Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.
Kerentanan PHP2Shell Menjadi Ancaman Serius bagi Keamanan Server Web
Istilah PHP2Shell merujuk pada dua kerentanan keamanan kritis yang memengaruhi lingkungan server web. Kedua kerentanan tersebut memiliki identifikasi CVE-2026-109618 serta CVE-2026-109619. Keduanya mendapatkan nilai CVSS 4.0 sebesar 9,2 yang menggambarkan tingkat risiko tinggi. Dampak terpenting adalah potensi menjalankan perintah berbahaya dari luar server melalui permintaan web yang dirancang khusus. Apabila server masih menggunakan PHP terdampak, penyerang dapat mencoba serangan tanpa login.
Tim keamanan PHP menerbitkan rilis keamanan penting tanggal 21 Oktober 2026 setelah menyelesaikan penanganan dua kelemahan tersebut. Penerbitan pembaruan itu mendapat perhatian luas karena PHP digunakan oleh banyak aplikasi web. Portal yang menggunakan Drupal dapat terdampak apabila menjalankan runtime PHP rentan. Meski demikian, kerentanan ini berada pada mesin PHP, bukan semata-mata akibat plugin website. Sebagai konsekuensinya, update aplikasi tanpa patch PHP belum menyelesaikan masalah.
Cara Dua Kerentanan PHP2Shell Mengancam Infrastruktur Website
Masalah yang diidentifikasi sebagai CVE-2026-109618 muncul dari kelemahan pemrosesan out-of-memory dalam sistem internal interpreter PHP. Apabila permintaan memicu kondisi kehabisan memori, informasi sementara dapat memiliki keadaan yang tidak lengkap. Kelemahan dapat muncul saat runtime memproses data internal yang tidak berada dalam keadaan semestinya. Gangguan pada struktur memori membuka peluang penyalahgunaan keadaan memori. Pada serangan yang memenuhi kondisi tertentu, penyerang dapat mencapai eksekusi kode jarak jauh.
Masalah keamanan berikutnya terjadi akibat penggunaan informasi internal yang sudah kedaluwarsa. Pada proses pengelolaan request, sebagian keadaan internal yang seharusnya dibersihkan dapat digunakan kembali setelah masa berlakunya berakhir. Ketika sistem kembali menggunakan referensi lama, integritas memori berpotensi terganggu. Sepasang kerentanan ini menggambarkan kerumitan keamanan runtime. Meski bahasa PHP dikenal melalui pembuatan website, rangkaian pemrosesan dasarnya harus dirancang secara aman.
Risiko Pengambilalihan Sistem Akibat Kerentanan PHP
Eksekusi kode jarak jauh yang dikenal sebagai RCE menjadi perhatian utama dalam keamanan server. Jika sistem benar-benar berhasil ditembus, pelaku berpotensi menjalankan instruksi pada server. Cakupan penyalahgunaan dipengaruhi tingkat kewenangan layanan yang diserang. Apabila pembatasan akses tidak memadai, file aplikasi berpotensi mengalami perubahan. Untuk menggambarkan potensi dampaknya, aplikasi administrasi bisnis dapat mengalami gangguan operasional apabila penyerang memperoleh akses yang memadai.
Tidak terbatas pada risiko kebocoran informasi, eksploitasi server juga dapat mengganggu ketersediaan layanan. Ketika server mengalami gangguan, pengunjung mungkin gagal membuka halaman. Bagi pengelola bisnis online, gangguan tersebut dapat memengaruhi reputasi. Namun, penemuan celah tidak otomatis menunjukkan keberhasilan serangan. Peninjauan indikator keamanan tetap dibutuhkan untuk memastikan kondisi sistem. Langkah pemeriksaan ini membantu administrator mengambil keputusan secara tepat.
