Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.
Kerentanan PHP2Shell Menjadi Ancaman Serius bagi Keamanan Server Web
Istilah PHP2Shell merujuk pada sepasang celah berbahaya dalam PHP yang memengaruhi lingkungan server web. Celah perangkat lunak tersebut terdaftar sebagai CVE-2026-109618 dan CVE-2026-109619. Setiap kerentanan memiliki nilai CVSS 4.0 sebesar 9,2 yang menandakan ancaman serius terhadap sistem. Dampak terpenting adalah potensi menjalankan perintah berbahaya dari luar server melalui pemrosesan permintaan HTTP tertentu. Pada instalasi yang belum diperbaiki, penyerang dapat mencoba serangan tanpa login.
Pengembang PHP merilis pembaruan darurat pada 21 Oktober 2026 setelah menyiapkan patch untuk masalah keamanan. Penerbitan pembaruan itu mendorong tindakan cepat pengelola sistem karena PHP merupakan bahasa pemrograman populer untuk server. Portal yang menggunakan Drupal dapat menghadapi risiko ketika lingkungan PHP belum diperbarui. Namun, kerentanan ini berada pada mesin PHP, bukan secara khusus disebabkan kode CMS tertentu. Dengan kondisi tersebut, pembaruan plugin tidak menggantikan perbaikan runtime PHP.
Cara Dua Kerentanan PHP2Shell Mengancam Infrastruktur Website
Kerentanan pertama berkaitan dengan penanganan kondisi kehabisan memori dalam mesin pemrosesan bahasa PHP. Saat sistem mengalami kegagalan alokasi memori, sebagian data permintaan dapat berada dalam kondisi belum sepenuhnya terinisialisasi. Kelemahan dapat muncul saat sistem menangani struktur yang belum terbentuk dengan benar. Gangguan pada struktur memori dapat menyebabkan kerusakan memori. Apabila kelemahan berhasil dimanfaatkan, penyerang dapat mencapai eksekusi kode jarak jauh.
Kerentanan kedua melibatkan referensi terhadap data yang telah dibebaskan dari memori. Dalam pemrosesan permintaan, informasi sementara milik permintaan sebelumnya dapat tetap tersimpan meskipun alokasi terkait telah dilepaskan. Ketika sistem kembali menggunakan referensi lama, gangguan keamanan dapat terjadi. Sepasang kerentanan ini menunjukkan risiko kesalahan pemrosesan tingkat rendah. Walaupun PHP banyak digunakan untuk pengembangan aplikasi, rangkaian pemrosesan dasarnya harus dirancang secara aman.
Serangan Remote Code Execution Dapat Membahayakan Data Server
Kemampuan menjalankan kode dari lokasi berbeda termasuk kategori ancaman yang sangat berbahaya. Apabila eksploitasi berhasil, penyerang dapat mencoba melakukan tindakan tanpa otorisasi. Besarnya dampak dipengaruhi tingkat kewenangan layanan yang diserang. Pada server dengan pengaturan keamanan lemah, data dan layanan mungkin menghadapi gangguan. Untuk menggambarkan potensi dampaknya, website toko online dapat berpotensi kehilangan kerahasiaan informasi apabila penyerang memperoleh akses yang memadai.
Selain kemungkinan pencurian data, penyalahgunaan sistem bisa menyebabkan gangguan operasional. Jika layanan terganggu, pengunjung mungkin gagal membuka halaman. Bagi pengelola bisnis online, gangguan tersebut dapat memengaruhi reputasi. Namun, instalasi rentan belum tentu sudah mengalami kompromi. Peninjauan indikator keamanan tetap menjadi dasar penilaian kemungkinan insiden. Pendekatan tersebut mengurangi kesimpulan yang tidak didukung data.
