaruan PHP harus menjadi prioritas. Sebagai perkembangan keamanan tambahan, pada 23 Oktober 2026 pengembang PHP memberikan informasi mengenai jalur eksploitasi yang tidak biasa yang tercatat dengan nomor CVE-2026-115560. Untuk skenario yang memenuhi persyaratan tertentu, pengguna disarankan menonaktifkan session.upload_progress.enabled sampai pembaruan tambahan dirilis. Berkat penerapan praktik keamanan yang tepat, perlindungan infrastruktur dapat diperkuat. Dari pengalaman Anda, apakah pembaruan keamanan rutin sudah diterapkan secara konsisten pada layanan digital?
