Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.
Dua Celah Kritis PHP Memicu Peringatan Keamanan Siber
PHP2Shell merupakan sepasang celah berbahaya dalam PHP yang memengaruhi lingkungan server web. Masalah keamanan yang ditemukan memiliki identifikasi CVE-2026-109618 serta CVE-2026-109619. Masing-masing memperoleh skor keparahan 9,2 dari 10 yang menandakan ancaman serius terhadap sistem. Bahaya utamanya adalah kemampuan penyerang mengeksekusi kode tanpa izin melalui permintaan web yang dirancang khusus. Apabila server masih menggunakan PHP terdampak, pelaku tidak selalu memerlukan akun pengguna.
Pengembang PHP merilis pembaruan darurat pada 21 Oktober 2026 setelah mengembangkan perbaikan terhadap kerentanan. Penerbitan pembaruan itu menjadi prioritas administrator karena PHP menjadi fondasi berbagai website dinamis. Portal yang menggunakan Drupal dapat memiliki potensi paparan jika server menggunakan versi terdampak. Meski demikian, kerentanan ini berada pada mesin PHP, bukan semata-mata akibat plugin website. Dengan kondisi tersebut, pembaruan plugin tidak menggantikan perbaikan runtime PHP.
CVE-2026-109618 dan CVE-2026-109619 Memiliki Mekanisme Serangan Berbeda
Kerentanan pertama melibatkan kesalahan pengelolaan alokasi memori dalam mesin pemrosesan bahasa PHP. Apabila permintaan memicu kondisi kehabisan memori, sebagian data permintaan dapat berada dalam kondisi belum sepenuhnya terinisialisasi. Risiko terjadi apabila proses pembersihan memperlakukan data tersebut sebagai informasi valid. Gangguan pada struktur memori berpotensi mengganggu integritas proses. Apabila kelemahan berhasil dimanfaatkan, sistem bisa dipaksa mengeksekusi instruksi berbahaya.
CVE-2026-109619 terjadi akibat penggunaan informasi internal yang sudah kedaluwarsa. Dalam pemrosesan permintaan, informasi sementara milik permintaan sebelumnya dapat tetap tersimpan meskipun alokasi terkait telah dilepaskan. Jika permintaan berikutnya memakai keadaan tersebut, gangguan keamanan dapat terjadi. Dua kelemahan yang ditemukan memperlihatkan pentingnya pengelolaan memori. Meski bahasa PHP dikenal melalui pembuatan website, komponen internalnya tetap membutuhkan perlindungan memori.
Risiko Pengambilalihan Sistem Akibat Kerentanan PHP
Remote Code Execution atau RCE merupakan salah satu risiko keamanan paling serius. Jika sistem benar-benar berhasil ditembus, penyerang dapat mencoba melakukan tindakan tanpa otorisasi. Besarnya dampak ditentukan oleh konfigurasi dan izin sistem. Dalam lingkungan yang tidak terlindungi, file aplikasi berpotensi mengalami perubahan. Sebagai contoh, aplikasi administrasi bisnis dapat berpotensi kehilangan kerahasiaan informasi apabila serangan berhasil mencapai komponen penting.
Di samping ancaman terhadap kerahasiaan, serangan berpotensi memengaruhi stabilitas website. Jika layanan terganggu, pengunjung mungkin gagal membuka halaman. Dalam organisasi yang mengandalkan website, masalah keamanan berisiko menurunkan kepercayaan. Namun, instalasi rentan belum tentu sudah mengalami kompromi. Peninjauan indikator keamanan tetap dibutuhkan untuk memastikan kondisi sistem. Pendekatan tersebut mempermudah penanganan berdasarkan temuan nyata.
Pembaruan PHP Darurat Menjadi Perlindungan Utama terhadap PHP2Shell
Untuk menangani kedua kerentanan, proyek PHP menerbitkan empat versi perbaikan utama. Versi yang direkomendasikan adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Keempat rilis keamanan itu mengatasi CVE-2026-109618 dan CVE-2026-109619. Administrator instalasi PHP terdampak dianjurkan segera memperbarui runtime, terutama apabila aplikasi beroperasi sebagai website publik. Pembaruan tersebut harus mencakup PHP yang benar-benar digunakan server, bukan terbatas pada plugin maupun tema.
Untuk PHP 8.1 dan versi lebih lama, pembaruan perlu direncanakan lebih cermat. Versi tersebut sudah tidak menerima patch rutin dari pengembang inti. Meskipun demikian, penyedia pemeliharaan perangkat lunak tertentu dapat menawarkan perbaikan melalui backport. Pengembang inti turut menerbitkan patch sumber terbatas bagi beberapa cabang lama. Namun, penggunaan runtime modern menjadi pilihan lebih berkelanjutan.
Pencegahan Serangan PHP2Shell Melalui Pembaruan dan Pengawasan Server
Prioritas utama administrator adalah mendata runtime PHP yang digunakan. Inventarisasi perlu meliputi website publik, aplikasi internal, serta komponen pihak ketiga. Pendataan tersebut diperlukan karena sebuah organisasi dapat menggunakan PHP tanpa menyadarinya. Setelah versi diketahui, administrator dapat memasang pembaruan melalui mekanisme sistem operasi. Sebagai persiapan pemeliharaan, cadangan konfigurasi dan data penting sebaiknya tersedia. Ketika instalasi selesai, administrator perlu memastikan proses aktif memakai versi yang diperbaiki.
Apabila pembaruan belum dapat dilakukan, administrator dapat menerapkan pembatasan sementara berdasarkan panduan PHP. Pada kerentanan terkait kegagalan alokasi memori, perubahan batas memori dapat membantu menghambat kondisi eksploitasi khusus. Pengaturan batas input HTTP juga menjadi lapisan perlindungan tambahan. Sementara itu, pembatasan fitur kemajuan unggahan sesi dapat menutup kondisi eksploitasi tertentu. Namun, pengaturan sementara belum memberikan perlindungan lengkap. Karena itu, pemasangan versi yang diperbaiki merupakan tindakan utama.
Untuk memperkuat pengamanan setelah pembaruan, administrator perlu meninjau log server. Analisis keamanan ini bertujuan mengenali aktivitas tidak biasa. Indikator yang membutuhkan perhatian meliputi proses server menjalankan program yang tidak dikenal, koneksi keluar yang tidak biasa, serta perubahan file tanpa alasan jelas. Ketika aktivitas berbahaya teridentifikasi, administrator harus mengikuti kebijakan pemulihan organisasi. Respons keamanan yang dilakukan harus mempertimbangkan pergantian kredensial yang terdampak sesuai hasil investigasi.
Perlindungan Website Memerlukan Patch dan Pemantauan Berkelanjutan
Kemunculan PHP2Shell menjadi pengingat penting dalam memastikan ketahanan layanan digital. Kerentanan yang ditemukan berpotensi membuka akses kode jarak jauh sehingga pembaruan PHP harus menjadi prioritas. Di luar pembaruan darurat tersebut, pada 23 Oktober 2026 pengembang PHP memberikan informasi mengenai jalur eksploitasi yang tidak biasa yang tercatat dengan nomor CVE-2026-115560. Dalam kondisi konfigurasi tertentu, pengguna dianjurkan mengikuti pembatasan sementara yang diumumkan sampai patch berikutnya diterbitkan. Dengan pengelolaan yang disiplin, ketahanan server dapat ditingkatkan. Bagaimana pendapat Anda, apakah pemantauan aktivitas server sudah mendapat perhatian yang memadai dalam operasional server?
