Dunia keamanan siber menghadapi ancaman serius setelah dua kerentanan kritis dalam bahasa pemrograman PHP ditemukan dan dikenal dengan nama PHP2Shell. Pada 21 Oktober 2026, pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi celah yang memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi. Kedua kerentanan tersebut memiliki tingkat keparahan 9,2 berdasarkan standar CVSS 4.0 dan berpotensi memengaruhi berbagai website yang menggunakan PHP. Perkembangan teknologi keamanan ini menjadi perhatian penting bagi administrator server, pengembang website, dan penyedia hosting karena pembaruan segera diperlukan untuk mengurangi risiko pengambilalihan sistem serta kebocoran informasi sensitif.
Kerentanan PHP2Shell Menjadi Ancaman Serius bagi Keamanan Server Web
PHP2Shell merupakan dua kelemahan serius pada sistem pemrosesan PHP yang dapat membahayakan infrastruktur website. Masalah keamanan yang ditemukan terdaftar sebagai CVE-2026-109618 dan CVE-2026-109619. Keduanya mendapatkan skor keparahan 9,2 dari 10 yang menunjukkan potensi dampak besar. Bahaya utamanya adalah potensi menjalankan perintah berbahaya dari luar server melalui permintaan web yang dirancang khusus. Apabila server masih menggunakan PHP terdampak, eksploitasi berpotensi terjadi tanpa autentikasi.
Proyek PHP mengumumkan perbaikan kritis pada 21 Oktober 2026 setelah mengembangkan perbaikan terhadap kerentanan. Respons keamanan tersebut mendapat perhatian luas karena PHP menjadi fondasi berbagai website dinamis. Portal yang menggunakan Drupal dapat terdampak apabila menjalankan runtime PHP rentan. Perlu dipahami, celah tersebut berasal dari komponen internal PHP, bukan secara khusus disebabkan kode CMS tertentu. Sebagai konsekuensinya, update aplikasi tanpa patch PHP belum menyelesaikan masalah.
Cara Dua Kerentanan PHP2Shell Mengancam Infrastruktur Website
Masalah yang diidentifikasi sebagai CVE-2026-109618 berkaitan dengan penanganan kondisi kehabisan memori dalam runtime PHP. Apabila permintaan memicu kondisi kehabisan memori, informasi sementara dapat memiliki keadaan yang tidak lengkap. Masalah muncul ketika runtime memproses data internal yang tidak berada dalam keadaan semestinya. Kondisi tersebut berpotensi mengganggu integritas proses. Apabila kelemahan berhasil dimanfaatkan, sistem bisa dipaksa mengeksekusi instruksi berbahaya.
Masalah keamanan berikutnya terjadi akibat penggunaan informasi internal yang sudah kedaluwarsa. Ketika PHP menangani aktivitas server, sebagian keadaan internal yang seharusnya dibersihkan dapat bertahan setelah memori pendukungnya dibebaskan. Apabila pekerja server mengakses informasi yang sudah tidak valid, integritas memori berpotensi terganggu. Kedua masalah tersebut menggambarkan kerumitan keamanan runtime. Kendati PHP sering dipahami sebagai bahasa pemrograman web, mesin pelaksananya bergantung pada keamanan kode sistem.
Serangan Remote Code Execution Dapat Membahayakan Data Server
Eksekusi kode jarak jauh yang dikenal sebagai RCE menjadi perhatian utama dalam keamanan server. Apabila eksploitasi berhasil, penyerang dapat mencoba melakukan tindakan tanpa otorisasi. Tingkat kerusakan ditentukan oleh konfigurasi dan izin sistem. Pada server dengan pengaturan keamanan lemah, data dan layanan mungkin menghadapi gangguan. Untuk menggambarkan potensi dampaknya, website toko online dapat menghadapi risiko perubahan file apabila lingkungan server berhasil disalahgunakan.
Selain kemungkinan pencurian data, penyalahgunaan sistem bisa menyebabkan gangguan operasional. Apabila aplikasi tidak dapat diakses, aktivitas transaksi berpotensi terhambat. Untuk perusahaan digital, gangguan tersebut dapat memengaruhi reputasi. Namun, instalasi rentan belum tentu sudah mengalami kompromi. Pemeriksaan log tetap dibutuhkan untuk memastikan kondisi sistem. Pendekatan tersebut mempermudah penanganan berdasarkan temuan nyata.
