Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.
Dua Celah Kritis PHP Memicu Peringatan Keamanan Siber
Istilah PHP2Shell merujuk pada dua kerentanan keamanan kritis yang memengaruhi lingkungan server web. Kedua kerentanan tersebut terdaftar sebagai CVE-2026-109618 dan CVE-2026-109619. Masing-masing memperoleh skor keparahan 9,2 dari 10 yang menandakan ancaman serius terhadap sistem. Risiko paling mengkhawatirkan adalah kemungkinan eksekusi kode jarak jauh melalui interaksi jaringan yang mengeksploitasi kelemahan internal. Pada instalasi yang belum diperbaiki, eksploitasi berpotensi terjadi tanpa autentikasi.
Pengembang PHP merilis pembaruan darurat pada 21 Oktober 2026 setelah mengembangkan perbaikan terhadap kerentanan. Langkah ini menjadi prioritas administrator karena PHP merupakan bahasa pemrograman populer untuk server. Aplikasi web seperti Joomla dapat terdampak apabila menjalankan runtime PHP rentan. Perlu dipahami, celah tersebut berasal dari komponen internal PHP, bukan hanya karena kesalahan tema aplikasi. Oleh karena itu, pembaruan plugin tidak menggantikan perbaikan runtime PHP.
CVE-2026-109618 dan CVE-2026-109619 Memiliki Mekanisme Serangan Berbeda
Kerentanan pertama berkaitan dengan penanganan kondisi kehabisan memori dalam sistem internal interpreter PHP. Apabila permintaan memicu kondisi kehabisan memori, informasi sementara dapat memiliki keadaan yang tidak lengkap. Risiko terjadi apabila sistem menangani struktur yang belum terbentuk dengan benar. Kondisi tersebut dapat menyebabkan kerusakan memori. Pada serangan yang memenuhi kondisi tertentu, penyerang dapat mencapai eksekusi kode jarak jauh.
Kerentanan kedua berkaitan dengan penggunaan keadaan internal yang sudah tidak valid. Pada proses pengelolaan request, struktur global yang terkait permintaan tertentu dapat bertahan setelah memori pendukungnya dibebaskan. Ketika sistem kembali menggunakan referensi lama, celah eksploitasi dapat terbuka. Sepasang kerentanan ini menunjukkan risiko kesalahan pemrosesan tingkat rendah. Kendati PHP sering dipahami sebagai bahasa pemrograman web, rangkaian pemrosesan dasarnya harus dirancang secara aman.
Risiko Pengambilalihan Sistem Akibat Kerentanan PHP
Eksekusi kode jarak jauh yang dikenal sebagai RCE menjadi perhatian utama dalam keamanan server. Jika sistem benar-benar berhasil ditembus, penyerang dapat mencoba melakukan tindakan tanpa otorisasi. Besarnya dampak bergantung pada hak akses proses PHP. Pada server dengan pengaturan keamanan lemah, informasi sensitif dapat terancam. Untuk menggambarkan potensi dampaknya, aplikasi administrasi bisnis dapat mengalami gangguan operasional apabila penyerang memperoleh akses yang memadai.
Di samping ancaman terhadap kerahasiaan, eksploitasi server juga dapat mengganggu ketersediaan layanan. Apabila aplikasi tidak dapat diakses, aktivitas transaksi berpotensi terhambat. Dalam organisasi yang mengandalkan website, masalah keamanan berisiko menurunkan kepercayaan. Meski demikian, penemuan celah tidak otomatis menunjukkan keberhasilan serangan. Pemeriksaan log tetap dibutuhkan untuk memastikan kondisi sistem. Evaluasi berbasis bukti mengurangi kesimpulan yang tidak didukung data.
