Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.
Dua Celah Kritis PHP Memicu Peringatan Keamanan Siber
Istilah PHP2Shell merujuk pada dua kelemahan serius pada sistem pemrosesan PHP yang dapat membahayakan infrastruktur website. Masalah keamanan yang ditemukan dikenali melalui nomor CVE-2026-109618 dan CVE-2026-109619. Setiap kerentanan memiliki nilai CVSS 4.0 sebesar 9,2 yang menggambarkan tingkat risiko tinggi. Bahaya utamanya adalah kemampuan penyerang mengeksekusi kode tanpa izin melalui permintaan web yang dirancang khusus. Apabila server masih menggunakan PHP terdampak, penyerang dapat mencoba serangan tanpa login.
Proyek PHP mengumumkan perbaikan kritis pada 21 Oktober 2026 setelah mengembangkan perbaikan terhadap kerentanan. Respons keamanan tersebut mendapat perhatian luas karena PHP menjadi fondasi berbagai website dinamis. Website berbasis WordPress dapat memiliki potensi paparan jika server menggunakan versi terdampak. Meski demikian, masalah keamanan terjadi dalam runtime PHP, bukan secara khusus disebabkan kode CMS tertentu. Sebagai konsekuensinya, update aplikasi tanpa patch PHP belum menyelesaikan masalah.
CVE-2026-109618 dan CVE-2026-109619 Memiliki Mekanisme Serangan Berbeda
Kerentanan pertama melibatkan kesalahan pengelolaan alokasi memori dalam mesin pemrosesan bahasa PHP. Apabila permintaan memicu kondisi kehabisan memori, informasi sementara dapat memiliki keadaan yang tidak lengkap. Risiko terjadi apabila sistem menangani struktur yang belum terbentuk dengan benar. Gangguan pada struktur memori membuka peluang penyalahgunaan keadaan memori. Pada serangan yang memenuhi kondisi tertentu, sistem bisa dipaksa mengeksekusi instruksi berbahaya.
Masalah keamanan berikutnya berkaitan dengan penggunaan keadaan internal yang sudah tidak valid. Pada proses pengelolaan request, sebagian keadaan internal yang seharusnya dibersihkan dapat bertahan setelah memori pendukungnya dibebaskan. Ketika sistem kembali menggunakan referensi lama, celah eksploitasi dapat terbuka. Dua kelemahan yang ditemukan menunjukkan risiko kesalahan pemrosesan tingkat rendah. Kendati PHP sering dipahami sebagai bahasa pemrograman web, rangkaian pemrosesan dasarnya harus dirancang secara aman.
Dampak PHP2Shell terhadap Website dan Informasi Pengguna
Eksekusi kode jarak jauh yang dikenal sebagai RCE merupakan salah satu risiko keamanan paling serius. Jika sistem benar-benar berhasil ditembus, penyerang dapat mencoba melakukan tindakan tanpa otorisasi. Tingkat kerusakan ditentukan oleh konfigurasi dan izin sistem. Dalam lingkungan yang tidak terlindungi, file aplikasi berpotensi mengalami perubahan. Untuk menggambarkan potensi dampaknya, website toko online dapat menghadapi risiko perubahan file apabila serangan berhasil mencapai komponen penting.
Di samping ancaman terhadap kerahasiaan, eksploitasi server juga dapat mengganggu ketersediaan layanan. Jika layanan terganggu, pelanggan dapat kesulitan menggunakan layanan. Bagi pengelola bisnis online, gangguan tersebut dapat memengaruhi reputasi. Walaupun dampaknya perlu diwaspadai, penemuan celah tidak otomatis menunjukkan keberhasilan serangan. Analisis aktivitas server tetap diperlukan guna membedakan risiko dari serangan berhasil. Pendekatan tersebut mempermudah penanganan berdasarkan temuan nyata.
