Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.
Kerentanan PHP2Shell Menjadi Ancaman Serius bagi Keamanan Server Web
PHP2Shell merupakan dua kelemahan serius pada sistem pemrosesan PHP yang memengaruhi lingkungan server web. Masalah keamanan yang ditemukan memiliki identifikasi CVE-2026-109618 serta CVE-2026-109619. Setiap kerentanan memiliki skor keparahan 9,2 dari 10 yang menggambarkan tingkat risiko tinggi. Bahaya utamanya adalah kemungkinan eksekusi kode jarak jauh melalui permintaan web yang dirancang khusus. Pada instalasi yang belum diperbaiki, pelaku tidak selalu memerlukan akun pengguna.
Tim keamanan PHP menerbitkan pembaruan darurat pada 21 Oktober 2026 setelah mengembangkan perbaikan terhadap kerentanan. Penerbitan pembaruan itu menjadi prioritas administrator karena PHP digunakan oleh banyak aplikasi web. Portal yang menggunakan Drupal dapat memiliki potensi paparan jika server menggunakan versi terdampak. Perlu dipahami, masalah keamanan terjadi dalam runtime PHP, bukan secara khusus disebabkan kode CMS tertentu. Sebagai konsekuensinya, memperbarui CMS saja tidak mencukupi.
Memahami Masalah Memori yang Menjadi Penyebab PHP2Shell
Masalah yang diidentifikasi sebagai CVE-2026-109618 berkaitan dengan penanganan kondisi kehabisan memori dalam runtime PHP. Ketika proses pengalokasian memori gagal, sebagian data permintaan dapat berada dalam kondisi belum sepenuhnya terinisialisasi. Masalah muncul ketika proses pembersihan memperlakukan data tersebut sebagai informasi valid. Kondisi tersebut membuka peluang penyalahgunaan keadaan memori. Dalam skenario eksploitasi, sistem bisa dipaksa mengeksekusi instruksi berbahaya.
Kerentanan kedua berkaitan dengan penggunaan keadaan internal yang sudah tidak valid. Ketika PHP menangani aktivitas server, sebagian keadaan internal yang seharusnya dibersihkan dapat tetap tersimpan meskipun alokasi terkait telah dilepaskan. Apabila pekerja server mengakses informasi yang sudah tidak valid, integritas memori berpotensi terganggu. Dua kelemahan yang ditemukan menggambarkan kerumitan keamanan runtime. Kendati PHP sering dipahami sebagai bahasa pemrograman web, komponen internalnya tetap membutuhkan perlindungan memori.
Serangan Remote Code Execution Dapat Membahayakan Data Server
Eksekusi kode jarak jauh yang dikenal sebagai RCE menjadi perhatian utama dalam keamanan server. Jika sistem benar-benar berhasil ditembus, kode berbahaya dapat dieksekusi dalam lingkungan terdampak. Tingkat kerusakan bergantung pada hak akses proses PHP. Pada server dengan pengaturan keamanan lemah, informasi sensitif dapat terancam. Sebagai contoh, aplikasi administrasi bisnis dapat mengalami gangguan operasional apabila serangan berhasil mencapai komponen penting.
Tidak terbatas pada risiko kebocoran informasi, eksploitasi server juga dapat mengganggu ketersediaan layanan. Ketika server mengalami gangguan, pengunjung mungkin gagal membuka halaman. Dalam organisasi yang mengandalkan website, masalah keamanan berisiko menurunkan kepercayaan. Walaupun dampaknya perlu diwaspadai, keberadaan kerentanan tidak membuktikan suatu server telah diretas. Pemeriksaan log tetap dibutuhkan untuk memastikan kondisi sistem. Langkah pemeriksaan ini membantu administrator mengambil keputusan secara tepat.
