Pengantar
Dua kerentanan keamanan kritis pada PHP memicu peringatan bagi administrator server dan pengelola website di seluruh dunia. Kedua celah tersebut, yang dikenal dengan nama PHP2Shell, berpotensi memungkinkan penyerang menjalankan kode berbahaya pada server yang rentan.
Tim keamanan PHP menjadwalkan pembaruan darurat pada 21 Oktober 2026. Kedua kerentanan tersebut mendapatkan skor 9,2 dari 10 berdasarkan CVSS versi 4.0, yang menunjukkan tingkat risiko sangat tinggi.
Ancaman ini perlu diperhatikan karena PHP digunakan secara luas untuk menjalankan berbagai website dan aplikasi, termasuk platform populer seperti WordPress, Drupal, Joomla, dan Magento. Jika server yang rentan berhasil diserang, dampaknya dapat meluas hingga pencurian data dan pengambilalihan sistem.
Apa Itu PHP2Shell?
PHP2Shell merupakan nama yang digunakan oleh peneliti keamanan untuk menyebut dua kerentanan kritis pada PHP. Nama tersebut bukan nama resmi yang diberikan oleh tim pengembang PHP.
Laporan yang beredar mengaitkan kedua celah tersebut dengan identitas berikut:
- CVE-2026-109618
- CVE-2026-109619
Keduanya dilaporkan berpotensi menyebabkan Remote Code Execution (RCE). RCE adalah kondisi ketika penyerang dapat menjalankan kode atau perintah pada komputer target dari jarak jauh.
Dalam kasus server web, kemampuan tersebut dapat memberikan peluang bagi penyerang untuk melakukan tindakan berbahaya, bergantung pada hak akses proses yang berhasil mereka kendalikan.
Namun, pada saat laporan awal diterbitkan, tim PHP belum memublikasikan seluruh detail teknis, daftar versi yang terdampak, maupun versi perbaikan. Informasi tersebut perlu mengikuti pengumuman resmi agar tidak menimbulkan kesimpulan yang keliru.
Mengapa Kerentanan RCE Sangat Berbahaya?
Bayangkan sebuah server web sebagai komputer yang menerima permintaan dari pengunjung dan menjalankan aplikasi untuk menampilkan halaman website.
Dalam kondisi normal, server hanya menjalankan proses yang memang diperlukan oleh aplikasi. Namun, jika terdapat celah RCE yang dapat dieksploitasi, penyerang mungkin dapat membuat server menjalankan perintah yang tidak seharusnya dijalankan.
Risiko yang dapat muncul antara lain:
- Pencurian data. Penyerang dapat mencoba mengakses database, file konfigurasi, atau informasi sensitif yang dapat dijangkau oleh proses yang berhasil dikendalikan.
- Pengambilalihan website. Konten website dapat diubah, halaman palsu dapat dipasang, atau pengunjung dapat diarahkan ke halaman berbahaya.
- Pemasangan malware. Server dapat dimanfaatkan untuk menjalankan program berbahaya atau menjadi bagian dari serangan lanjutan.
- Penyalahgunaan sumber daya. Server dapat digunakan untuk menjalankan proses yang tidak sah, termasuk aktivitas yang menghabiskan CPU dan memori.
- Pergerakan ke sistem lain. Jika jaringan internal tidak memiliki pembatasan yang memadai, kompromi satu server dapat meningkatkan risiko terhadap sistem lain.
Dampak sebenarnya bergantung pada kondisi sistem, konfigurasi PHP, hak akses proses, dan kemungkinan eksploitasi. Karena itu, keberadaan kerentanan tidak otomatis berarti seluruh server PHP sudah berhasil diretas.
Siapa yang Berpotensi Terdampak?
Ancaman PHP2Shell relevan bagi organisasi maupun individu yang mengoperasikan website dengan PHP.
Beberapa pihak yang perlu melakukan pemeriksaan meliputi:
- Administrator server Linux dan Windows yang menjalankan PHP.
- Pemilik website berbasis WordPress dan CMS lainnya.
- Pengelola aplikasi yang menggunakan framework PHP.
- Penyedia layanan hosting dan server bersama (shared hosting).
- Organisasi yang menggunakan PHP melalui PHP-FPM, CGI, atau integrasi server web lainnya.
- Pengelola perangkat lunak pihak ketiga yang menyertakan PHP di dalam produknya.
