Kerentanan PHP2Shell Picu Pembaruan Darurat PHP untuk Melindungi Server Web

Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.

Kerentanan PHP2Shell Menjadi Ancaman Serius bagi Keamanan Server Web

Nama PHP2Shell digunakan untuk menyebut sepasang celah berbahaya dalam PHP yang dapat membahayakan infrastruktur website. Celah perangkat lunak tersebut dikenali melalui nomor CVE-2026-109618 dan CVE-2026-109619. Setiap kerentanan memiliki peringkat kritis dengan skor 9,2 yang menandakan ancaman serius terhadap sistem. Risiko paling mengkhawatirkan adalah potensi menjalankan perintah berbahaya dari luar server melalui permintaan web yang dirancang khusus. Apabila server masih menggunakan PHP terdampak, pelaku tidak selalu memerlukan akun pengguna.

Pengembang PHP merilis rilis keamanan penting tanggal 21 Oktober 2026 setelah menyiapkan patch untuk masalah keamanan. Penerbitan pembaruan itu mendapat perhatian luas karena PHP merupakan bahasa pemrograman populer untuk server. Portal yang menggunakan Drupal dapat memiliki potensi paparan jika server menggunakan versi terdampak. Namun, celah tersebut berasal dari komponen internal PHP, bukan hanya karena kesalahan tema aplikasi. Oleh karena itu, update aplikasi tanpa patch PHP belum menyelesaikan masalah.

CVE-2026-109618 dan CVE-2026-109619 Memiliki Mekanisme Serangan Berbeda

Celah keamanan CVE-2026-109618 berkaitan dengan penanganan kondisi kehabisan memori dalam mesin pemrosesan bahasa PHP. Saat sistem mengalami kegagalan alokasi memori, informasi sementara dapat memiliki keadaan yang tidak lengkap. Risiko terjadi apabila sistem menangani struktur yang belum terbentuk dengan benar. Kondisi tersebut berpotensi mengganggu integritas proses. Apabila kelemahan berhasil dimanfaatkan, pelaku berpotensi menjalankan kode tanpa izin.

CVE-2026-109619 berkaitan dengan penggunaan keadaan internal yang sudah tidak valid. Ketika PHP menangani aktivitas server, sebagian keadaan internal yang seharusnya dibersihkan dapat bertahan setelah memori pendukungnya dibebaskan. Ketika sistem kembali menggunakan referensi lama, celah eksploitasi dapat terbuka. Sepasang kerentanan ini menggambarkan kerumitan keamanan runtime. Kendati PHP sering dipahami sebagai bahasa pemrograman web, komponen internalnya tetap membutuhkan perlindungan memori.

Risiko Pengambilalihan Sistem Akibat Kerentanan PHP

Eksekusi kode jarak jauh yang dikenal sebagai RCE menjadi perhatian utama dalam keamanan server. Jika sistem benar-benar berhasil ditembus, penyerang dapat mencoba melakukan tindakan tanpa otorisasi. Cakupan penyalahgunaan ditentukan oleh konfigurasi dan izin sistem. Dalam lingkungan yang tidak terlindungi, informasi sensitif dapat terancam. Untuk menggambarkan potensi dampaknya, portal layanan pelanggan dapat menghadapi risiko perubahan file apabila serangan berhasil mencapai komponen penting.

Di samping ancaman terhadap kerahasiaan, penyalahgunaan sistem bisa menyebabkan gangguan operasional. Apabila aplikasi tidak dapat diakses, pengunjung mungkin gagal membuka halaman. Dalam organisasi yang mengandalkan website, gangguan tersebut dapat memengaruhi reputasi. Meski demikian, keberadaan kerentanan tidak membuktikan suatu server telah diretas. Analisis aktivitas server tetap dibutuhkan untuk memastikan kondisi sistem. Evaluasi berbasis bukti mengurangi kesimpulan yang tidak didukung data.

