Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.
Kerentanan PHP2Shell Menjadi Ancaman Serius bagi Keamanan Server Web
Nama PHP2Shell digunakan untuk menyebut dua kelemahan serius pada sistem pemrosesan PHP yang dapat membahayakan infrastruktur website. Masalah keamanan yang ditemukan memiliki identifikasi CVE-2026-109618 serta CVE-2026-109619. Setiap kerentanan memiliki peringkat kritis dengan skor 9,2 yang menggambarkan tingkat risiko tinggi. Bahaya utamanya adalah potensi menjalankan perintah berbahaya dari luar server melalui pemrosesan permintaan HTTP tertentu. Dalam kondisi rentan, pelaku tidak selalu memerlukan akun pengguna.
Pengembang PHP merilis perbaikan kritis pada 21 Oktober 2026 setelah menyelesaikan penanganan dua kelemahan tersebut. Respons keamanan tersebut mendorong tindakan cepat pengelola sistem karena PHP digunakan oleh banyak aplikasi web. Portal yang menggunakan Drupal dapat memiliki potensi paparan jika server menggunakan versi terdampak. Perlu dipahami, kerentanan ini berada pada mesin PHP, bukan semata-mata akibat plugin website. Sebagai konsekuensinya, pembaruan plugin tidak menggantikan perbaikan runtime PHP.
Memahami Masalah Memori yang Menjadi Penyebab PHP2Shell
Celah keamanan CVE-2026-109618 melibatkan kesalahan pengelolaan alokasi memori dalam sistem internal interpreter PHP. Saat sistem mengalami kegagalan alokasi memori, sebagian data permintaan dapat berada dalam kondisi belum sepenuhnya terinisialisasi. Masalah muncul ketika sistem menangani struktur yang belum terbentuk dengan benar. Kondisi tersebut membuka peluang penyalahgunaan keadaan memori. Apabila kelemahan berhasil dimanfaatkan, pelaku berpotensi menjalankan kode tanpa izin.
Kerentanan kedua berkaitan dengan penggunaan keadaan internal yang sudah tidak valid. Pada proses pengelolaan request, struktur global yang terkait permintaan tertentu dapat digunakan kembali setelah masa berlakunya berakhir. Ketika sistem kembali menggunakan referensi lama, integritas memori berpotensi terganggu. Sepasang kerentanan ini memperlihatkan pentingnya pengelolaan memori. Meski bahasa PHP dikenal melalui pembuatan website, rangkaian pemrosesan dasarnya harus dirancang secara aman.
Risiko Pengambilalihan Sistem Akibat Kerentanan PHP
Eksekusi kode jarak jauh yang dikenal sebagai RCE menjadi perhatian utama dalam keamanan server. Jika sistem benar-benar berhasil ditembus, kode berbahaya dapat dieksekusi dalam lingkungan terdampak. Cakupan penyalahgunaan ditentukan oleh konfigurasi dan izin sistem. Apabila pembatasan akses tidak memadai, informasi sensitif dapat terancam. Sebagai contoh, aplikasi administrasi bisnis dapat menghadapi risiko perubahan file apabila serangan berhasil mencapai komponen penting.
Tidak terbatas pada risiko kebocoran informasi, eksploitasi server juga dapat mengganggu ketersediaan layanan. Ketika server mengalami gangguan, pelanggan dapat kesulitan menggunakan layanan. Dalam organisasi yang mengandalkan website, masalah keamanan berisiko menurunkan kepercayaan. Namun, keberadaan kerentanan tidak membuktikan suatu server telah diretas. Peninjauan indikator keamanan tetap diperlukan guna membedakan risiko dari serangan berhasil. Langkah pemeriksaan ini mengurangi kesimpulan yang tidak didukung data.
