Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.
Kerentanan PHP2Shell Menjadi Ancaman Serius bagi Keamanan Server Web
PHP2Shell merupakan dua kerentanan keamanan kritis yang memengaruhi lingkungan server web. Kedua kerentanan tersebut memiliki identifikasi CVE-2026-109618 serta CVE-2026-109619. Keduanya mendapatkan peringkat kritis dengan skor 9,2 yang menandakan ancaman serius terhadap sistem. Bahaya utamanya adalah kemungkinan eksekusi kode jarak jauh melalui pemrosesan permintaan HTTP tertentu. Dalam kondisi rentan, pelaku tidak selalu memerlukan akun pengguna.
Tim keamanan PHP menerbitkan pembaruan darurat pada 21 Oktober 2026 setelah menyiapkan patch untuk masalah keamanan. Penerbitan pembaruan itu menjadi prioritas administrator karena PHP merupakan bahasa pemrograman populer untuk server. Portal yang menggunakan Drupal dapat memiliki potensi paparan jika server menggunakan versi terdampak. Meski demikian, masalah keamanan terjadi dalam runtime PHP, bukan hanya karena kesalahan tema aplikasi. Sebagai konsekuensinya, memperbarui CMS saja tidak mencukupi.
CVE-2026-109618 dan CVE-2026-109619 Memiliki Mekanisme Serangan Berbeda
Masalah yang diidentifikasi sebagai CVE-2026-109618 muncul dari kelemahan pemrosesan out-of-memory dalam runtime PHP. Ketika proses pengalokasian memori gagal, informasi sementara dapat memiliki keadaan yang tidak lengkap. Kelemahan dapat muncul saat runtime memproses data internal yang tidak berada dalam keadaan semestinya. Kondisi tersebut dapat menyebabkan kerusakan memori. Dalam skenario eksploitasi, pelaku berpotensi menjalankan kode tanpa izin.
CVE-2026-109619 berkaitan dengan penggunaan keadaan internal yang sudah tidak valid. Pada proses pengelolaan request, sebagian keadaan internal yang seharusnya dibersihkan dapat tetap tersimpan meskipun alokasi terkait telah dilepaskan. Jika permintaan berikutnya memakai keadaan tersebut, celah eksploitasi dapat terbuka. Dua kelemahan yang ditemukan memperlihatkan pentingnya pengelolaan memori. Walaupun PHP banyak digunakan untuk pengembangan aplikasi, komponen internalnya tetap membutuhkan perlindungan memori.
Risiko Pengambilalihan Sistem Akibat Kerentanan PHP
Remote Code Execution atau RCE menjadi perhatian utama dalam keamanan server. Jika sistem benar-benar berhasil ditembus, penyerang dapat mencoba melakukan tindakan tanpa otorisasi. Tingkat kerusakan ditentukan oleh konfigurasi dan izin sistem. Pada server dengan pengaturan keamanan lemah, informasi sensitif dapat terancam. Dalam skenario yang perlu diantisipasi, portal layanan pelanggan dapat menghadapi risiko perubahan file apabila lingkungan server berhasil disalahgunakan.
Di samping ancaman terhadap kerahasiaan, eksploitasi server juga dapat mengganggu ketersediaan layanan. Ketika server mengalami gangguan, aktivitas transaksi berpotensi terhambat. Bagi pengelola bisnis online, gangguan tersebut dapat memengaruhi reputasi. Walaupun dampaknya perlu diwaspadai, keberadaan kerentanan tidak membuktikan suatu server telah diretas. Pemeriksaan log tetap dibutuhkan untuk memastikan kondisi sistem. Pendekatan tersebut mempermudah penanganan berdasarkan temuan nyata.
Pembaruan PHP Darurat Menjadi Perlindungan Utama terhadap PHP2Shell
Sebagai solusi utama PHP2Shell, proyek PHP menerbitkan rilis resmi yang telah mendapatkan patch. Versi yang direkomendasikan adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Seluruh versi tersebut memuat perbaikan terhadap dua kerentanan kritis yang diumumkan. Pengelola layanan berbasis PHP dianjurkan segera memperbarui runtime, terutama apabila layanan menerima permintaan dari jaringan publik. Pembaruan tersebut harus diterapkan pada runtime aktif, bukan terbatas pada plugin maupun tema.
Bagi instalasi yang menggunakan cabang PHP lama, pembaruan perlu direncanakan lebih cermat. Versi tersebut tidak memperoleh pembaruan reguler dari proyek utama PHP. Meskipun demikian, beberapa vendor distribusi Linux dapat menawarkan perbaikan melalui backport. Proyek PHP menyiapkan backport dasar untuk sejumlah rilis yang tidak lagi didukung. Namun, migrasi ke versi yang didukung tetap dianjurkan.
Strategi Keamanan untuk Administrator PHP dan Pengelola Hosting
Tindakan awal pengamanan adalah mengidentifikasi seluruh instalasi PHP. Inventarisasi perlu meliputi server produksi, lingkungan pengujian, dan layanan pendukung. Pendataan tersebut diperlukan karena komponen tertentu mungkin menjalankan PHP secara tidak langsung. Ketika inventarisasi selesai, administrator harus memilih patch yang sesuai dengan lingkungan server. Untuk mengurangi risiko perubahan sistem, backup yang dapat dipulihkan perlu dipastikan. Ketika instalasi selesai, pekerja server harus menggunakan runtime terbaru.
Jika terdapat kendala pemasangan patch, tersedia sejumlah rekomendasi untuk mengurangi paparan. Pada kerentanan terkait kegagalan alokasi memori, pengaturan memory_limit=-1 dapat mengurangi jalur serangan tertentu. Pengendalian volume data yang diterima juga menjadi lapisan perlindungan tambahan. Pada jalur serangan yang berbeda, penonaktifan session upload progress membantu menghambat salah satu jalur yang diketahui. Perlu ditegaskan, tidak satu pun mitigasi ini menggantikan patch. Dengan mempertimbangkan keterbatasannya, pembaruan runtime tetap harus diprioritaskan.
Selain menerapkan patch, administrator sebaiknya memeriksa catatan aktivitas PHP. Kegiatan pemantauan tersebut bertujuan mengenali aktivitas tidak biasa. Indikator yang membutuhkan perhatian meliputi peluncuran shell secara tidak terduga, lalu lintas eksternal yang menyimpang, serta munculnya file yang tidak dikenali. Jika terdapat bukti penyalahgunaan, sistem sebaiknya diisolasi sesuai prosedur respons insiden. Respons keamanan yang dilakukan perlu mencakup pemeriksaan integritas data sesuai tingkat kerusakan yang ditemukan.
Kesimpulan: Pembaruan PHP Menjadi Langkah Utama Mengatasi PHP2Shell
Kemunculan PHP2Shell menunjukkan kebutuhan mendesak dalam melindungi infrastruktur website. Masalah keamanan ini berpotensi membuka akses kode jarak jauh sehingga administrator perlu segera memasang patch. Sebagai perkembangan keamanan tambahan, pada 23 Oktober 2026 pengembang PHP memberikan informasi mengenai jalur eksploitasi yang tidak biasa yang dilacak sebagai CVE-2026-115560. Dalam kondisi konfigurasi tertentu, pengguna dianjurkan mengikuti pembatasan sementara yang diumumkan sampai pembaruan tambahan dirilis. Berkat penerapan praktik keamanan yang tepat, risiko serangan dapat ditekan. Bagaimana pendapat Anda, apakah pemantauan aktivitas server sudah mendapat perhatian yang memadai dalam operasional server?