Salah satu tantangannya adalah PHP tidak selalu terlihat langsung oleh pemilik website. Pada layanan hosting, misalnya, pembaruan PHP mungkin dikelola oleh penyedia layanan, bukan oleh pemilik website sendiri.
Oleh sebab itu, pemilik website perlu memastikan siapa yang bertanggung jawab memperbarui runtime PHP dan kapan pembaruan tersebut dapat diterapkan.
Laporan awal menyebutkan kemungkinan cakupan yang luas, tetapi daftar versi terdampak harus dikonfirmasi melalui advisori resmi. Jangan langsung menganggap semua versi PHP rentan hanya berdasarkan informasi yang belum diverifikasi.
Mengapa Pembaruan Darurat PHP Penting?
Biasanya, pembaruan perangkat lunak mengikuti jadwal rilis tertentu. Namun, kerentanan yang memiliki tingkat risiko sangat tinggi dapat mendorong pengembang menerbitkan pembaruan di luar jadwal normal.
Dalam kasus PHP2Shell, informasi mengenai dua kerentanan tersebut bocor sebelum jadwal pengungkapan yang direncanakan. Tim PHP kemudian mengumumkan rilis keamanan darurat pada 21 Oktober 2026.
Situasi seperti ini berisiko memperpendek waktu persiapan bagi administrator. Ketika informasi kerentanan tersebar, pihak yang bertahan maupun pihak yang berniat menyerang dapat mulai mempelajari potensi dampaknya.
Karena itu, administrator perlu menyiapkan proses pembaruan sebelum patch tersedia, bukan baru mulai mengidentifikasi server setelah serangan terjadi.
Hal lain yang perlu diperhatikan adalah status dukungan versi PHP. Menurut laporan awal The Hacker News, hanya cabang PHP yang masih didukung yang dapat menerima pembaruan resmi. Server yang menggunakan versi lama dan sudah mencapai akhir masa dukungan (End of Life atau EOL) mungkin tidak memperoleh perbaikan keamanan dari proyek PHP.
Artinya, memperbarui website saja belum tentu cukup. Runtime PHP yang digunakan server juga harus diperiksa.
Cara Melindungi Server dari PHP2Shell
Sebelum dan setelah pembaruan keamanan tersedia, administrator dapat melakukan beberapa langkah berikut.
1. Identifikasi Semua Instalasi PHP
Mulailah dengan mendata server, website, container, dan aplikasi yang menggunakan PHP.
Pada terminal Linux, perintah berikut dapat digunakan untuk memeriksa versi PHP CLI:
php -v
Namun, hasil perintah tersebut belum tentu menunjukkan versi PHP yang digunakan oleh website. PHP-FPM, server web, container, atau aplikasi pihak ketiga bisa menggunakan instalasi yang berbeda.
Periksa juga konfigurasi PHP pada layanan yang aktif dan panel hosting yang digunakan.
2. Perbarui PHP ke Versi yang Sudah Diperbaiki
Setelah pengembang PHP atau penyedia distribusi menerbitkan pembaruan, cocokkan versi yang digunakan dengan daftar versi terdampak dan versi yang sudah diperbaiki.
Gunakan paket resmi dari distribusi Linux atau penyedia PHP yang tepercaya. Pada beberapa distribusi, perbaikan keamanan dapat diberikan melalui paket yang mempertahankan nomor versi utama tetapi menyertakan patch tambahan. Karena itu, periksa informasi keamanan paket, bukan hanya nomor versi.
Setelah pembaruan, pastikan layanan PHP dan server web berjalan dengan baik serta aplikasi tetap berfungsi normal.
3. Batasi Akses ke Server yang Belum Dapat Diperbarui
Jika patch belum tersedia atau belum dapat diterapkan, kurangi paparan server terhadap internet.
Langkah yang dapat dipertimbangkan meliputi pembatasan akses melalui VPN, allowlist alamat IP, firewall, atau kontrol akses lainnya.
Untuk server yang sangat berisiko dan tidak dapat diamankan dengan memadai, pertimbangkan isolasi sementara dari jaringan publik sampai perbaikan dapat dilakukan.
Web Application Firewall (WAF) dapat membantu menyaring sebagian pola permintaan berbahaya, tetapi tidak boleh dianggap sebagai pengganti patch resmi. Tidak ada jaminan bahwa aturan WAF akan menghentikan seluruh variasi eksploitasi.
4. Pantau Aktivitas Proses yang Tidak Wajar
Administrator sebaiknya memantau log server web, PHP-FPM, sistem operasi, serta sistem deteksi endpoint jika tersedia.