Versi PHP Terbaru Menutup Dua Kerentanan Keamanan Kritis
Sebagai solusi utama PHP2Shell, proyek PHP menerbitkan rilis resmi yang telah mendapatkan patch. Versi yang direkomendasikan adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Masing-masing pembaruan memuat perbaikan terhadap dua kerentanan kritis yang diumumkan. Pengguna versi lama dianjurkan segera memperbarui runtime, terutama apabila server dapat diakses melalui internet. Proses instalasi patch harus diterapkan pada runtime aktif, bukan sekadar memasang pembaruan CMS.
Bagi instalasi yang menggunakan cabang PHP lama, pengelola harus memeriksa dukungan keamanan. Versi tersebut berada di luar siklus dukungan keamanan resmi. Meskipun demikian, beberapa vendor distribusi Linux dapat menyediakan paket keamanan khusus. Tim keamanan PHP juga menyediakan backport dasar untuk sejumlah rilis yang tidak lagi didukung. Walaupun ada jalur perbaikan sementara, migrasi ke versi yang didukung tetap dianjurkan.
Strategi Keamanan untuk Administrator PHP dan Pengelola Hosting
Tindakan awal pengamanan adalah mengidentifikasi seluruh instalasi PHP. Inventarisasi perlu meliputi website publik, aplikasi internal, serta komponen pihak ketiga. Pendataan tersebut diperlukan karena layanan tambahan dapat memiliki runtime PHP tersendiri. Ketika inventarisasi selesai, administrator dapat memasang pembaruan melalui mekanisme sistem operasi. Untuk mengurangi risiko perubahan sistem, backup yang dapat dipulihkan perlu dipastikan. Ketika instalasi selesai, administrator perlu memastikan proses aktif memakai versi yang diperbaiki.
Apabila pembaruan belum dapat dilakukan, tersedia sejumlah rekomendasi untuk mengurangi paparan. Dalam penanganan masalah out-of-memory, pengaturan memory_limit=-1 dapat mengurangi jalur serangan tertentu. Pembatasan ukuran permintaan juga berperan dalam membatasi permintaan berisiko. Pada jalur serangan yang berbeda, penonaktifan session upload progress dapat menutup kondisi eksploitasi tertentu. Namun, tidak satu pun mitigasi ini menggantikan patch. Dengan mempertimbangkan keterbatasannya, instalasi patch tidak boleh ditunda tanpa alasan kuat.
Di samping memperbarui runtime, administrator dianjurkan mengevaluasi rekaman permintaan web. Kegiatan pemantauan tersebut bertujuan mengenali aktivitas tidak biasa. Contoh temuan yang perlu ditelusuri meliputi aktivitas proses anak yang mencurigakan, lalu lintas eksternal yang menyimpang, serta modifikasi berkas aplikasi yang tidak direncanakan. Ketika aktivitas berbahaya teridentifikasi, sistem sebaiknya diisolasi sesuai prosedur respons insiden. Pemulihan tersebut harus mempertimbangkan pergantian kredensial yang terdampak sesuai kondisi keamanan sebenarnya.
Kesimpulan: Pembaruan PHP Menjadi Langkah Utama Mengatasi PHP2Shell
Kemunculan PHP2Shell menunjukkan kebutuhan mendesak dalam memastikan ketahanan layanan digital. Kedua celah tersebut berpotensi membuka akses kode jarak jauh sehingga perbaikan runtime menjadi tindakan penting. Sebagai perkembangan keamanan tambahan, pada 23 Oktober 2026 pengembang PHP mengumumkan kondisi khusus terkait session upload progress yang dilacak sebagai CVE-2026-115560. Dalam kondisi konfigurasi tertentu, pengguna perlu mempertimbangkan mitigasi sesi sesuai panduan resmi sampai patch berikutnya diterbitkan. Melalui pembaruan dan pemantauan berkelanjutan, ketahanan server dapat ditingkatkan. Menurut Anda, apakah pembaruan keamanan rutin sudah menjadi prioritas dalam pengelolaan website?
