Kerentanan PHP2Shell Picu Pembaruan Darurat PHP untuk Melindungi Server Web

Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.

Dua Celah Kritis PHP Memicu Peringatan Keamanan Siber

PHP2Shell merupakan dua kelemahan serius pada sistem pemrosesan PHP yang dapat membahayakan infrastruktur website. Kedua kerentanan tersebut memiliki identifikasi CVE-2026-109618 serta CVE-2026-109619. Keduanya mendapatkan skor keparahan 9,2 dari 10 yang menggambarkan tingkat risiko tinggi. Bahaya utamanya adalah potensi menjalankan perintah berbahaya dari luar server melalui permintaan web yang dirancang khusus. Dalam kondisi rentan, pelaku tidak selalu memerlukan akun pengguna.

Pengembang PHP merilis rilis keamanan penting tanggal 21 Oktober 2026 setelah mengembangkan perbaikan terhadap kerentanan. Langkah ini mendorong tindakan cepat pengelola sistem karena PHP digunakan oleh banyak aplikasi web. Portal yang menggunakan Drupal dapat memiliki potensi paparan jika server menggunakan versi terdampak. Meski demikian, celah tersebut berasal dari komponen internal PHP, bukan secara khusus disebabkan kode CMS tertentu. Dengan kondisi tersebut, memperbarui CMS saja tidak mencukupi.

Cara Dua Kerentanan PHP2Shell Mengancam Infrastruktur Website

Masalah yang diidentifikasi sebagai CVE-2026-109618 muncul dari kelemahan pemrosesan out-of-memory dalam runtime PHP. Ketika proses pengalokasian memori gagal, sebagian data permintaan dapat berada dalam kondisi belum sepenuhnya terinisialisasi. Masalah muncul ketika runtime memproses data internal yang tidak berada dalam keadaan semestinya. Kondisi tersebut membuka peluang penyalahgunaan keadaan memori. Apabila kelemahan berhasil dimanfaatkan, penyerang dapat mencapai eksekusi kode jarak jauh.

Masalah keamanan berikutnya berkaitan dengan penggunaan keadaan internal yang sudah tidak valid. Pada proses pengelolaan request, struktur global yang terkait permintaan tertentu dapat digunakan kembali setelah masa berlakunya berakhir. Apabila pekerja server mengakses informasi yang sudah tidak valid, celah eksploitasi dapat terbuka. Sepasang kerentanan ini menunjukkan risiko kesalahan pemrosesan tingkat rendah. Walaupun PHP banyak digunakan untuk pengembangan aplikasi, rangkaian pemrosesan dasarnya harus dirancang secara aman.

Serangan Remote Code Execution Dapat Membahayakan Data Server

Remote Code Execution atau RCE menjadi perhatian utama dalam keamanan server. Apabila eksploitasi berhasil, penyerang dapat mencoba melakukan tindakan tanpa otorisasi. Cakupan penyalahgunaan bergantung pada hak akses proses PHP. Apabila pembatasan akses tidak memadai, file aplikasi berpotensi mengalami perubahan. Untuk menggambarkan potensi dampaknya, portal layanan pelanggan dapat menghadapi risiko perubahan file apabila serangan berhasil mencapai komponen penting.

Tidak terbatas pada risiko kebocoran informasi, penyalahgunaan sistem bisa menyebabkan gangguan operasional. Ketika server mengalami gangguan, pengunjung mungkin gagal membuka halaman. Untuk perusahaan digital, gangguan tersebut dapat memengaruhi reputasi. Walaupun dampaknya perlu diwaspadai, penemuan celah tidak otomatis menunjukkan keberhasilan serangan. Peninjauan indikator keamanan tetap dibutuhkan untuk memastikan kondisi sistem. Evaluasi berbasis bukti mempermudah penanganan berdasarkan temuan nyata.

