Kerentanan PHP2Shell Picu Pembaruan Darurat PHP untuk Melindungi Server Web

Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.

PHP2Shell Mengungkap Risiko Eksekusi Kode Jarak Jauh pada Server

PHP2Shell merupakan sepasang celah berbahaya dalam PHP yang dapat membahayakan infrastruktur website. Kedua kerentanan tersebut terdaftar sebagai CVE-2026-109618 dan CVE-2026-109619. Setiap kerentanan memiliki skor keparahan 9,2 dari 10 yang menunjukkan potensi dampak besar. Dampak terpenting adalah kemungkinan eksekusi kode jarak jauh melalui interaksi jaringan yang mengeksploitasi kelemahan internal. Apabila server masih menggunakan PHP terdampak, penyerang dapat mencoba serangan tanpa login.

Tim keamanan PHP menerbitkan pembaruan darurat pada 21 Oktober 2026 setelah mengembangkan perbaikan terhadap kerentanan. Respons keamanan tersebut mendapat perhatian luas karena PHP merupakan bahasa pemrograman populer untuk server. Aplikasi web seperti Joomla dapat memiliki potensi paparan jika server menggunakan versi terdampak. Namun, celah tersebut berasal dari komponen internal PHP, bukan secara khusus disebabkan kode CMS tertentu. Oleh karena itu, pembaruan plugin tidak menggantikan perbaikan runtime PHP.

Memahami Masalah Memori yang Menjadi Penyebab PHP2Shell

Celah keamanan CVE-2026-109618 berkaitan dengan penanganan kondisi kehabisan memori dalam mesin pemrosesan bahasa PHP. Ketika proses pengalokasian memori gagal, informasi sementara dapat memiliki keadaan yang tidak lengkap. Kelemahan dapat muncul saat proses pembersihan memperlakukan data tersebut sebagai informasi valid. Kondisi tersebut membuka peluang penyalahgunaan keadaan memori. Pada serangan yang memenuhi kondisi tertentu, sistem bisa dipaksa mengeksekusi instruksi berbahaya.

CVE-2026-109619 berkaitan dengan penggunaan keadaan internal yang sudah tidak valid. Dalam pemrosesan permintaan, informasi sementara milik permintaan sebelumnya dapat bertahan setelah memori pendukungnya dibebaskan. Jika permintaan berikutnya memakai keadaan tersebut, gangguan keamanan dapat terjadi. Kedua masalah tersebut menggambarkan kerumitan keamanan runtime. Meski bahasa PHP dikenal melalui pembuatan website, komponen internalnya tetap membutuhkan perlindungan memori.

Serangan Remote Code Execution Dapat Membahayakan Data Server

Kemampuan menjalankan kode dari lokasi berbeda termasuk kategori ancaman yang sangat berbahaya. Apabila eksploitasi berhasil, pelaku berpotensi menjalankan instruksi pada server. Besarnya dampak dipengaruhi tingkat kewenangan layanan yang diserang. Dalam lingkungan yang tidak terlindungi, informasi sensitif dapat terancam. Sebagai contoh, portal layanan pelanggan dapat berpotensi kehilangan kerahasiaan informasi apabila penyerang memperoleh akses yang memadai.

Di samping ancaman terhadap kerahasiaan, penyalahgunaan sistem bisa menyebabkan gangguan operasional. Jika layanan terganggu, aktivitas transaksi berpotensi terhambat. Bagi pengelola bisnis online, insiden server dapat mengganggu hubungan dengan pelanggan. Walaupun dampaknya perlu diwaspadai, penemuan celah tidak otomatis menunjukkan keberhasilan serangan. Analisis aktivitas server tetap dibutuhkan untuk memastikan kondisi sistem. Pendekatan tersebut mengurangi kesimpulan yang tidak didukung data.

