Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.
PHP2Shell Mengungkap Risiko Eksekusi Kode Jarak Jauh pada Server
PHP2Shell merupakan dua kelemahan serius pada sistem pemrosesan PHP yang memengaruhi lingkungan server web. Celah perangkat lunak tersebut terdaftar sebagai CVE-2026-109618 dan CVE-2026-109619. Masing-masing memperoleh peringkat kritis dengan skor 9,2 yang menggambarkan tingkat risiko tinggi. Risiko paling mengkhawatirkan adalah kemampuan penyerang mengeksekusi kode tanpa izin melalui permintaan web yang dirancang khusus. Pada instalasi yang belum diperbaiki, penyerang dapat mencoba serangan tanpa login.
Proyek PHP mengumumkan pembaruan darurat pada 21 Oktober 2026 setelah menyiapkan patch untuk masalah keamanan. Penerbitan pembaruan itu menjadi prioritas administrator karena PHP merupakan bahasa pemrograman populer untuk server. Website berbasis WordPress dapat memiliki potensi paparan jika server menggunakan versi terdampak. Namun, kerentanan ini berada pada mesin PHP, bukan semata-mata akibat plugin website. Sebagai konsekuensinya, update aplikasi tanpa patch PHP belum menyelesaikan masalah.
Cara Dua Kerentanan PHP2Shell Mengancam Infrastruktur Website
Masalah yang diidentifikasi sebagai CVE-2026-109618 muncul dari kelemahan pemrosesan out-of-memory dalam sistem internal interpreter PHP. Ketika proses pengalokasian memori gagal, informasi sementara dapat memiliki keadaan yang tidak lengkap. Kelemahan dapat muncul saat proses pembersihan memperlakukan data tersebut sebagai informasi valid. Kesalahan pengelolaan ini dapat menyebabkan kerusakan memori. Dalam skenario eksploitasi, penyerang dapat mencapai eksekusi kode jarak jauh.
Masalah keamanan berikutnya melibatkan referensi terhadap data yang telah dibebaskan dari memori. Dalam pemrosesan permintaan, sebagian keadaan internal yang seharusnya dibersihkan dapat digunakan kembali setelah masa berlakunya berakhir. Ketika sistem kembali menggunakan referensi lama, integritas memori berpotensi terganggu. Dua kelemahan yang ditemukan menunjukkan risiko kesalahan pemrosesan tingkat rendah. Kendati PHP sering dipahami sebagai bahasa pemrograman web, mesin pelaksananya bergantung pada keamanan kode sistem.
Dampak PHP2Shell terhadap Website dan Informasi Pengguna
Kemampuan menjalankan kode dari lokasi berbeda merupakan salah satu risiko keamanan paling serius. Jika sistem benar-benar berhasil ditembus, penyerang dapat mencoba melakukan tindakan tanpa otorisasi. Besarnya dampak dipengaruhi tingkat kewenangan layanan yang diserang. Pada server dengan pengaturan keamanan lemah, data dan layanan mungkin menghadapi gangguan. Dalam skenario yang perlu diantisipasi, aplikasi administrasi bisnis dapat berpotensi kehilangan kerahasiaan informasi apabila penyerang memperoleh akses yang memadai.
Di samping ancaman terhadap kerahasiaan, penyalahgunaan sistem bisa menyebabkan gangguan operasional. Apabila aplikasi tidak dapat diakses, pengunjung mungkin gagal membuka halaman. Untuk perusahaan digital, insiden server dapat mengganggu hubungan dengan pelanggan. Walaupun dampaknya perlu diwaspadai, keberadaan kerentanan tidak membuktikan suatu server telah diretas. Analisis aktivitas server tetap menjadi dasar penilaian kemungkinan insiden. Evaluasi berbasis bukti mengurangi kesimpulan yang tidak didukung data.