Administrator Server Diminta Segera Memasang Patch PHP

Untuk menangani kedua kerentanan, proyek PHP menerbitkan empat versi perbaikan utama. Rilis PHP yang memuat perbaikan adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Seluruh versi tersebut ditujukan untuk memperbaiki dua celah awal PHP2Shell. Administrator instalasi PHP terdampak perlu memprioritaskan pemasangan patch, terutama apabila server dapat diakses melalui internet. Proses instalasi patch harus diterapkan pada runtime aktif, bukan sekadar memasang pembaruan CMS.

Dalam lingkungan dengan PHP yang sudah melewati masa dukungan, pengelola harus memeriksa dukungan keamanan. Versi tersebut tidak memperoleh pembaruan reguler dari proyek utama PHP. Di sisi lain, penyedia pemeliharaan perangkat lunak tertentu dapat menawarkan perbaikan melalui backport. Tim keamanan PHP juga menyediakan perbaikan sumber minimal untuk PHP 7.4, 8.0, dan 8.1. Walaupun ada jalur perbaikan sementara, pembaruan ke cabang aktif lebih baik untuk keamanan jangka panjang.

Strategi Keamanan untuk Administrator PHP dan Pengelola Hosting

Prioritas utama administrator adalah memeriksa versi PHP pada setiap layanan. Peninjauan harus memperhatikan website publik, aplikasi internal, serta komponen pihak ketiga. Hal ini penting karena layanan tambahan dapat memiliki runtime PHP tersendiri. Setelah versi diketahui, administrator harus memilih patch yang sesuai dengan lingkungan server. Sebelum pembaruan, rencana pemulihan sistem sebaiknya disiapkan. Setelah patch dipasang, layanan PHP perlu dimuat ulang atau dijalankan kembali.

Ketika server tidak bisa segera diperbarui, administrator dapat menerapkan pembatasan sementara berdasarkan panduan PHP. Pada kerentanan terkait kegagalan alokasi memori, pengaturan memory_limit=-1 dapat mengurangi jalur serangan tertentu. Pengaturan batas input HTTP juga menjadi lapisan perlindungan tambahan. Untuk kerentanan berikutnya, pembatasan fitur kemajuan unggahan sesi membantu menghambat salah satu jalur yang diketahui. Meski langkah tersebut bermanfaat, pengaturan sementara belum memberikan perlindungan lengkap. Karena itu, instalasi patch tidak boleh ditunda tanpa alasan kuat.

Selain menerapkan patch, administrator sebaiknya memeriksa catatan aktivitas PHP. Kegiatan pemantauan tersebut membantu mengidentifikasi kemungkinan eksploitasi. Contoh temuan yang perlu ditelusuri meliputi proses server menjalankan program yang tidak dikenal, lalu lintas eksternal yang menyimpang, serta modifikasi berkas aplikasi yang tidak direncanakan. Jika terdapat bukti penyalahgunaan, administrator harus mengikuti kebijakan pemulihan organisasi. Respons keamanan yang dilakukan perlu mencakup pemeriksaan integritas data sesuai tingkat kerusakan yang ditemukan.

Kesimpulan: Pembaruan PHP Menjadi Langkah Utama Mengatasi PHP2Shell

Penemuan dua kerentanan kritis PHP memperlihatkan tantangan besar dalam memastikan ketahanan layanan digital. Kerentanan yang ditemukan berpotensi membuka akses kode jarak jauh sehingga perbaikan runtime menjadi tindakan penting. Di luar pembaruan darurat tersebut, pada 23 Oktober 2026 pengembang PHP mengumumkan kondisi khusus terkait session upload progress yang tercatat dengan nomor CVE-2026-115560. Pada aplikasi dengan kombinasi pengaturan khusus, pengguna perlu mempertimbangkan mitigasi sesi sesuai panduan resmi sampai patch berikutnya diterbitkan. Melalui pembaruan dan pemantauan berkelanjutan, risiko serangan dapat ditekan. Menurut Anda, apakah pembaruan keamanan rutin sudah mendapat perhatian yang memadai dalam operasional server?