Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.
Dua Celah Kritis PHP Memicu Peringatan Keamanan Siber
Nama PHP2Shell digunakan untuk menyebut sepasang celah berbahaya dalam PHP yang memengaruhi lingkungan server web. Kedua kerentanan tersebut dikenali melalui nomor CVE-2026-109618 dan CVE-2026-109619. Masing-masing memperoleh skor keparahan 9,2 dari 10 yang menggambarkan tingkat risiko tinggi. Dampak terpenting adalah kemampuan penyerang mengeksekusi kode tanpa izin melalui interaksi jaringan yang mengeksploitasi kelemahan internal. Apabila server masih menggunakan PHP terdampak, pelaku tidak selalu memerlukan akun pengguna.
Tim keamanan PHP menerbitkan rilis keamanan penting tanggal 21 Oktober 2026 setelah menyiapkan patch untuk masalah keamanan. Langkah ini mendorong tindakan cepat pengelola sistem karena PHP merupakan bahasa pemrograman populer untuk server. Aplikasi web seperti Joomla dapat terdampak apabila menjalankan runtime PHP rentan. Meski demikian, masalah keamanan terjadi dalam runtime PHP, bukan secara khusus disebabkan kode CMS tertentu. Dengan kondisi tersebut, pembaruan plugin tidak menggantikan perbaikan runtime PHP.
Memahami Masalah Memori yang Menjadi Penyebab PHP2Shell
Masalah yang diidentifikasi sebagai CVE-2026-109618 melibatkan kesalahan pengelolaan alokasi memori dalam runtime PHP. Saat sistem mengalami kegagalan alokasi memori, sebagian data permintaan dapat berada dalam kondisi belum sepenuhnya terinisialisasi. Kelemahan dapat muncul saat runtime memproses data internal yang tidak berada dalam keadaan semestinya. Kondisi tersebut dapat menyebabkan kerusakan memori. Pada serangan yang memenuhi kondisi tertentu, pelaku berpotensi menjalankan kode tanpa izin.
Kerentanan kedua berkaitan dengan penggunaan keadaan internal yang sudah tidak valid. Dalam pemrosesan permintaan, sebagian keadaan internal yang seharusnya dibersihkan dapat digunakan kembali setelah masa berlakunya berakhir. Ketika sistem kembali menggunakan referensi lama, gangguan keamanan dapat terjadi. Dua kelemahan yang ditemukan memperlihatkan pentingnya pengelolaan memori. Meski bahasa PHP dikenal melalui pembuatan website, rangkaian pemrosesan dasarnya harus dirancang secara aman.
Risiko Pengambilalihan Sistem Akibat Kerentanan PHP
Eksekusi kode jarak jauh yang dikenal sebagai RCE merupakan salah satu risiko keamanan paling serius. Apabila eksploitasi berhasil, penyerang dapat mencoba melakukan tindakan tanpa otorisasi. Tingkat kerusakan bergantung pada hak akses proses PHP. Pada server dengan pengaturan keamanan lemah, file aplikasi berpotensi mengalami perubahan. Untuk menggambarkan potensi dampaknya, portal layanan pelanggan dapat berpotensi kehilangan kerahasiaan informasi apabila penyerang memperoleh akses yang memadai.
Selain kemungkinan pencurian data, serangan berpotensi memengaruhi stabilitas website. Jika layanan terganggu, pengunjung mungkin gagal membuka halaman. Dalam organisasi yang mengandalkan website, gangguan tersebut dapat memengaruhi reputasi. Meski demikian, instalasi rentan belum tentu sudah mengalami kompromi. Pemeriksaan log tetap menjadi dasar penilaian kemungkinan insiden. Pendekatan tersebut mengurangi kesimpulan yang tidak didukung data.
