Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.
Kerentanan PHP2Shell Menjadi Ancaman Serius bagi Keamanan Server Web
Istilah PHP2Shell merujuk pada dua kerentanan keamanan kritis yang memengaruhi lingkungan server web. Masalah keamanan yang ditemukan memiliki identifikasi CVE-2026-109618 serta CVE-2026-109619. Masing-masing memperoleh skor keparahan 9,2 dari 10 yang menggambarkan tingkat risiko tinggi. Bahaya utamanya adalah potensi menjalankan perintah berbahaya dari luar server melalui interaksi jaringan yang mengeksploitasi kelemahan internal. Apabila server masih menggunakan PHP terdampak, penyerang dapat mencoba serangan tanpa login.
Pengembang PHP merilis perbaikan kritis pada 21 Oktober 2026 setelah menyiapkan patch untuk masalah keamanan. Langkah ini mendorong tindakan cepat pengelola sistem karena PHP merupakan bahasa pemrograman populer untuk server. Aplikasi web seperti Joomla dapat memiliki potensi paparan jika server menggunakan versi terdampak. Meski demikian, celah tersebut berasal dari komponen internal PHP, bukan semata-mata akibat plugin website. Oleh karena itu, pembaruan plugin tidak menggantikan perbaikan runtime PHP.
Memahami Masalah Memori yang Menjadi Penyebab PHP2Shell
Celah keamanan CVE-2026-109618 berkaitan dengan penanganan kondisi kehabisan memori dalam runtime PHP. Ketika proses pengalokasian memori gagal, struktur internal tertentu mungkin belum siap digunakan. Risiko terjadi apabila runtime memproses data internal yang tidak berada dalam keadaan semestinya. Gangguan pada struktur memori membuka peluang penyalahgunaan keadaan memori. Dalam skenario eksploitasi, pelaku berpotensi menjalankan kode tanpa izin.
Masalah keamanan berikutnya melibatkan referensi terhadap data yang telah dibebaskan dari memori. Dalam pemrosesan permintaan, informasi sementara milik permintaan sebelumnya dapat bertahan setelah memori pendukungnya dibebaskan. Ketika sistem kembali menggunakan referensi lama, integritas memori berpotensi terganggu. Dua kelemahan yang ditemukan menunjukkan risiko kesalahan pemrosesan tingkat rendah. Meski bahasa PHP dikenal melalui pembuatan website, mesin pelaksananya bergantung pada keamanan kode sistem.
Serangan Remote Code Execution Dapat Membahayakan Data Server
Remote Code Execution atau RCE menjadi perhatian utama dalam keamanan server. Ketika penyerang memperoleh kemampuan tersebut, penyerang dapat mencoba melakukan tindakan tanpa otorisasi. Tingkat kerusakan ditentukan oleh konfigurasi dan izin sistem. Apabila pembatasan akses tidak memadai, file aplikasi berpotensi mengalami perubahan. Sebagai contoh, portal layanan pelanggan dapat berpotensi kehilangan kerahasiaan informasi apabila serangan berhasil mencapai komponen penting.
Tidak terbatas pada risiko kebocoran informasi, penyalahgunaan sistem bisa menyebabkan gangguan operasional. Jika layanan terganggu, pengunjung mungkin gagal membuka halaman. Untuk perusahaan digital, insiden server dapat mengganggu hubungan dengan pelanggan. Namun, keberadaan kerentanan tidak membuktikan suatu server telah diretas. Peninjauan indikator keamanan tetap diperlukan guna membedakan risiko dari serangan berhasil. Pendekatan tersebut membantu administrator mengambil keputusan secara tepat.
Versi PHP Terbaru Menutup Dua Kerentanan Keamanan Kritis
Dalam merespons ancaman keamanan tersebut, proyek PHP menerbitkan empat versi perbaikan utama. Versi yang direkomendasikan adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Masing-masing pembaruan ditujukan untuk memperbaiki dua celah awal PHP2Shell. Administrator instalasi PHP terdampak sebaiknya tidak menunda proses pembaruan, terutama apabila layanan menerima permintaan dari jaringan publik. Pembaruan tersebut harus mencakup PHP yang benar-benar digunakan server, bukan sekadar memasang pembaruan CMS.
Untuk PHP 8.1 dan versi lebih lama, pengelola harus memeriksa dukungan keamanan. Rilis lama yang tidak lagi didukung berada di luar siklus dukungan keamanan resmi. Di sisi lain, penyedia pemeliharaan perangkat lunak tertentu dapat menawarkan perbaikan melalui backport. Tim keamanan PHP juga menyediakan perbaikan sumber minimal untuk PHP 7.4, 8.0, dan 8.1. Namun, penggunaan runtime modern menjadi pilihan lebih berkelanjutan.
Pencegahan Serangan PHP2Shell Melalui Pembaruan dan Pengawasan Server
Prioritas utama administrator adalah memeriksa versi PHP pada setiap layanan. Peninjauan harus memperhatikan website publik, aplikasi internal, serta komponen pihak ketiga. Hal ini penting karena layanan tambahan dapat memiliki runtime PHP tersendiri. Ketika inventarisasi selesai, administrator perlu menerapkan paket keamanan dari penyedia resmi. Sebagai persiapan pemeliharaan, cadangan konfigurasi dan data penting sebaiknya tersedia. Setelah patch dipasang, pekerja server harus menggunakan runtime terbaru.
Apabila pembaruan belum dapat dilakukan, tersedia sejumlah rekomendasi untuk mengurangi paparan. Untuk CVE-2026-109618, penyesuaian batas memori merupakan salah satu mitigasi yang disarankan. Pembatasan ukuran permintaan juga menjadi lapisan perlindungan tambahan. Pada jalur serangan yang berbeda, pengaturan session.upload_progress.enabled=0 membantu menghambat salah satu jalur yang diketahui. Meski langkah tersebut bermanfaat, pembatasan konfigurasi tidak membuat sistem sepenuhnya aman. Karena itu, instalasi patch tidak boleh ditunda tanpa alasan kuat.
Di samping memperbarui runtime, administrator perlu meninjau log server. Analisis keamanan ini membantu mengidentifikasi kemungkinan eksploitasi. Aktivitas yang patut diperiksa meliputi proses server menjalankan program yang tidak dikenal, lalu lintas eksternal yang menyimpang, serta munculnya file yang tidak dikenali. Jika terdapat bukti penyalahgunaan, tim keamanan perlu menjalankan penanganan insiden. Respons keamanan yang dilakukan dapat melibatkan pemulihan dari cadangan bersih sesuai kondisi keamanan sebenarnya.
Ancaman PHP2Shell Menegaskan Pentingnya Keamanan Server Web
Kemunculan PHP2Shell menjadi pengingat penting dalam menjaga keamanan teknologi server. Kedua celah tersebut berpotensi membuka akses kode jarak jauh sehingga perbaikan runtime menjadi tindakan penting. Selain dua celah awal, pada 23 Oktober 2026 pengembang PHP mengumumkan kondisi khusus terkait session upload progress yang tercatat dengan nomor CVE-2026-115560. Dalam kondisi konfigurasi tertentu, pengguna dianjurkan mengikuti pembatasan sementara yang diumumkan sampai perbaikan lanjutan tersedia. Berkat penerapan praktik keamanan yang tepat, perlindungan infrastruktur dapat diperkuat. Dari pengalaman Anda, apakah pembaruan keamanan rutin sudah menjadi prioritas dalam pengelolaan website?
