Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.
Kerentanan PHP2Shell Menjadi Ancaman Serius bagi Keamanan Server Web
PHP2Shell merupakan dua kerentanan keamanan kritis yang dapat membahayakan infrastruktur website. Kedua kerentanan tersebut memiliki identifikasi CVE-2026-109618 serta CVE-2026-109619. Setiap kerentanan memiliki skor keparahan 9,2 dari 10 yang menandakan ancaman serius terhadap sistem. Bahaya utamanya adalah kemampuan penyerang mengeksekusi kode tanpa izin melalui permintaan web yang dirancang khusus. Dalam kondisi rentan, pelaku tidak selalu memerlukan akun pengguna.
Tim keamanan PHP menerbitkan perbaikan kritis pada 21 Oktober 2026 setelah menyiapkan patch untuk masalah keamanan. Penerbitan pembaruan itu menjadi prioritas administrator karena PHP merupakan bahasa pemrograman populer untuk server. Website berbasis WordPress dapat memiliki potensi paparan jika server menggunakan versi terdampak. Meski demikian, celah tersebut berasal dari komponen internal PHP, bukan secara khusus disebabkan kode CMS tertentu. Sebagai konsekuensinya, pembaruan plugin tidak menggantikan perbaikan runtime PHP.
CVE-2026-109618 dan CVE-2026-109619 Memiliki Mekanisme Serangan Berbeda
Masalah yang diidentifikasi sebagai CVE-2026-109618 melibatkan kesalahan pengelolaan alokasi memori dalam sistem internal interpreter PHP. Ketika proses pengalokasian memori gagal, informasi sementara dapat memiliki keadaan yang tidak lengkap. Masalah muncul ketika sistem menangani struktur yang belum terbentuk dengan benar. Kesalahan pengelolaan ini berpotensi mengganggu integritas proses. Apabila kelemahan berhasil dimanfaatkan, sistem bisa dipaksa mengeksekusi instruksi berbahaya.
Masalah keamanan berikutnya terjadi akibat penggunaan informasi internal yang sudah kedaluwarsa. Pada proses pengelolaan request, struktur global yang terkait permintaan tertentu dapat bertahan setelah memori pendukungnya dibebaskan. Apabila pekerja server mengakses informasi yang sudah tidak valid, gangguan keamanan dapat terjadi. Sepasang kerentanan ini menggambarkan kerumitan keamanan runtime. Kendati PHP sering dipahami sebagai bahasa pemrograman web, mesin pelaksananya bergantung pada keamanan kode sistem.
Dampak PHP2Shell terhadap Website dan Informasi Pengguna
Remote Code Execution atau RCE menjadi perhatian utama dalam keamanan server. Apabila eksploitasi berhasil, kode berbahaya dapat dieksekusi dalam lingkungan terdampak. Besarnya dampak bergantung pada hak akses proses PHP. Pada server dengan pengaturan keamanan lemah, data dan layanan mungkin menghadapi gangguan. Dalam skenario yang perlu diantisipasi, portal layanan pelanggan dapat menghadapi risiko perubahan file apabila lingkungan server berhasil disalahgunakan.
Tidak terbatas pada risiko kebocoran informasi, eksploitasi server juga dapat mengganggu ketersediaan layanan. Jika layanan terganggu, aktivitas transaksi berpotensi terhambat. Untuk perusahaan digital, insiden server dapat mengganggu hubungan dengan pelanggan. Walaupun dampaknya perlu diwaspadai, keberadaan kerentanan tidak membuktikan suatu server telah diretas. Peninjauan indikator keamanan tetap dibutuhkan untuk memastikan kondisi sistem. Langkah pemeriksaan ini mempermudah penanganan berdasarkan temuan nyata.
