Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.
PHP2Shell Mengungkap Risiko Eksekusi Kode Jarak Jauh pada Server
Istilah PHP2Shell merujuk pada dua kelemahan serius pada sistem pemrosesan PHP yang dapat membahayakan infrastruktur website. Masalah keamanan yang ditemukan memiliki identifikasi CVE-2026-109618 serta CVE-2026-109619. Masing-masing memperoleh peringkat kritis dengan skor 9,2 yang menunjukkan potensi dampak besar. Bahaya utamanya adalah kemungkinan eksekusi kode jarak jauh melalui permintaan web yang dirancang khusus. Apabila server masih menggunakan PHP terdampak, eksploitasi berpotensi terjadi tanpa autentikasi.
Tim keamanan PHP menerbitkan perbaikan kritis pada 21 Oktober 2026 setelah mengembangkan perbaikan terhadap kerentanan. Langkah ini mendapat perhatian luas karena PHP menjadi fondasi berbagai website dinamis. Aplikasi web seperti Joomla dapat terdampak apabila menjalankan runtime PHP rentan. Namun, celah tersebut berasal dari komponen internal PHP, bukan secara khusus disebabkan kode CMS tertentu. Sebagai konsekuensinya, pembaruan plugin tidak menggantikan perbaikan runtime PHP.
CVE-2026-109618 dan CVE-2026-109619 Memiliki Mekanisme Serangan Berbeda
Celah keamanan CVE-2026-109618 muncul dari kelemahan pemrosesan out-of-memory dalam runtime PHP. Apabila permintaan memicu kondisi kehabisan memori, struktur internal tertentu mungkin belum siap digunakan. Kelemahan dapat muncul saat sistem menangani struktur yang belum terbentuk dengan benar. Kesalahan pengelolaan ini berpotensi mengganggu integritas proses. Pada serangan yang memenuhi kondisi tertentu, penyerang dapat mencapai eksekusi kode jarak jauh.
Masalah keamanan berikutnya terjadi akibat penggunaan informasi internal yang sudah kedaluwarsa. Pada proses pengelolaan request, sebagian keadaan internal yang seharusnya dibersihkan dapat tetap tersimpan meskipun alokasi terkait telah dilepaskan. Jika permintaan berikutnya memakai keadaan tersebut, gangguan keamanan dapat terjadi. Sepasang kerentanan ini menunjukkan risiko kesalahan pemrosesan tingkat rendah. Walaupun PHP banyak digunakan untuk pengembangan aplikasi, mesin pelaksananya bergantung pada keamanan kode sistem.
Serangan Remote Code Execution Dapat Membahayakan Data Server
Kemampuan menjalankan kode dari lokasi berbeda termasuk kategori ancaman yang sangat berbahaya. Jika sistem benar-benar berhasil ditembus, pelaku berpotensi menjalankan instruksi pada server. Tingkat kerusakan ditentukan oleh konfigurasi dan izin sistem. Apabila pembatasan akses tidak memadai, file aplikasi berpotensi mengalami perubahan. Untuk menggambarkan potensi dampaknya, aplikasi administrasi bisnis dapat menghadapi risiko perubahan file apabila lingkungan server berhasil disalahgunakan.
Selain kemungkinan pencurian data, eksploitasi server juga dapat mengganggu ketersediaan layanan. Jika layanan terganggu, pelanggan dapat kesulitan menggunakan layanan. Untuk perusahaan digital, masalah keamanan berisiko menurunkan kepercayaan. Meski demikian, instalasi rentan belum tentu sudah mengalami kompromi. Pemeriksaan log tetap dibutuhkan untuk memastikan kondisi sistem. Langkah pemeriksaan ini mempermudah penanganan berdasarkan temuan nyata.
