Technologue.id, Jakarta - Komunitas keamanan siber tengah menyoroti kemunculan PHP2Shell, dua celah keamanan kritis pada PHP yang berpotensi memungkinkan peretas mengambil alih server dari jarak jauh tanpa perlu login terlebih dahulu.
Kedua kerentanan tersebut tercatat dengan kode CVE-2026-109618 dan CVE-2026-109619. Keduanya mendapatkan skor 9,2 dari 10 pada sistem penilaian CVSS v4.0, yang menunjukkan tingkat ancaman kritis.
Dikutip dari sejumlah laporan keamanan siber, kerentanan ini berada pada inti PHP, bukan pada aplikasi tertentu. Artinya, website yang menggunakan WordPress, Drupal, Joomla, Laravel, atau Magento berpotensi terdampak apabila berjalan di atas PHP versi yang rentan.
Tim developer PHP telah merilis pembaruan keamanan pada 21 Oktober 2026 untuk mengatasi kedua celah tersebut. Administrator server dan pengelola website pun diimbau segera memasang pembaruan guna mengurangi risiko serangan.
PHP2Shell merupakan sebutan untuk dua kerentanan pada sistem pemrosesan permintaan atau request handling di PHP.
Secara sederhana, PHP merupakan bahasa pemrograman yang banyak digunakan untuk menjalankan fungsi di balik sebuah website, seperti memproses data, mengelola akun pengguna, hingga menampilkan konten secara dinamis.
Masalah muncul ketika PHP mengalami gangguan dalam mengelola memori saat memproses permintaan. Kondisi ini dapat menyebabkan sistem menggunakan data internal yang tidak valid atau masih merujuk pada memori yang sebenarnya sudah dibebaskan.
Akibatnya, penyerang berpotensi memanfaatkan kondisi tersebut untuk menjalankan kode berbahaya di server melalui serangan Remote Code Execution (RCE).
Yang membuat situasi ini semakin serius, serangan tersebut dapat dilakukan tanpa autentikasi. Dengan kata lain, penyerang tidak harus memiliki akun atau kata sandi untuk mencoba mengeksploitasi server yang rentan.
Salah satu hal yang perlu diperhatikan adalah lokasi kerentanan PHP2Shell.
Celah ini berada pada PHP sebagai komponen inti, bukan pada kode aplikasi website yang dibuat menggunakan bahasa tersebut.
Artinya, website yang selama ini tidak memiliki celah keamanan pada aplikasinya sendiri tetap berpotensi terdampak jika menggunakan PHP yang rentan.
Hal ini juga berlaku untuk lingkungan server yang menjalankan PHP melalui berbagai metode, termasuk PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, dan LiteSpeed.
Karena PHP digunakan secara luas untuk menjalankan website dan layanan berbasis web, dampak kerentanan ini dapat menjangkau berbagai jenis layanan digital.
Jika berhasil dieksploitasi, celah RCE dapat memberi kesempatan kepada penyerang untuk menjalankan perintah dengan hak akses proses PHP yang diserang. Dampak lanjutannya bergantung pada konfigurasi server, hak akses yang tersedia, dan perlindungan keamanan lain yang diterapkan.
Untuk mengatasi PHP2Shell, pengembang PHP telah merilis sejumlah versi yang berisi perbaikan keamanan.
Versi PHP yang sudah diperbaiki antara lain PHP 8.5.12, PHP 8.4.27m PHP 8.3.36, dan PHP 8.2.35
Administrator perlu memastikan versi yang digunakan sudah mendapatkan perbaikan tersebut. Untuk instalasi PHP 8.1 dan versi yang lebih lama, pengguna perlu memeriksa ketersediaan security patch dari penyedia distribusi atau vendor karena versi-versi tersebut sudah tidak lagi mendapatkan dukungan reguler.
Pembaruan juga tidak boleh hanya dilakukan pada instalasi PHP utama. Tim IT perlu memeriksa seluruh lingkungan operasional yang menggunakan PHP, termasuk container, virtual machine, layanan hosting, serta aplikasi pihak ketiga yang menyertakan runtime PHP.
Setelah pembaruan dipasang, administrator perlu memastikan proses PHP yang berjalan telah dimulai ulang agar versi yang sudah diperbaiki benar-benar digunakan.