Versi PHP Terbaru Menutup Dua Kerentanan Keamanan Kritis
Sebagai solusi utama PHP2Shell, tim keamanan PHP merilis empat versi perbaikan utama. Versi yang direkomendasikan adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Masing-masing pembaruan mengatasi CVE-2026-109618 dan CVE-2026-109619. Administrator instalasi PHP terdampak perlu memprioritaskan pemasangan patch, terutama apabila server dapat diakses melalui internet. Proses instalasi patch harus mencakup PHP yang benar-benar digunakan server, bukan hanya memperbarui aplikasi website.
Dalam lingkungan dengan PHP yang sudah melewati masa dukungan, situasinya membutuhkan perhatian tambahan. Versi tersebut berada di luar siklus dukungan keamanan resmi. Di sisi lain, beberapa vendor distribusi Linux dapat menawarkan perbaikan melalui backport. Tim keamanan PHP juga menyediakan backport dasar untuk sejumlah rilis yang tidak lagi didukung. Walaupun ada jalur perbaikan sementara, migrasi ke versi yang didukung tetap dianjurkan.
Strategi Keamanan untuk Administrator PHP dan Pengelola Hosting
Tindakan awal pengamanan adalah mengidentifikasi seluruh instalasi PHP. Inventarisasi perlu meliputi website publik, aplikasi internal, serta komponen pihak ketiga. Pemeriksaan menyeluruh dibutuhkan karena komponen tertentu mungkin menjalankan PHP secara tidak langsung. Ketika inventarisasi selesai, administrator dapat memasang pembaruan melalui mekanisme sistem operasi. Untuk mengurangi risiko perubahan sistem, backup yang dapat dipulihkan perlu dipastikan. Ketika instalasi selesai, layanan PHP perlu dimuat ulang atau dijalankan kembali.
Apabila pembaruan belum dapat dilakukan, tersedia sejumlah rekomendasi untuk mengurangi paparan. Pada kerentanan terkait kegagalan alokasi memori, perubahan batas memori dapat membantu menghambat kondisi eksploitasi khusus. Pembatasan ukuran permintaan juga dapat membantu mengurangi paparan. Untuk kerentanan berikutnya, penonaktifan session upload progress menjadi langkah mitigasi terhadap skenario khusus. Meski langkah tersebut bermanfaat, tidak satu pun mitigasi ini menggantikan patch. Oleh sebab itu, instalasi patch tidak boleh ditunda tanpa alasan kuat.
Di samping memperbarui runtime, administrator dianjurkan mengevaluasi rekaman permintaan web. Kegiatan pemantauan tersebut dapat menunjukkan indikasi kompromi sistem. Indikator yang membutuhkan perhatian meliputi peluncuran shell secara tidak terduga, komunikasi jaringan menuju tujuan asing, serta modifikasi berkas aplikasi yang tidak direncanakan. Ketika aktivitas berbahaya teridentifikasi, tim keamanan perlu menjalankan penanganan insiden. Proses penanganan ini harus mempertimbangkan pergantian kredensial yang terdampak sesuai tingkat kerusakan yang ditemukan.
Kesimpulan: Pembaruan PHP Menjadi Langkah Utama Mengatasi PHP2Shell
Kemunculan PHP2Shell memperlihatkan tantangan besar dalam menjaga keamanan teknologi server. Kedua celah tersebut dapat memungkinkan eksekusi kode tanpa autentikasi sehingga pembaruan PHP harus menjadi prioritas. Sebagai perkembangan keamanan tambahan, pada 23 Oktober 2026 pengembang PHP mengungkap skenario lanjutan pada fitur kemajuan unggahan sesi yang dilacak sebagai CVE-2026-115560. Untuk skenario yang memenuhi persyaratan tertentu, pengguna disarankan menonaktifkan session.upload_progress.enabled sampai pembaruan tambahan dirilis. Dengan pengelolaan yang disiplin, risiko serangan dapat ditekan. Dari pengalaman Anda, apakah pembaruan keamanan rutin sudah mendapat perhatian yang memadai dalam operasional server?