Versi PHP Terbaru Menutup Dua Kerentanan Keamanan Kritis
Dalam merespons ancaman keamanan tersebut, proyek PHP menerbitkan sejumlah pembaruan keamanan penting. Pembaruan yang tersedia adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Keempat rilis keamanan itu ditujukan untuk memperbaiki dua celah awal PHP2Shell. Pengguna versi lama sebaiknya tidak menunda proses pembaruan, terutama apabila server dapat diakses melalui internet. Proses instalasi patch harus dipastikan terpasang pada lingkungan produksi, bukan sekadar memasang pembaruan CMS.
Untuk PHP 8.1 dan versi lebih lama, pengelola harus memeriksa dukungan keamanan. Versi tersebut tidak memperoleh pembaruan reguler dari proyek utama PHP. Di sisi lain, penyedia pemeliharaan perangkat lunak tertentu dapat menyediakan paket keamanan khusus. Proyek PHP menyiapkan perbaikan sumber minimal untuk PHP 7.4, 8.0, dan 8.1. Walaupun ada jalur perbaikan sementara, migrasi ke versi yang didukung tetap dianjurkan.
Langkah Melindungi Server Web dan Memantau Potensi Eksploitasi PHP2Shell
Langkah pertama dalam perlindungan adalah mendata runtime PHP yang digunakan. Pemeriksaan sebaiknya mencakup sistem utama maupun layanan tersembunyi yang memakai PHP. Hal ini penting karena komponen tertentu mungkin menjalankan PHP secara tidak langsung. Ketika inventarisasi selesai, administrator dapat memasang pembaruan melalui mekanisme sistem operasi. Sebelum pembaruan, backup yang dapat dipulihkan perlu dipastikan. Sesudah proses pembaruan, administrator perlu memastikan proses aktif memakai versi yang diperbaiki.
Jika terdapat kendala pemasangan patch, pengembang PHP menyediakan langkah mitigasi sementara. Dalam penanganan masalah out-of-memory, penyesuaian batas memori merupakan salah satu mitigasi yang disarankan. Pembatasan ukuran permintaan juga berperan dalam membatasi permintaan berisiko. Sementara itu, pembatasan fitur kemajuan unggahan sesi membantu menghambat salah satu jalur yang diketahui. Perlu ditegaskan, tidak satu pun mitigasi ini menggantikan patch. Dengan mempertimbangkan keterbatasannya, pembaruan runtime tetap harus diprioritaskan.
Selain menerapkan patch, administrator sebaiknya memeriksa catatan aktivitas PHP. Kegiatan pemantauan tersebut dapat menunjukkan indikasi kompromi sistem. Aktivitas yang patut diperiksa meliputi peluncuran shell secara tidak terduga, lalu lintas eksternal yang menyimpang, serta modifikasi berkas aplikasi yang tidak direncanakan. Apabila ditemukan indikasi kompromi, tim keamanan perlu menjalankan penanganan insiden. Proses penanganan ini dapat melibatkan pemulihan dari cadangan bersih sesuai kondisi keamanan sebenarnya.
Perlindungan Website Memerlukan Patch dan Pemantauan Berkelanjutan
Penemuan dua kerentanan kritis PHP menunjukkan kebutuhan mendesak dalam melindungi infrastruktur website. Kedua celah tersebut dapat memungkinkan eksekusi kode tanpa autentikasi sehingga pembaruan PHP harus menjadi prioritas. Selain dua celah awal, pada 23 Oktober 2026 pengembang PHP memberikan informasi mengenai jalur eksploitasi yang tidak biasa yang memiliki identifikasi CVE-2026-115560. Dalam kondisi konfigurasi tertentu, pengguna dianjurkan mengikuti pembatasan sementara yang diumumkan sampai perbaikan lanjutan tersedia. Dengan pengelolaan yang disiplin, risiko serangan dapat ditekan. Dari pengalaman Anda, apakah pengelolaan versi perangkat lunak sudah menjadi prioritas dalam pengelolaan website?
