Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.
PHP2Shell Mengungkap Risiko Eksekusi Kode Jarak Jauh pada Server
Nama PHP2Shell digunakan untuk menyebut sepasang celah berbahaya dalam PHP yang berpotensi mengancam aplikasi berbasis PHP. Masalah keamanan yang ditemukan terdaftar sebagai CVE-2026-109618 dan CVE-2026-109619. Keduanya mendapatkan skor keparahan 9,2 dari 10 yang menunjukkan potensi dampak besar. Bahaya utamanya adalah kemampuan penyerang mengeksekusi kode tanpa izin melalui pemrosesan permintaan HTTP tertentu. Dalam kondisi rentan, pelaku tidak selalu memerlukan akun pengguna.
Tim keamanan PHP menerbitkan rilis keamanan penting tanggal 21 Oktober 2026 setelah menyiapkan patch untuk masalah keamanan. Respons keamanan tersebut mendapat perhatian luas karena PHP menjadi fondasi berbagai website dinamis. Portal yang menggunakan Drupal dapat terdampak apabila menjalankan runtime PHP rentan. Namun, masalah keamanan terjadi dalam runtime PHP, bukan semata-mata akibat plugin website. Dengan kondisi tersebut, memperbarui CMS saja tidak mencukupi.
CVE-2026-109618 dan CVE-2026-109619 Memiliki Mekanisme Serangan Berbeda
Kerentanan pertama muncul dari kelemahan pemrosesan out-of-memory dalam sistem internal interpreter PHP. Apabila permintaan memicu kondisi kehabisan memori, sebagian data permintaan dapat berada dalam kondisi belum sepenuhnya terinisialisasi. Masalah muncul ketika runtime memproses data internal yang tidak berada dalam keadaan semestinya. Kondisi tersebut dapat menyebabkan kerusakan memori. Apabila kelemahan berhasil dimanfaatkan, penyerang dapat mencapai eksekusi kode jarak jauh.
CVE-2026-109619 berkaitan dengan penggunaan keadaan internal yang sudah tidak valid. Pada proses pengelolaan request, struktur global yang terkait permintaan tertentu dapat digunakan kembali setelah masa berlakunya berakhir. Apabila pekerja server mengakses informasi yang sudah tidak valid, gangguan keamanan dapat terjadi. Kedua masalah tersebut memperlihatkan pentingnya pengelolaan memori. Meski bahasa PHP dikenal melalui pembuatan website, mesin pelaksananya bergantung pada keamanan kode sistem.
Risiko Pengambilalihan Sistem Akibat Kerentanan PHP
Eksekusi kode jarak jauh yang dikenal sebagai RCE menjadi perhatian utama dalam keamanan server. Ketika penyerang memperoleh kemampuan tersebut, pelaku berpotensi menjalankan instruksi pada server. Cakupan penyalahgunaan dipengaruhi tingkat kewenangan layanan yang diserang. Dalam lingkungan yang tidak terlindungi, data dan layanan mungkin menghadapi gangguan. Sebagai contoh, website toko online dapat mengalami gangguan operasional apabila penyerang memperoleh akses yang memadai.
Selain kemungkinan pencurian data, eksploitasi server juga dapat mengganggu ketersediaan layanan. Ketika server mengalami gangguan, pelanggan dapat kesulitan menggunakan layanan. Dalam organisasi yang mengandalkan website, insiden server dapat mengganggu hubungan dengan pelanggan. Meski demikian, keberadaan kerentanan tidak membuktikan suatu server telah diretas. Analisis aktivitas server tetap dibutuhkan untuk memastikan kondisi sistem. Langkah pemeriksaan ini mempermudah penanganan berdasarkan temuan nyata.
Administrator Server Diminta Segera Memasang Patch PHP
Untuk menangani kedua kerentanan, tim keamanan PHP merilis rilis resmi yang telah mendapatkan patch. Rilis PHP yang memuat perbaikan adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Seluruh versi tersebut memuat perbaikan terhadap dua kerentanan kritis yang diumumkan. Pengguna versi lama perlu memprioritaskan pemasangan patch, terutama apabila aplikasi beroperasi sebagai website publik. Proses instalasi patch harus dipastikan terpasang pada lingkungan produksi, bukan terbatas pada plugin maupun tema.
Dalam lingkungan dengan PHP yang sudah melewati masa dukungan, situasinya membutuhkan perhatian tambahan. Versi tersebut berada di luar siklus dukungan keamanan resmi. Meskipun demikian, penyedia pemeliharaan perangkat lunak tertentu dapat menawarkan perbaikan melalui backport. Tim keamanan PHP juga menyediakan backport dasar untuk sejumlah rilis yang tidak lagi didukung. Meski tersedia alternatif tersebut, pembaruan ke cabang aktif lebih baik untuk keamanan jangka panjang.
Langkah Melindungi Server Web dan Memantau Potensi Eksploitasi PHP2Shell
Prioritas utama administrator adalah mendata runtime PHP yang digunakan. Peninjauan harus memperhatikan server produksi, lingkungan pengujian, dan layanan pendukung. Hal ini penting karena komponen tertentu mungkin menjalankan PHP secara tidak langsung. Ketika inventarisasi selesai, administrator harus memilih patch yang sesuai dengan lingkungan server. Untuk mengurangi risiko perubahan sistem, cadangan konfigurasi dan data penting sebaiknya tersedia. Setelah patch dipasang, layanan PHP perlu dimuat ulang atau dijalankan kembali.
Jika terdapat kendala pemasangan patch, pengembang PHP menyediakan langkah mitigasi sementara. Untuk CVE-2026-109618, penyesuaian batas memori merupakan salah satu mitigasi yang disarankan. Pengaturan batas input HTTP juga menjadi lapisan perlindungan tambahan. Untuk kerentanan berikutnya, penonaktifan session upload progress dapat menutup kondisi eksploitasi tertentu. Namun, tidak satu pun mitigasi ini menggantikan patch. Oleh sebab itu, instalasi patch tidak boleh ditunda tanpa alasan kuat.
Di samping memperbarui runtime, administrator perlu meninjau log server. Analisis keamanan ini membantu mengidentifikasi kemungkinan eksploitasi. Aktivitas yang patut diperiksa meliputi aktivitas proses anak yang mencurigakan, koneksi keluar yang tidak biasa, serta perubahan file tanpa alasan jelas. Jika terdapat bukti penyalahgunaan, tim keamanan perlu menjalankan penanganan insiden. Respons keamanan yang dilakukan dapat melibatkan pemulihan dari cadangan bersih sesuai kondisi keamanan sebenarnya.
Kesimpulan: Pembaruan PHP Menjadi Langkah Utama Mengatasi PHP2Shell
Kemunculan PHP2Shell menjadi pengingat penting dalam melindungi infrastruktur website. Kedua celah tersebut memiliki risiko pengambilalihan proses server sehingga perbaikan runtime menjadi tindakan penting. Selain dua celah awal, pada 23 Oktober 2026 pengembang PHP mengumumkan kondisi khusus terkait session upload progress yang dilacak sebagai CVE-2026-115560. Untuk skenario yang memenuhi persyaratan tertentu, pengguna disarankan menonaktifkan session.upload_progress.enabled sampai patch berikutnya diterbitkan. Berkat penerapan praktik keamanan yang tepat, ketahanan server dapat ditingkatkan. Dari pengalaman Anda, apakah pengelolaan versi perangkat lunak sudah mendapat perhatian yang memadai dalam operasional server?
