Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.
Kerentanan PHP2Shell Menjadi Ancaman Serius bagi Keamanan Server Web
Istilah PHP2Shell merujuk pada dua kelemahan serius pada sistem pemrosesan PHP yang berpotensi mengancam aplikasi berbasis PHP. Celah perangkat lunak tersebut dikenali melalui nomor CVE-2026-109618 dan CVE-2026-109619. Masing-masing memperoleh nilai CVSS 4.0 sebesar 9,2 yang menandakan ancaman serius terhadap sistem. Dampak terpenting adalah kemampuan penyerang mengeksekusi kode tanpa izin melalui permintaan web yang dirancang khusus. Apabila server masih menggunakan PHP terdampak, penyerang dapat mencoba serangan tanpa login.
Pengembang PHP merilis perbaikan kritis pada 21 Oktober 2026 setelah menyelesaikan penanganan dua kelemahan tersebut. Langkah ini mendorong tindakan cepat pengelola sistem karena PHP digunakan oleh banyak aplikasi web. Website berbasis WordPress dapat memiliki potensi paparan jika server menggunakan versi terdampak. Namun, celah tersebut berasal dari komponen internal PHP, bukan hanya karena kesalahan tema aplikasi. Dengan kondisi tersebut, pembaruan plugin tidak menggantikan perbaikan runtime PHP.
Memahami Masalah Memori yang Menjadi Penyebab PHP2Shell
Kerentanan pertama melibatkan kesalahan pengelolaan alokasi memori dalam sistem internal interpreter PHP. Ketika proses pengalokasian memori gagal, struktur internal tertentu mungkin belum siap digunakan. Masalah muncul ketika proses pembersihan memperlakukan data tersebut sebagai informasi valid. Gangguan pada struktur memori berpotensi mengganggu integritas proses. Dalam skenario eksploitasi, pelaku berpotensi menjalankan kode tanpa izin.
Kerentanan kedua melibatkan referensi terhadap data yang telah dibebaskan dari memori. Pada proses pengelolaan request, struktur global yang terkait permintaan tertentu dapat bertahan setelah memori pendukungnya dibebaskan. Ketika sistem kembali menggunakan referensi lama, gangguan keamanan dapat terjadi. Kedua masalah tersebut menggambarkan kerumitan keamanan runtime. Walaupun PHP banyak digunakan untuk pengembangan aplikasi, komponen internalnya tetap membutuhkan perlindungan memori.
Dampak PHP2Shell terhadap Website dan Informasi Pengguna
Eksekusi kode jarak jauh yang dikenal sebagai RCE termasuk kategori ancaman yang sangat berbahaya. Apabila eksploitasi berhasil, pelaku berpotensi menjalankan instruksi pada server. Tingkat kerusakan ditentukan oleh konfigurasi dan izin sistem. Dalam lingkungan yang tidak terlindungi, informasi sensitif dapat terancam. Dalam skenario yang perlu diantisipasi, aplikasi administrasi bisnis dapat berpotensi kehilangan kerahasiaan informasi apabila penyerang memperoleh akses yang memadai.
Tidak terbatas pada risiko kebocoran informasi, serangan berpotensi memengaruhi stabilitas website. Ketika server mengalami gangguan, pengunjung mungkin gagal membuka halaman. Dalam organisasi yang mengandalkan website, gangguan tersebut dapat memengaruhi reputasi. Namun, instalasi rentan belum tentu sudah mengalami kompromi. Analisis aktivitas server tetap menjadi dasar penilaian kemungkinan insiden. Pendekatan tersebut mempermudah penanganan berdasarkan temuan nyata.
Versi PHP Terbaru Menutup Dua Kerentanan Keamanan Kritis
Dalam merespons ancaman keamanan tersebut, tim keamanan PHP merilis rilis resmi yang telah mendapatkan patch. Pembaruan yang tersedia adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Seluruh versi tersebut memuat perbaikan terhadap dua kerentanan kritis yang diumumkan. Administrator instalasi PHP terdampak sebaiknya tidak menunda proses pembaruan, terutama apabila layanan menerima permintaan dari jaringan publik. Pembaruan tersebut harus mencakup PHP yang benar-benar digunakan server, bukan hanya memperbarui aplikasi website.
Bagi instalasi yang menggunakan cabang PHP lama, pengelola harus memeriksa dukungan keamanan. Rilis lama yang tidak lagi didukung tidak memperoleh pembaruan reguler dari proyek utama PHP. Meskipun demikian, penyedia pemeliharaan perangkat lunak tertentu dapat menerbitkan patch bagi instalasi lama. Tim keamanan PHP juga menyediakan backport dasar untuk sejumlah rilis yang tidak lagi didukung. Meski tersedia alternatif tersebut, penggunaan runtime modern menjadi pilihan lebih berkelanjutan.
Pencegahan Serangan PHP2Shell Melalui Pembaruan dan Pengawasan Server
Tindakan awal pengamanan adalah memeriksa versi PHP pada setiap layanan. Pemeriksaan sebaiknya mencakup server produksi, lingkungan pengujian, dan layanan pendukung. Pemeriksaan menyeluruh dibutuhkan karena komponen tertentu mungkin menjalankan PHP secara tidak langsung. Setelah versi diketahui, administrator dapat memasang pembaruan melalui mekanisme sistem operasi. Sebagai persiapan pemeliharaan, backup yang dapat dipulihkan perlu dipastikan. Sesudah proses pembaruan, layanan PHP perlu dimuat ulang atau dijalankan kembali.
Ketika server tidak bisa segera diperbarui, pengembang PHP menyediakan langkah mitigasi sementara. Untuk CVE-2026-109618, perubahan batas memori dapat membantu menghambat kondisi eksploitasi khusus. Pengaturan batas input HTTP juga dapat membantu mengurangi paparan. Untuk kerentanan berikutnya, pengaturan session.upload_progress.enabled=0 menjadi langkah mitigasi terhadap skenario khusus. Perlu ditegaskan, tidak satu pun mitigasi ini menggantikan patch. Oleh sebab itu, pemasangan versi yang diperbaiki merupakan tindakan utama.
Untuk memperkuat pengamanan setelah pembaruan, administrator sebaiknya memeriksa catatan aktivitas PHP. Analisis keamanan ini dapat menunjukkan indikasi kompromi sistem. Indikator yang membutuhkan perhatian meliputi peluncuran shell secara tidak terduga, komunikasi jaringan menuju tujuan asing, serta modifikasi berkas aplikasi yang tidak direncanakan. Jika terdapat bukti penyalahgunaan, administrator harus mengikuti kebijakan pemulihan organisasi. Proses penanganan ini dapat melibatkan pemulihan dari cadangan bersih sesuai hasil investigasi.
Kesimpulan: Pembaruan PHP Menjadi Langkah Utama Mengatasi PHP2Shell
Kemunculan PHP2Shell memperlihatkan tantangan besar dalam melindungi infrastruktur website. Kerentanan yang ditemukan memiliki risiko pengambilalihan proses server sehingga pembaruan PHP harus menjadi prioritas. Selain dua celah awal, pada 23 Oktober 2026 pengembang PHP memberikan informasi mengenai jalur eksploitasi yang tidak biasa yang memiliki identifikasi CVE-2026-115560. Pada aplikasi dengan kombinasi pengaturan khusus, pengguna dianjurkan mengikuti pembatasan sementara yang diumumkan sampai perbaikan lanjutan tersedia. Berkat penerapan praktik keamanan yang tepat, risiko serangan dapat ditekan. Menurut Anda, apakah pembaruan keamanan rutin sudah diterapkan secara konsisten pada layanan digital?