Pembaruan PHP Darurat Menjadi Perlindungan Utama terhadap PHP2Shell
Dalam merespons ancaman keamanan tersebut, pengembang PHP menyediakan sejumlah pembaruan keamanan penting. Rilis PHP yang memuat perbaikan adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Seluruh versi tersebut mengatasi CVE-2026-109618 dan CVE-2026-109619. Administrator instalasi PHP terdampak dianjurkan segera memperbarui runtime, terutama apabila layanan menerima permintaan dari jaringan publik. Pembaruan tersebut harus diterapkan pada runtime aktif, bukan hanya memperbarui aplikasi website.
Bagi instalasi yang menggunakan cabang PHP lama, situasinya membutuhkan perhatian tambahan. Cabang PHP yang telah mencapai akhir masa dukungan sudah tidak menerima patch rutin dari pengembang inti. Walaupun dukungan utama telah berakhir, penyedia pemeliharaan perangkat lunak tertentu dapat menawarkan perbaikan melalui backport. Pengembang inti turut menerbitkan patch sumber terbatas bagi beberapa cabang lama. Meski tersedia alternatif tersebut, pembaruan ke cabang aktif lebih baik untuk keamanan jangka panjang.
Langkah Melindungi Server Web dan Memantau Potensi Eksploitasi PHP2Shell
Langkah pertama dalam perlindungan adalah mendata runtime PHP yang digunakan. Peninjauan harus memperhatikan sistem utama maupun layanan tersembunyi yang memakai PHP. Pendataan tersebut diperlukan karena layanan tambahan dapat memiliki runtime PHP tersendiri. Sesudah lingkungan teridentifikasi, administrator harus memilih patch yang sesuai dengan lingkungan server. Sebagai persiapan pemeliharaan, cadangan konfigurasi dan data penting sebaiknya tersedia. Ketika instalasi selesai, layanan PHP perlu dimuat ulang atau dijalankan kembali.
Apabila pembaruan belum dapat dilakukan, administrator dapat menerapkan pembatasan sementara berdasarkan panduan PHP. Dalam penanganan masalah out-of-memory, pengaturan memory_limit=-1 dapat mengurangi jalur serangan tertentu. Pembatasan ukuran permintaan juga berperan dalam membatasi permintaan berisiko. Untuk kerentanan berikutnya, pembatasan fitur kemajuan unggahan sesi membantu menghambat salah satu jalur yang diketahui. Meski langkah tersebut bermanfaat, pengaturan sementara belum memberikan perlindungan lengkap. Karena itu, pembaruan runtime tetap harus diprioritaskan.
Di samping memperbarui runtime, administrator dianjurkan mengevaluasi rekaman permintaan web. Kegiatan pemantauan tersebut dapat menunjukkan indikasi kompromi sistem. Contoh temuan yang perlu ditelusuri meliputi aktivitas proses anak yang mencurigakan, koneksi keluar yang tidak biasa, serta munculnya file yang tidak dikenali. Ketika aktivitas berbahaya teridentifikasi, administrator harus mengikuti kebijakan pemulihan organisasi. Respons keamanan yang dilakukan perlu mencakup pemeriksaan integritas data sesuai tingkat kerusakan yang ditemukan.
Kesimpulan: Pembaruan PHP Menjadi Langkah Utama Mengatasi PHP2Shell
Penemuan dua kerentanan kritis PHP menunjukkan kebutuhan mendesak dalam menjaga keamanan teknologi server. Kerentanan yang ditemukan dapat memungkinkan eksekusi kode tanpa autentikasi sehingga pembaruan PHP harus menjadi prioritas. Di luar pembaruan darurat tersebut, pada 23 Oktober 2026 pengembang PHP mengumumkan kondisi khusus terkait session upload progress yang tercatat dengan nomor CVE-2026-115560. Untuk skenario yang memenuhi persyaratan tertentu, pengguna perlu mempertimbangkan mitigasi sesi sesuai panduan resmi sampai patch berikutnya diterbitkan. Melalui pembaruan dan pemantauan berkelanjutan, ketahanan server dapat ditingkatkan. Menurut Anda, apakah pengelolaan versi perangkat lunak sudah mendapat perhatian yang memadai dalam operasional server?
