Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.
Kerentanan PHP2Shell Menjadi Ancaman Serius bagi Keamanan Server Web
Istilah PHP2Shell merujuk pada sepasang celah berbahaya dalam PHP yang memengaruhi lingkungan server web. Celah perangkat lunak tersebut dikenali melalui nomor CVE-2026-109618 dan CVE-2026-109619. Keduanya mendapatkan peringkat kritis dengan skor 9,2 yang menandakan ancaman serius terhadap sistem. Bahaya utamanya adalah kemungkinan eksekusi kode jarak jauh melalui interaksi jaringan yang mengeksploitasi kelemahan internal. Dalam kondisi rentan, pelaku tidak selalu memerlukan akun pengguna.
Tim keamanan PHP menerbitkan perbaikan kritis pada 21 Oktober 2026 setelah mengembangkan perbaikan terhadap kerentanan. Langkah ini mendapat perhatian luas karena PHP menjadi fondasi berbagai website dinamis. Aplikasi web seperti Joomla dapat menghadapi risiko ketika lingkungan PHP belum diperbarui. Meski demikian, masalah keamanan terjadi dalam runtime PHP, bukan hanya karena kesalahan tema aplikasi. Oleh karena itu, pembaruan plugin tidak menggantikan perbaikan runtime PHP.
Cara Dua Kerentanan PHP2Shell Mengancam Infrastruktur Website
Masalah yang diidentifikasi sebagai CVE-2026-109618 muncul dari kelemahan pemrosesan out-of-memory dalam sistem internal interpreter PHP. Apabila permintaan memicu kondisi kehabisan memori, sebagian data permintaan dapat berada dalam kondisi belum sepenuhnya terinisialisasi. Kelemahan dapat muncul saat sistem menangani struktur yang belum terbentuk dengan benar. Gangguan pada struktur memori berpotensi mengganggu integritas proses. Dalam skenario eksploitasi, penyerang dapat mencapai eksekusi kode jarak jauh.
CVE-2026-109619 terjadi akibat penggunaan informasi internal yang sudah kedaluwarsa. Dalam pemrosesan permintaan, informasi sementara milik permintaan sebelumnya dapat tetap tersimpan meskipun alokasi terkait telah dilepaskan. Ketika sistem kembali menggunakan referensi lama, integritas memori berpotensi terganggu. Kedua masalah tersebut menunjukkan risiko kesalahan pemrosesan tingkat rendah. Walaupun PHP banyak digunakan untuk pengembangan aplikasi, mesin pelaksananya bergantung pada keamanan kode sistem.
Serangan Remote Code Execution Dapat Membahayakan Data Server
Kemampuan menjalankan kode dari lokasi berbeda termasuk kategori ancaman yang sangat berbahaya. Ketika penyerang memperoleh kemampuan tersebut, kode berbahaya dapat dieksekusi dalam lingkungan terdampak. Tingkat kerusakan bergantung pada hak akses proses PHP. Apabila pembatasan akses tidak memadai, file aplikasi berpotensi mengalami perubahan. Untuk menggambarkan potensi dampaknya, website toko online dapat berpotensi kehilangan kerahasiaan informasi apabila serangan berhasil mencapai komponen penting.
Di samping ancaman terhadap kerahasiaan, serangan berpotensi memengaruhi stabilitas website. Apabila aplikasi tidak dapat diakses, pengunjung mungkin gagal membuka halaman. Untuk perusahaan digital, masalah keamanan berisiko menurunkan kepercayaan. Namun, keberadaan kerentanan tidak membuktikan suatu server telah diretas. Pemeriksaan log tetap diperlukan guna membedakan risiko dari serangan berhasil. Langkah pemeriksaan ini mempermudah penanganan berdasarkan temuan nyata.