Versi PHP Terbaru Menutup Dua Kerentanan Keamanan Kritis
Dalam merespons ancaman keamanan tersebut, tim keamanan PHP merilis rilis resmi yang telah mendapatkan patch. Rilis PHP yang memuat perbaikan adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Seluruh versi tersebut mengatasi CVE-2026-109618 dan CVE-2026-109619. Pengelola layanan berbasis PHP dianjurkan segera memperbarui runtime, terutama apabila layanan menerima permintaan dari jaringan publik. Tindakan perbaikan keamanan harus mencakup PHP yang benar-benar digunakan server, bukan terbatas pada plugin maupun tema.
Untuk PHP 8.1 dan versi lebih lama, pengelola harus memeriksa dukungan keamanan. Versi tersebut sudah tidak menerima patch rutin dari pengembang inti. Walaupun dukungan utama telah berakhir, penyedia pemeliharaan perangkat lunak tertentu dapat menerbitkan patch bagi instalasi lama. Pengembang inti turut menerbitkan perbaikan sumber minimal untuk PHP 7.4, 8.0, dan 8.1. Meski tersedia alternatif tersebut, pembaruan ke cabang aktif lebih baik untuk keamanan jangka panjang.
Pencegahan Serangan PHP2Shell Melalui Pembaruan dan Pengawasan Server
Langkah pertama dalam perlindungan adalah mendata runtime PHP yang digunakan. Peninjauan harus memperhatikan server produksi, lingkungan pengujian, dan layanan pendukung. Pendataan tersebut diperlukan karena layanan tambahan dapat memiliki runtime PHP tersendiri. Ketika inventarisasi selesai, administrator dapat memasang pembaruan melalui mekanisme sistem operasi. Untuk mengurangi risiko perubahan sistem, cadangan konfigurasi dan data penting sebaiknya tersedia. Sesudah proses pembaruan, administrator perlu memastikan proses aktif memakai versi yang diperbaiki.
Apabila pembaruan belum dapat dilakukan, tersedia sejumlah rekomendasi untuk mengurangi paparan. Pada kerentanan terkait kegagalan alokasi memori, pengaturan memory_limit=-1 dapat mengurangi jalur serangan tertentu. Pengaturan batas input HTTP juga menjadi lapisan perlindungan tambahan. Sementara itu, pembatasan fitur kemajuan unggahan sesi menjadi langkah mitigasi terhadap skenario khusus. Namun, pembatasan konfigurasi tidak membuat sistem sepenuhnya aman. Karena itu, instalasi patch tidak boleh ditunda tanpa alasan kuat.
Selain menerapkan patch, administrator dianjurkan mengevaluasi rekaman permintaan web. Pemeriksaan tersebut dapat menunjukkan indikasi kompromi sistem. Indikator yang membutuhkan perhatian meliputi proses server menjalankan program yang tidak dikenal, komunikasi jaringan menuju tujuan asing, serta modifikasi berkas aplikasi yang tidak direncanakan. Ketika aktivitas berbahaya teridentifikasi, sistem sebaiknya diisolasi sesuai prosedur respons insiden. Respons keamanan yang dilakukan perlu mencakup pemeriksaan integritas data sesuai hasil investigasi.
Perlindungan Website Memerlukan Patch dan Pemantauan Berkelanjutan
Kemunculan PHP2Shell menjadi pengingat penting dalam memastikan ketahanan layanan digital. Kedua celah tersebut dapat memungkinkan eksekusi kode tanpa autentikasi sehingga administrator perlu segera memasang patch. Selain dua celah awal, pada 23 Oktober 2026 pengembang PHP mengungkap skenario lanjutan pada fitur kemajuan unggahan sesi yang memiliki identifikasi CVE-2026-115560. Dalam kondisi konfigurasi tertentu, pengguna perlu mempertimbangkan mitigasi sesi sesuai panduan resmi sampai patch berikutnya diterbitkan. Dengan pengelolaan yang disiplin, ketahanan server dapat ditingkatkan. Menurut Anda, apakah pemantauan aktivitas server sudah diterapkan secara konsisten pada layanan digital?