Versi PHP Terbaru Menutup Dua Kerentanan Keamanan Kritis
Untuk menangani kedua kerentanan, pengembang PHP menyediakan empat versi perbaikan utama. Pembaruan yang tersedia adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Keempat rilis keamanan itu memuat perbaikan terhadap dua kerentanan kritis yang diumumkan. Administrator instalasi PHP terdampak perlu memprioritaskan pemasangan patch, terutama apabila layanan menerima permintaan dari jaringan publik. Proses instalasi patch harus dipastikan terpasang pada lingkungan produksi, bukan sekadar memasang pembaruan CMS.
Untuk PHP 8.1 dan versi lebih lama, pembaruan perlu direncanakan lebih cermat. Cabang PHP yang telah mencapai akhir masa dukungan berada di luar siklus dukungan keamanan resmi. Walaupun dukungan utama telah berakhir, penyedia pemeliharaan perangkat lunak tertentu dapat menyediakan paket keamanan khusus. Tim keamanan PHP juga menyediakan patch sumber terbatas bagi beberapa cabang lama. Walaupun ada jalur perbaikan sementara, pembaruan ke cabang aktif lebih baik untuk keamanan jangka panjang.
Pencegahan Serangan PHP2Shell Melalui Pembaruan dan Pengawasan Server
Prioritas utama administrator adalah mendata runtime PHP yang digunakan. Peninjauan harus memperhatikan website publik, aplikasi internal, serta komponen pihak ketiga. Pemeriksaan menyeluruh dibutuhkan karena layanan tambahan dapat memiliki runtime PHP tersendiri. Setelah versi diketahui, administrator harus memilih patch yang sesuai dengan lingkungan server. Sebelum pembaruan, cadangan konfigurasi dan data penting sebaiknya tersedia. Setelah patch dipasang, layanan PHP perlu dimuat ulang atau dijalankan kembali.
Jika terdapat kendala pemasangan patch, administrator dapat menerapkan pembatasan sementara berdasarkan panduan PHP. Untuk CVE-2026-109618, penyesuaian batas memori merupakan salah satu mitigasi yang disarankan. Pembatasan ukuran permintaan juga menjadi lapisan perlindungan tambahan. Sementara itu, pembatasan fitur kemajuan unggahan sesi membantu menghambat salah satu jalur yang diketahui. Perlu ditegaskan, pembatasan konfigurasi tidak membuat sistem sepenuhnya aman. Karena itu, instalasi patch tidak boleh ditunda tanpa alasan kuat.
Untuk memperkuat pengamanan setelah pembaruan, administrator dianjurkan mengevaluasi rekaman permintaan web. Kegiatan pemantauan tersebut bertujuan mengenali aktivitas tidak biasa. Aktivitas yang patut diperiksa meliputi proses server menjalankan program yang tidak dikenal, lalu lintas eksternal yang menyimpang, serta perubahan file tanpa alasan jelas. Jika terdapat bukti penyalahgunaan, tim keamanan perlu menjalankan penanganan insiden. Respons keamanan yang dilakukan perlu mencakup pemeriksaan integritas data sesuai tingkat kerusakan yang ditemukan.
Ancaman PHP2Shell Menegaskan Pentingnya Keamanan Server Web
Pengungkapan CVE-2026-109618 dan CVE-2026-109619 menunjukkan kebutuhan mendesak dalam melindungi infrastruktur website. Kerentanan yang ditemukan berpotensi membuka akses kode jarak jauh sehingga administrator perlu segera memasang patch. Sebagai perkembangan keamanan tambahan, pada 23 Oktober 2026 pengembang PHP mengungkap skenario lanjutan pada fitur kemajuan unggahan sesi yang memiliki identifikasi CVE-2026-115560. Dalam kondisi konfigurasi tertentu, pengguna perlu mempertimbangkan mitigasi sesi sesuai panduan resmi sampai patch berikutnya diterbitkan. Melalui pembaruan dan pemantauan berkelanjutan, perlindungan infrastruktur dapat diperkuat. Dari pengalaman Anda, apakah pemantauan aktivitas server sudah menjadi prioritas dalam pengelolaan website?