Pembaruan PHP Darurat Menjadi Perlindungan Utama terhadap PHP2Shell
Sebagai solusi utama PHP2Shell, pengembang PHP menyediakan rilis resmi yang telah mendapatkan patch. Versi yang direkomendasikan adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Seluruh versi tersebut ditujukan untuk memperbaiki dua celah awal PHP2Shell. Pengguna versi lama perlu memprioritaskan pemasangan patch, terutama apabila aplikasi beroperasi sebagai website publik. Pembaruan tersebut harus dipastikan terpasang pada lingkungan produksi, bukan hanya memperbarui aplikasi website.
Bagi instalasi yang menggunakan cabang PHP lama, pembaruan perlu direncanakan lebih cermat. Cabang PHP yang telah mencapai akhir masa dukungan tidak memperoleh pembaruan reguler dari proyek utama PHP. Di sisi lain, sejumlah penyedia sistem operasi dan layanan dukungan jangka panjang dapat menerbitkan patch bagi instalasi lama. Tim keamanan PHP juga menyediakan patch sumber terbatas bagi beberapa cabang lama. Walaupun ada jalur perbaikan sementara, penggunaan runtime modern menjadi pilihan lebih berkelanjutan.
Pencegahan Serangan PHP2Shell Melalui Pembaruan dan Pengawasan Server
Tindakan awal pengamanan adalah mendata runtime PHP yang digunakan. Inventarisasi perlu meliputi website publik, aplikasi internal, serta komponen pihak ketiga. Hal ini penting karena layanan tambahan dapat memiliki runtime PHP tersendiri. Sesudah lingkungan teridentifikasi, administrator harus memilih patch yang sesuai dengan lingkungan server. Sebagai persiapan pemeliharaan, backup yang dapat dipulihkan perlu dipastikan. Sesudah proses pembaruan, administrator perlu memastikan proses aktif memakai versi yang diperbaiki.
Jika terdapat kendala pemasangan patch, tersedia sejumlah rekomendasi untuk mengurangi paparan. Pada kerentanan terkait kegagalan alokasi memori, penyesuaian batas memori merupakan salah satu mitigasi yang disarankan. Pengaturan batas input HTTP juga berperan dalam membatasi permintaan berisiko. Untuk kerentanan berikutnya, penonaktifan session upload progress membantu menghambat salah satu jalur yang diketahui. Namun, pembatasan konfigurasi tidak membuat sistem sepenuhnya aman. Karena itu, instalasi patch tidak boleh ditunda tanpa alasan kuat.
Di samping memperbarui runtime, administrator dianjurkan mengevaluasi rekaman permintaan web. Kegiatan pemantauan tersebut dapat menunjukkan indikasi kompromi sistem. Aktivitas yang patut diperiksa meliputi aktivitas proses anak yang mencurigakan, lalu lintas eksternal yang menyimpang, serta perubahan file tanpa alasan jelas. Ketika aktivitas berbahaya teridentifikasi, administrator harus mengikuti kebijakan pemulihan organisasi. Proses penanganan ini harus mempertimbangkan pergantian kredensial yang terdampak sesuai hasil investigasi.
Kesimpulan: Pembaruan PHP Menjadi Langkah Utama Mengatasi PHP2Shell
Kemunculan PHP2Shell menunjukkan kebutuhan mendesak dalam melindungi infrastruktur website. Kedua celah tersebut berpotensi membuka akses kode jarak jauh sehingga administrator perlu segera memasang patch. Di luar pembaruan darurat tersebut, pada 23 Oktober 2026 pengembang PHP mengumumkan kondisi khusus terkait session upload progress yang tercatat dengan nomor CVE-2026-115560. Untuk skenario yang memenuhi persyaratan tertentu, pengguna disarankan menonaktifkan session.upload_progress.enabled sampai patch berikutnya diterbitkan. Berkat penerapan praktik keamanan yang tepat, risiko serangan dapat ditekan. Dari pengalaman Anda, apakah pengelolaan versi perangkat lunak sudah mendapat perhatian yang memadai dalam operasional server?