Versi PHP Terbaru Menutup Dua Kerentanan Keamanan Kritis
Untuk menangani kedua kerentanan, tim keamanan PHP merilis empat versi perbaikan utama. Versi yang direkomendasikan adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Keempat rilis keamanan itu mengatasi CVE-2026-109618 dan CVE-2026-109619. Pengelola layanan berbasis PHP sebaiknya tidak menunda proses pembaruan, terutama apabila aplikasi beroperasi sebagai website publik. Pembaruan tersebut harus mencakup PHP yang benar-benar digunakan server, bukan hanya memperbarui aplikasi website.
Bagi instalasi yang menggunakan cabang PHP lama, pembaruan perlu direncanakan lebih cermat. Cabang PHP yang telah mencapai akhir masa dukungan tidak memperoleh pembaruan reguler dari proyek utama PHP. Meskipun demikian, beberapa vendor distribusi Linux dapat menawarkan perbaikan melalui backport. Tim keamanan PHP juga menyediakan backport dasar untuk sejumlah rilis yang tidak lagi didukung. Meski tersedia alternatif tersebut, penggunaan runtime modern menjadi pilihan lebih berkelanjutan.
Langkah Melindungi Server Web dan Memantau Potensi Eksploitasi PHP2Shell
Prioritas utama administrator adalah memeriksa versi PHP pada setiap layanan. Peninjauan harus memperhatikan sistem utama maupun layanan tersembunyi yang memakai PHP. Pendataan tersebut diperlukan karena komponen tertentu mungkin menjalankan PHP secara tidak langsung. Setelah versi diketahui, administrator dapat memasang pembaruan melalui mekanisme sistem operasi. Sebelum pembaruan, cadangan konfigurasi dan data penting sebaiknya tersedia. Setelah patch dipasang, administrator perlu memastikan proses aktif memakai versi yang diperbaiki.
Ketika server tidak bisa segera diperbarui, tersedia sejumlah rekomendasi untuk mengurangi paparan. Untuk CVE-2026-109618, pengaturan memory_limit=-1 dapat mengurangi jalur serangan tertentu. Pembatasan ukuran permintaan juga berperan dalam membatasi permintaan berisiko. Pada jalur serangan yang berbeda, penonaktifan session upload progress membantu menghambat salah satu jalur yang diketahui. Meski langkah tersebut bermanfaat, pembatasan konfigurasi tidak membuat sistem sepenuhnya aman. Karena itu, instalasi patch tidak boleh ditunda tanpa alasan kuat.
Di samping memperbarui runtime, administrator perlu meninjau log server. Kegiatan pemantauan tersebut dapat menunjukkan indikasi kompromi sistem. Aktivitas yang patut diperiksa meliputi proses server menjalankan program yang tidak dikenal, koneksi keluar yang tidak biasa, serta perubahan file tanpa alasan jelas. Jika terdapat bukti penyalahgunaan, tim keamanan perlu menjalankan penanganan insiden. Pemulihan tersebut harus mempertimbangkan pergantian kredensial yang terdampak sesuai kondisi keamanan sebenarnya.
Ancaman PHP2Shell Menegaskan Pentingnya Keamanan Server Web
Penemuan dua kerentanan kritis PHP menunjukkan kebutuhan mendesak dalam memastikan ketahanan layanan digital. Kedua celah tersebut dapat memungkinkan eksekusi kode tanpa autentikasi sehingga perbaikan runtime menjadi tindakan penting. Sebagai perkembangan keamanan tambahan, pada 23 Oktober 2026 pengembang PHP mengumumkan kondisi khusus terkait session upload progress yang memiliki identifikasi CVE-2026-115560. Untuk skenario yang memenuhi persyaratan tertentu, pengguna disarankan menonaktifkan session.upload_progress.enabled sampai perbaikan lanjutan tersedia. Melalui pembaruan dan pemantauan berkelanjutan, perlindungan infrastruktur dapat diperkuat. Bagaimana pendapat Anda, apakah pembaruan keamanan rutin sudah menjadi prioritas dalam pengelolaan website?