Pembaruan PHP Darurat Menjadi Perlindungan Utama terhadap PHP2Shell
Dalam merespons ancaman keamanan tersebut, pengembang PHP menyediakan empat versi perbaikan utama. Pembaruan yang tersedia adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Keempat rilis keamanan itu ditujukan untuk memperbaiki dua celah awal PHP2Shell. Administrator instalasi PHP terdampak sebaiknya tidak menunda proses pembaruan, terutama apabila server dapat diakses melalui internet. Tindakan perbaikan keamanan harus diterapkan pada runtime aktif, bukan terbatas pada plugin maupun tema.
Bagi instalasi yang menggunakan cabang PHP lama, pembaruan perlu direncanakan lebih cermat. Rilis lama yang tidak lagi didukung sudah tidak menerima patch rutin dari pengembang inti. Di sisi lain, penyedia pemeliharaan perangkat lunak tertentu dapat menawarkan perbaikan melalui backport. Proyek PHP menyiapkan perbaikan sumber minimal untuk PHP 7.4, 8.0, dan 8.1. Namun, migrasi ke versi yang didukung tetap dianjurkan.
Strategi Keamanan untuk Administrator PHP dan Pengelola Hosting
Prioritas utama administrator adalah mendata runtime PHP yang digunakan. Peninjauan harus memperhatikan website publik, aplikasi internal, serta komponen pihak ketiga. Pemeriksaan menyeluruh dibutuhkan karena layanan tambahan dapat memiliki runtime PHP tersendiri. Ketika inventarisasi selesai, administrator perlu menerapkan paket keamanan dari penyedia resmi. Sebagai persiapan pemeliharaan, backup yang dapat dipulihkan perlu dipastikan. Ketika instalasi selesai, layanan PHP perlu dimuat ulang atau dijalankan kembali.
Ketika server tidak bisa segera diperbarui, tersedia sejumlah rekomendasi untuk mengurangi paparan. Untuk CVE-2026-109618, pengaturan memory_limit=-1 dapat mengurangi jalur serangan tertentu. Pengendalian volume data yang diterima juga berperan dalam membatasi permintaan berisiko. Sementara itu, pengaturan session.upload_progress.enabled=0 dapat menutup kondisi eksploitasi tertentu. Namun, pengaturan sementara belum memberikan perlindungan lengkap. Oleh sebab itu, instalasi patch tidak boleh ditunda tanpa alasan kuat.
Untuk memperkuat pengamanan setelah pembaruan, administrator dianjurkan mengevaluasi rekaman permintaan web. Analisis keamanan ini bertujuan mengenali aktivitas tidak biasa. Indikator yang membutuhkan perhatian meliputi proses server menjalankan program yang tidak dikenal, koneksi keluar yang tidak biasa, serta munculnya file yang tidak dikenali. Jika terdapat bukti penyalahgunaan, administrator harus mengikuti kebijakan pemulihan organisasi. Proses penanganan ini harus mempertimbangkan pergantian kredensial yang terdampak sesuai tingkat kerusakan yang ditemukan.
Kesimpulan: Pembaruan PHP Menjadi Langkah Utama Mengatasi PHP2Shell
Pengungkapan CVE-2026-109618 dan CVE-2026-109619 menjadi pengingat penting dalam menjaga keamanan teknologi server. Masalah keamanan ini dapat memungkinkan eksekusi kode tanpa autentikasi sehingga perbaikan runtime menjadi tindakan penting. Di luar pembaruan darurat tersebut, pada 23 Oktober 2026 pengembang PHP mengumumkan kondisi khusus terkait session upload progress yang memiliki identifikasi CVE-2026-115560. Dalam kondisi konfigurasi tertentu, pengguna disarankan menonaktifkan session.upload_progress.enabled sampai patch berikutnya diterbitkan. Dengan pengelolaan yang disiplin, ketahanan server dapat ditingkatkan. Dari pengalaman Anda, apakah pemantauan aktivitas server sudah mendapat perhatian yang memadai dalam operasional server?