Pembaruan PHP Darurat Menjadi Perlindungan Utama terhadap PHP2Shell
Sebagai solusi utama PHP2Shell, proyek PHP menerbitkan empat versi perbaikan utama. Pembaruan yang tersedia adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Masing-masing pembaruan ditujukan untuk memperbaiki dua celah awal PHP2Shell. Administrator instalasi PHP terdampak sebaiknya tidak menunda proses pembaruan, terutama apabila server dapat diakses melalui internet. Tindakan perbaikan keamanan harus diterapkan pada runtime aktif, bukan hanya memperbarui aplikasi website.
Dalam lingkungan dengan PHP yang sudah melewati masa dukungan, pembaruan perlu direncanakan lebih cermat. Rilis lama yang tidak lagi didukung sudah tidak menerima patch rutin dari pengembang inti. Walaupun dukungan utama telah berakhir, beberapa vendor distribusi Linux dapat menyediakan paket keamanan khusus. Proyek PHP menyiapkan backport dasar untuk sejumlah rilis yang tidak lagi didukung. Namun, penggunaan runtime modern menjadi pilihan lebih berkelanjutan.
Pencegahan Serangan PHP2Shell Melalui Pembaruan dan Pengawasan Server
Tindakan awal pengamanan adalah mengidentifikasi seluruh instalasi PHP. Inventarisasi perlu meliputi website publik, aplikasi internal, serta komponen pihak ketiga. Pemeriksaan menyeluruh dibutuhkan karena layanan tambahan dapat memiliki runtime PHP tersendiri. Setelah versi diketahui, administrator harus memilih patch yang sesuai dengan lingkungan server. Sebagai persiapan pemeliharaan, cadangan konfigurasi dan data penting sebaiknya tersedia. Ketika instalasi selesai, administrator perlu memastikan proses aktif memakai versi yang diperbaiki.
Apabila pembaruan belum dapat dilakukan, tersedia sejumlah rekomendasi untuk mengurangi paparan. Untuk CVE-2026-109618, penyesuaian batas memori merupakan salah satu mitigasi yang disarankan. Pengaturan batas input HTTP juga menjadi lapisan perlindungan tambahan. Pada jalur serangan yang berbeda, penonaktifan session upload progress membantu menghambat salah satu jalur yang diketahui. Perlu ditegaskan, tidak satu pun mitigasi ini menggantikan patch. Karena itu, pemasangan versi yang diperbaiki merupakan tindakan utama.
Untuk memperkuat pengamanan setelah pembaruan, administrator dianjurkan mengevaluasi rekaman permintaan web. Analisis keamanan ini membantu mengidentifikasi kemungkinan eksploitasi. Contoh temuan yang perlu ditelusuri meliputi peluncuran shell secara tidak terduga, koneksi keluar yang tidak biasa, serta modifikasi berkas aplikasi yang tidak direncanakan. Jika terdapat bukti penyalahgunaan, administrator harus mengikuti kebijakan pemulihan organisasi. Proses penanganan ini harus mempertimbangkan pergantian kredensial yang terdampak sesuai kondisi keamanan sebenarnya.
Kesimpulan: Pembaruan PHP Menjadi Langkah Utama Mengatasi PHP2Shell
Pengungkapan CVE-2026-109618 dan CVE-2026-109619 menjadi pengingat penting dalam menjaga keamanan teknologi server. Kerentanan yang ditemukan berpotensi membuka akses kode jarak jauh sehingga perbaikan runtime menjadi tindakan penting. Selain dua celah awal, pada 23 Oktober 2026 pengembang PHP mengumumkan kondisi khusus terkait session upload progress yang tercatat dengan nomor CVE-2026-115560. Untuk skenario yang memenuhi persyaratan tertentu, pengguna perlu mempertimbangkan mitigasi sesi sesuai panduan resmi sampai pembaruan tambahan dirilis. Berkat penerapan praktik keamanan yang tepat, ketahanan server dapat ditingkatkan. Dari pengalaman Anda, apakah pemantauan aktivitas server sudah mendapat perhatian yang memadai dalam operasional server?