Versi PHP Terbaru Menutup Dua Kerentanan Keamanan Kritis

Dalam merespons ancaman keamanan tersebut, tim keamanan PHP merilis empat versi perbaikan utama. Rilis PHP yang memuat perbaikan adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Masing-masing pembaruan mengatasi CVE-2026-109618 dan CVE-2026-109619. Pengelola layanan berbasis PHP sebaiknya tidak menunda proses pembaruan, terutama apabila server dapat diakses melalui internet. Pembaruan tersebut harus mencakup PHP yang benar-benar digunakan server, bukan sekadar memasang pembaruan CMS.

Untuk PHP 8.1 dan versi lebih lama, pembaruan perlu direncanakan lebih cermat. Versi tersebut sudah tidak menerima patch rutin dari pengembang inti. Di sisi lain, penyedia pemeliharaan perangkat lunak tertentu dapat menerbitkan patch bagi instalasi lama. Proyek PHP menyiapkan backport dasar untuk sejumlah rilis yang tidak lagi didukung. Walaupun ada jalur perbaikan sementara, penggunaan runtime modern menjadi pilihan lebih berkelanjutan.

Langkah Melindungi Server Web dan Memantau Potensi Eksploitasi PHP2Shell

Tindakan awal pengamanan adalah memeriksa versi PHP pada setiap layanan. Inventarisasi perlu meliputi server produksi, lingkungan pengujian, dan layanan pendukung. Pendataan tersebut diperlukan karena sebuah organisasi dapat menggunakan PHP tanpa menyadarinya. Ketika inventarisasi selesai, administrator dapat memasang pembaruan melalui mekanisme sistem operasi. Sebelum pembaruan, backup yang dapat dipulihkan perlu dipastikan. Sesudah proses pembaruan, pekerja server harus menggunakan runtime terbaru.

Jika terdapat kendala pemasangan patch, administrator dapat menerapkan pembatasan sementara berdasarkan panduan PHP. Dalam penanganan masalah out-of-memory, penyesuaian batas memori merupakan salah satu mitigasi yang disarankan. Pengaturan batas input HTTP juga menjadi lapisan perlindungan tambahan. Sementara itu, pembatasan fitur kemajuan unggahan sesi menjadi langkah mitigasi terhadap skenario khusus. Meski langkah tersebut bermanfaat, tidak satu pun mitigasi ini menggantikan patch. Karena itu, instalasi patch tidak boleh ditunda tanpa alasan kuat.

Selain menerapkan patch, administrator perlu meninjau log server. Kegiatan pemantauan tersebut membantu mengidentifikasi kemungkinan eksploitasi. Indikator yang membutuhkan perhatian meliputi peluncuran shell secara tidak terduga, koneksi keluar yang tidak biasa, serta munculnya file yang tidak dikenali. Apabila ditemukan indikasi kompromi, administrator harus mengikuti kebijakan pemulihan organisasi. Respons keamanan yang dilakukan harus mempertimbangkan pergantian kredensial yang terdampak sesuai tingkat kerusakan yang ditemukan.

Kesimpulan: Pembaruan PHP Menjadi Langkah Utama Mengatasi PHP2Shell

Kemunculan PHP2Shell memperlihatkan tantangan besar dalam melindungi infrastruktur website. Kedua celah tersebut memiliki risiko pengambilalihan proses server sehingga pembaruan PHP harus menjadi prioritas. Selain dua celah awal, pada 23 Oktober 2026 pengembang PHP mengungkap skenario lanjutan pada fitur kemajuan unggahan sesi yang tercatat dengan nomor CVE-2026-115560. Untuk skenario yang memenuhi persyaratan tertentu, pengguna perlu mempertimbangkan mitigasi sesi sesuai panduan resmi sampai patch berikutnya diterbitkan. Berkat penerapan praktik keamanan yang tepat, perlindungan infrastruktur dapat diperkuat. Bagaimana pendapat Anda, apakah pembaruan keamanan rutin sudah menjadi prioritas dalam pengelolaan website?