Administrator Server Diminta Segera Memasang Patch PHP
Sebagai solusi utama PHP2Shell, pengembang PHP menyediakan empat versi perbaikan utama. Rilis PHP yang memuat perbaikan adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Masing-masing pembaruan ditujukan untuk memperbaiki dua celah awal PHP2Shell. Administrator instalasi PHP terdampak perlu memprioritaskan pemasangan patch, terutama apabila server dapat diakses melalui internet. Tindakan perbaikan keamanan harus mencakup PHP yang benar-benar digunakan server, bukan sekadar memasang pembaruan CMS.
Untuk PHP 8.1 dan versi lebih lama, situasinya membutuhkan perhatian tambahan. Rilis lama yang tidak lagi didukung sudah tidak menerima patch rutin dari pengembang inti. Di sisi lain, sejumlah penyedia sistem operasi dan layanan dukungan jangka panjang dapat menawarkan perbaikan melalui backport. Pengembang inti turut menerbitkan patch sumber terbatas bagi beberapa cabang lama. Meski tersedia alternatif tersebut, migrasi ke versi yang didukung tetap dianjurkan.
Strategi Keamanan untuk Administrator PHP dan Pengelola Hosting
Prioritas utama administrator adalah mengidentifikasi seluruh instalasi PHP. Inventarisasi perlu meliputi website publik, aplikasi internal, serta komponen pihak ketiga. Hal ini penting karena komponen tertentu mungkin menjalankan PHP secara tidak langsung. Setelah versi diketahui, administrator dapat memasang pembaruan melalui mekanisme sistem operasi. Untuk mengurangi risiko perubahan sistem, rencana pemulihan sistem sebaiknya disiapkan. Setelah patch dipasang, layanan PHP perlu dimuat ulang atau dijalankan kembali.
Ketika server tidak bisa segera diperbarui, administrator dapat menerapkan pembatasan sementara berdasarkan panduan PHP. Dalam penanganan masalah out-of-memory, penyesuaian batas memori merupakan salah satu mitigasi yang disarankan. Pembatasan ukuran permintaan juga menjadi lapisan perlindungan tambahan. Untuk kerentanan berikutnya, penonaktifan session upload progress membantu menghambat salah satu jalur yang diketahui. Perlu ditegaskan, tidak satu pun mitigasi ini menggantikan patch. Dengan mempertimbangkan keterbatasannya, pemasangan versi yang diperbaiki merupakan tindakan utama.
Selain menerapkan patch, administrator dianjurkan mengevaluasi rekaman permintaan web. Pemeriksaan tersebut membantu mengidentifikasi kemungkinan eksploitasi. Indikator yang membutuhkan perhatian meliputi aktivitas proses anak yang mencurigakan, lalu lintas eksternal yang menyimpang, serta modifikasi berkas aplikasi yang tidak direncanakan. Apabila ditemukan indikasi kompromi, administrator harus mengikuti kebijakan pemulihan organisasi. Respons keamanan yang dilakukan dapat melibatkan pemulihan dari cadangan bersih sesuai kondisi keamanan sebenarnya.
Ancaman PHP2Shell Menegaskan Pentingnya Keamanan Server Web
Penemuan dua kerentanan kritis PHP menunjukkan kebutuhan mendesak dalam memastikan ketahanan layanan digital. Kerentanan yang ditemukan dapat memungkinkan eksekusi kode tanpa autentikasi sehingga pembaruan PHP harus menjadi prioritas. Sebagai perkembangan keamanan tambahan, pada 23 Oktober 2026 pengembang PHP mengungkap skenario lanjutan pada fitur kemajuan unggahan sesi yang dilacak sebagai CVE-2026-115560. Untuk skenario yang memenuhi persyaratan tertentu, pengguna disarankan menonaktifkan session.upload_progress.enabled sampai perbaikan lanjutan tersedia. Melalui pembaruan dan pemantauan berkelanjutan, perlindungan infrastruktur dapat diperkuat. Bagaimana pendapat Anda, apakah pembaruan keamanan rutin sudah menjadi prioritas dalam pengelolaan website?