Pembaruan PHP Darurat Menjadi Perlindungan Utama terhadap PHP2Shell
Dalam merespons ancaman keamanan tersebut, pengembang PHP menyediakan rilis resmi yang telah mendapatkan patch. Rilis PHP yang memuat perbaikan adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Seluruh versi tersebut ditujukan untuk memperbaiki dua celah awal PHP2Shell. Pengguna versi lama dianjurkan segera memperbarui runtime, terutama apabila layanan menerima permintaan dari jaringan publik. Tindakan perbaikan keamanan harus mencakup PHP yang benar-benar digunakan server, bukan sekadar memasang pembaruan CMS.
Dalam lingkungan dengan PHP yang sudah melewati masa dukungan, pembaruan perlu direncanakan lebih cermat. Versi tersebut berada di luar siklus dukungan keamanan resmi. Meskipun demikian, penyedia pemeliharaan perangkat lunak tertentu dapat menawarkan perbaikan melalui backport. Tim keamanan PHP juga menyediakan patch sumber terbatas bagi beberapa cabang lama. Walaupun ada jalur perbaikan sementara, pembaruan ke cabang aktif lebih baik untuk keamanan jangka panjang.
Pencegahan Serangan PHP2Shell Melalui Pembaruan dan Pengawasan Server
Langkah pertama dalam perlindungan adalah mengidentifikasi seluruh instalasi PHP. Peninjauan harus memperhatikan website publik, aplikasi internal, serta komponen pihak ketiga. Pendataan tersebut diperlukan karena sebuah organisasi dapat menggunakan PHP tanpa menyadarinya. Setelah versi diketahui, administrator dapat memasang pembaruan melalui mekanisme sistem operasi. Sebagai persiapan pemeliharaan, backup yang dapat dipulihkan perlu dipastikan. Ketika instalasi selesai, administrator perlu memastikan proses aktif memakai versi yang diperbaiki.
Ketika server tidak bisa segera diperbarui, administrator dapat menerapkan pembatasan sementara berdasarkan panduan PHP. Dalam penanganan masalah out-of-memory, penyesuaian batas memori merupakan salah satu mitigasi yang disarankan. Pengaturan batas input HTTP juga dapat membantu mengurangi paparan. Untuk kerentanan berikutnya, pengaturan session.upload_progress.enabled=0 menjadi langkah mitigasi terhadap skenario khusus. Perlu ditegaskan, pengaturan sementara belum memberikan perlindungan lengkap. Dengan mempertimbangkan keterbatasannya, instalasi patch tidak boleh ditunda tanpa alasan kuat.
Di samping memperbarui runtime, administrator dianjurkan mengevaluasi rekaman permintaan web. Kegiatan pemantauan tersebut bertujuan mengenali aktivitas tidak biasa. Contoh temuan yang perlu ditelusuri meliputi proses server menjalankan program yang tidak dikenal, koneksi keluar yang tidak biasa, serta perubahan file tanpa alasan jelas. Ketika aktivitas berbahaya teridentifikasi, sistem sebaiknya diisolasi sesuai prosedur respons insiden. Proses penanganan ini perlu mencakup pemeriksaan integritas data sesuai hasil investigasi.
Perlindungan Website Memerlukan Patch dan Pemantauan Berkelanjutan
Kemunculan PHP2Shell memperlihatkan tantangan besar dalam memastikan ketahanan layanan digital. Kedua celah tersebut memiliki risiko pengambilalihan proses server sehingga administrator perlu segera memasang patch. Sebagai perkembangan keamanan tambahan, pada 23 Oktober 2026 pengembang PHP mengungkap skenario lanjutan pada fitur kemajuan unggahan sesi yang tercatat dengan nomor CVE-2026-115560. Pada aplikasi dengan kombinasi pengaturan khusus, pengguna disarankan menonaktifkan session.upload_progress.enabled sampai perbaikan lanjutan tersedia. Dengan pengelolaan yang disiplin, perlindungan infrastruktur dapat diperkuat. Menurut Anda, apakah pembaruan keamanan rutin sudah mendapat perhatian yang memadai dalam operasional server?