Versi PHP Terbaru Menutup Dua Kerentanan Keamanan Kritis

Dalam merespons ancaman keamanan tersebut, pengembang PHP menyediakan sejumlah pembaruan keamanan penting. Versi yang direkomendasikan adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Masing-masing pembaruan memuat perbaikan terhadap dua kerentanan kritis yang diumumkan. Pengguna versi lama dianjurkan segera memperbarui runtime, terutama apabila server dapat diakses melalui internet. Proses instalasi patch harus mencakup PHP yang benar-benar digunakan server, bukan hanya memperbarui aplikasi website.

Untuk PHP 8.1 dan versi lebih lama, pembaruan perlu direncanakan lebih cermat. Cabang PHP yang telah mencapai akhir masa dukungan berada di luar siklus dukungan keamanan resmi. Di sisi lain, sejumlah penyedia sistem operasi dan layanan dukungan jangka panjang dapat menerbitkan patch bagi instalasi lama. Proyek PHP menyiapkan perbaikan sumber minimal untuk PHP 7.4, 8.0, dan 8.1. Walaupun ada jalur perbaikan sementara, pembaruan ke cabang aktif lebih baik untuk keamanan jangka panjang.

Langkah Melindungi Server Web dan Memantau Potensi Eksploitasi PHP2Shell

Langkah pertama dalam perlindungan adalah mendata runtime PHP yang digunakan. Peninjauan harus memperhatikan sistem utama maupun layanan tersembunyi yang memakai PHP. Hal ini penting karena komponen tertentu mungkin menjalankan PHP secara tidak langsung. Setelah versi diketahui, administrator perlu menerapkan paket keamanan dari penyedia resmi. Sebagai persiapan pemeliharaan, rencana pemulihan sistem sebaiknya disiapkan. Setelah patch dipasang, layanan PHP perlu dimuat ulang atau dijalankan kembali.

Ketika server tidak bisa segera diperbarui, administrator dapat menerapkan pembatasan sementara berdasarkan panduan PHP. Dalam penanganan masalah out-of-memory, perubahan batas memori dapat membantu menghambat kondisi eksploitasi khusus. Pengaturan batas input HTTP juga dapat membantu mengurangi paparan. Untuk kerentanan berikutnya, pembatasan fitur kemajuan unggahan sesi dapat menutup kondisi eksploitasi tertentu. Meski langkah tersebut bermanfaat, tidak satu pun mitigasi ini menggantikan patch. Karena itu, instalasi patch tidak boleh ditunda tanpa alasan kuat.

Untuk memperkuat pengamanan setelah pembaruan, administrator perlu meninjau log server. Pemeriksaan tersebut membantu mengidentifikasi kemungkinan eksploitasi. Indikator yang membutuhkan perhatian meliputi peluncuran shell secara tidak terduga, lalu lintas eksternal yang menyimpang, serta modifikasi berkas aplikasi yang tidak direncanakan. Jika terdapat bukti penyalahgunaan, administrator harus mengikuti kebijakan pemulihan organisasi. Pemulihan tersebut harus mempertimbangkan pergantian kredensial yang terdampak sesuai hasil investigasi.

Ancaman PHP2Shell Menegaskan Pentingnya Keamanan Server Web

Penemuan dua kerentanan kritis PHP menunjukkan kebutuhan mendesak dalam menjaga keamanan teknologi server. Masalah keamanan ini memiliki risiko pengambilalihan proses server sehingga pembaruan PHP harus menjadi prioritas. Selain dua celah awal, pada 23 Oktober 2026 pengembang PHP mengungkap skenario lanjutan pada fitur kemajuan unggahan sesi yang dilacak sebagai CVE-2026-115560. Dalam kondisi konfigurasi tertentu, pengguna perlu mempertimbangkan mitigasi sesi sesuai panduan resmi sampai patch berikutnya diterbitkan. Melalui pembaruan dan pemantauan berkelanjutan, ketahanan server dapat ditingkatkan. Menurut Anda, apakah pembaruan keamanan rutin sudah diterapkan secara konsisten pada layanan digital?