Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.
PHP2Shell Mengungkap Risiko Eksekusi Kode Jarak Jauh pada Server
Nama PHP2Shell digunakan untuk menyebut dua kelemahan serius pada sistem pemrosesan PHP yang memengaruhi lingkungan server web. Celah perangkat lunak tersebut memiliki identifikasi CVE-2026-109618 serta CVE-2026-109619. Setiap kerentanan memiliki nilai CVSS 4.0 sebesar 9,2 yang menggambarkan tingkat risiko tinggi. Dampak terpenting adalah kemampuan penyerang mengeksekusi kode tanpa izin melalui permintaan web yang dirancang khusus. Dalam kondisi rentan, eksploitasi berpotensi terjadi tanpa autentikasi.
Pengembang PHP merilis pembaruan darurat pada 21 Oktober 2026 setelah menyelesaikan penanganan dua kelemahan tersebut. Penerbitan pembaruan itu mendapat perhatian luas karena PHP menjadi fondasi berbagai website dinamis. Aplikasi web seperti Joomla dapat memiliki potensi paparan jika server menggunakan versi terdampak. Meski demikian, masalah keamanan terjadi dalam runtime PHP, bukan semata-mata akibat plugin website. Oleh karena itu, memperbarui CMS saja tidak mencukupi.
Memahami Masalah Memori yang Menjadi Penyebab PHP2Shell
Kerentanan pertama berkaitan dengan penanganan kondisi kehabisan memori dalam mesin pemrosesan bahasa PHP. Saat sistem mengalami kegagalan alokasi memori, informasi sementara dapat memiliki keadaan yang tidak lengkap. Masalah muncul ketika runtime memproses data internal yang tidak berada dalam keadaan semestinya. Kesalahan pengelolaan ini dapat menyebabkan kerusakan memori. Apabila kelemahan berhasil dimanfaatkan, penyerang dapat mencapai eksekusi kode jarak jauh.
Kerentanan kedua terjadi akibat penggunaan informasi internal yang sudah kedaluwarsa. Dalam pemrosesan permintaan, struktur global yang terkait permintaan tertentu dapat tetap tersimpan meskipun alokasi terkait telah dilepaskan. Jika permintaan berikutnya memakai keadaan tersebut, celah eksploitasi dapat terbuka. Sepasang kerentanan ini menggambarkan kerumitan keamanan runtime. Kendati PHP sering dipahami sebagai bahasa pemrograman web, mesin pelaksananya bergantung pada keamanan kode sistem.
Serangan Remote Code Execution Dapat Membahayakan Data Server
Kemampuan menjalankan kode dari lokasi berbeda menjadi perhatian utama dalam keamanan server. Ketika penyerang memperoleh kemampuan tersebut, pelaku berpotensi menjalankan instruksi pada server. Cakupan penyalahgunaan bergantung pada hak akses proses PHP. Apabila pembatasan akses tidak memadai, file aplikasi berpotensi mengalami perubahan. Sebagai contoh, website toko online dapat menghadapi risiko perubahan file apabila penyerang memperoleh akses yang memadai.
Tidak terbatas pada risiko kebocoran informasi, serangan berpotensi memengaruhi stabilitas website. Ketika server mengalami gangguan, pelanggan dapat kesulitan menggunakan layanan. Dalam organisasi yang mengandalkan website, insiden server dapat mengganggu hubungan dengan pelanggan. Meski demikian, keberadaan kerentanan tidak membuktikan suatu server telah diretas. Pemeriksaan log tetap diperlukan guna membedakan risiko dari serangan berhasil. Pendekatan tersebut membantu administrator mengambil keputusan secara tepat.
Administrator Server Diminta Segera Memasang Patch PHP
Sebagai solusi utama PHP2Shell, tim keamanan PHP merilis sejumlah pembaruan keamanan penting. Versi yang direkomendasikan adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Keempat rilis keamanan itu ditujukan untuk memperbaiki dua celah awal PHP2Shell. Pengguna versi lama dianjurkan segera memperbarui runtime, terutama apabila layanan menerima permintaan dari jaringan publik. Proses instalasi patch harus dipastikan terpasang pada lingkungan produksi, bukan terbatas pada plugin maupun tema.
Bagi instalasi yang menggunakan cabang PHP lama, pembaruan perlu direncanakan lebih cermat. Versi tersebut berada di luar siklus dukungan keamanan resmi. Di sisi lain, penyedia pemeliharaan perangkat lunak tertentu dapat menyediakan paket keamanan khusus. Tim keamanan PHP juga menyediakan backport dasar untuk sejumlah rilis yang tidak lagi didukung. Meski tersedia alternatif tersebut, penggunaan runtime modern menjadi pilihan lebih berkelanjutan.
Strategi Keamanan untuk Administrator PHP dan Pengelola Hosting
Tindakan awal pengamanan adalah mengidentifikasi seluruh instalasi PHP. Pemeriksaan sebaiknya mencakup website publik, aplikasi internal, serta komponen pihak ketiga. Pendataan tersebut diperlukan karena layanan tambahan dapat memiliki runtime PHP tersendiri. Ketika inventarisasi selesai, administrator harus memilih patch yang sesuai dengan lingkungan server. Sebagai persiapan pemeliharaan, backup yang dapat dipulihkan perlu dipastikan. Sesudah proses pembaruan, layanan PHP perlu dimuat ulang atau dijalankan kembali.
Apabila pembaruan belum dapat dilakukan, administrator dapat menerapkan pembatasan sementara berdasarkan panduan PHP. Untuk CVE-2026-109618, penyesuaian batas memori merupakan salah satu mitigasi yang disarankan. Pengaturan batas input HTTP juga berperan dalam membatasi permintaan berisiko. Untuk kerentanan berikutnya, penonaktifan session upload progress menjadi langkah mitigasi terhadap skenario khusus. Namun, pembatasan konfigurasi tidak membuat sistem sepenuhnya aman. Karena itu, pemasangan versi yang diperbaiki merupakan tindakan utama.
Untuk memperkuat pengamanan setelah pembaruan, administrator perlu meninjau log server. Analisis keamanan ini bertujuan mengenali aktivitas tidak biasa. Indikator yang membutuhkan perhatian meliputi proses server menjalankan program yang tidak dikenal, komunikasi jaringan menuju tujuan asing, serta modifikasi berkas aplikasi yang tidak direncanakan. Ketika aktivitas berbahaya teridentifikasi, sistem sebaiknya diisolasi sesuai prosedur respons insiden. Proses penanganan ini dapat melibatkan pemulihan dari cadangan bersih sesuai hasil investigasi.
Kesimpulan: Pembaruan PHP Menjadi Langkah Utama Mengatasi PHP2Shell
Kemunculan PHP2Shell menunjukkan kebutuhan mendesak dalam melindungi infrastruktur website. Kerentanan yang ditemukan dapat memungkinkan eksekusi kode tanpa autentikasi sehingga pembaruan PHP harus menjadi prioritas. Di luar pembaruan darurat tersebut, pada 23 Oktober 2026 pengembang PHP mengumumkan kondisi khusus terkait session upload progress yang tercatat dengan nomor CVE-2026-115560. Untuk skenario yang memenuhi persyaratan tertentu, pengguna disarankan menonaktifkan session.upload_progress.enabled sampai perbaikan lanjutan tersedia. Melalui pembaruan dan pemantauan berkelanjutan, risiko serangan dapat ditekan. Bagaimana pendapat Anda, apakah pembaruan keamanan rutin sudah menjadi prioritas dalam pengelolaan website?