Perhatikan aktivitas tidak biasa, misalnya proses PHP yang tiba-tiba menjalankan shell, mengunduh file, atau memulai program yang tidak diperlukan aplikasi.
Pada Linux, proses seperti php-fpm, php-cgi, httpd, atau apache2 yang menjalankan interpreter dan utilitas sistem secara tidak lazim layak diperiksa. Namun, aktivitas tersebut harus dinilai berdasarkan konteks karena beberapa aplikasi memang memerlukan pemanggilan proses eksternal.
5. Kurangi Hak Akses Proses PHP
Jalankan aplikasi dengan hak akses minimum yang dibutuhkan. Hindari menjalankan proses PHP sebagai pengguna dengan hak administrator atau root jika tidak diperlukan.
Batasi akses proses PHP ke file konfigurasi, kredensial, direktori sistem, dan layanan internal. Pemisahan hak akses dapat mengurangi dampak jika suatu aplikasi berhasil dikompromikan.
6. Lakukan Investigasi Jika Ada Indikasi Serangan
Jika ditemukan aktivitas mencurigakan, jangan hanya menghapus file yang terlihat berbahaya lalu menganggap masalah selesai.
Isolasi server yang terdampak sesuai prosedur respons insiden. Simpan log dan bukti yang relevan, kemudian periksa kemungkinan web shell, file baru yang tidak dikenal, tugas terjadwal, akun tambahan, serta koneksi jaringan yang mencurigakan.
Jika kredensial diduga telah dicuri, lakukan rotasi dari lingkungan yang aman. Sebelum mengembalikan server ke layanan publik, pastikan penyebab insiden telah ditangani dan sistem telah diperbarui.
Bagaimana dengan Website WordPress?
Pemilik website WordPress perlu memahami bahwa keamanan WordPress tidak hanya bergantung pada pembaruan core, tema, dan plugin.
WordPress berjalan menggunakan PHP. Dengan demikian, kerentanan pada runtime PHP dapat menimbulkan risiko pada lapisan yang berbeda dari kerentanan plugin atau tema.
Pembaruan otomatis WordPress tidak selalu memperbarui PHP pada server. Pada layanan hosting terkelola, pembaruan runtime mungkin ditangani oleh penyedia hosting, sedangkan pada VPS pengguna biasanya perlu mengelolanya sendiri.
Pemilik website sebaiknya:
- Menanyakan kepada penyedia hosting apakah server menggunakan versi PHP yang terdampak.
- Memastikan pembaruan keamanan sudah diterapkan.
- Memeriksa apakah versi PHP masih mendapatkan dukungan.
- Memastikan backup tersedia dan dapat dipulihkan.
- Memantau log akses dan aktivitas administrator setelah pembaruan.
Jika website menggunakan VPS sendiri, administrator perlu memeriksa seluruh instalasi PHP yang aktif, termasuk versi yang mungkin digunakan oleh aplikasi berbeda.
Pelajaran Penting bagi Administrator dan Developer
Kasus PHP2Shell menunjukkan bahwa keamanan aplikasi tidak hanya bergantung pada kualitas kode yang ditulis developer. Komponen dasar seperti bahasa pemrograman, runtime, sistem operasi, dan server web juga memiliki peran penting.
Organisasi perlu memiliki inventaris aset yang jelas, prosedur pembaruan keamanan, serta mekanisme untuk menentukan sistem mana yang harus diperbaiki terlebih dahulu.
Selain itu, versi perangkat lunak yang sudah tidak mendapatkan dukungan sebaiknya segera direncanakan untuk migrasi. Menggunakan versi lama bukan hanya menambah risiko dari satu kerentanan, tetapi juga dapat menyulitkan penanganan kerentanan berikutnya.
Pembaruan keamanan perlu diperlakukan sebagai bagian dari operasi rutin, bukan pekerjaan yang baru dilakukan ketika sebuah ancaman menjadi berita besar.
Kesimpulan
PHP2Shell menjadi peringatan serius bagi administrator server dan pengelola website yang menggunakan PHP. Dua kerentanan yang dilaporkan memiliki skor CVSS 9,2 dan berpotensi memungkinkan eksekusi kode dari jarak jauh, sehingga membutuhkan penanganan cepat.
Langkah paling penting adalah mengidentifikasi instalasi PHP, memverifikasi versi yang terdampak melalui advisori resmi, serta menerapkan pembaruan yang sesuai sesegera mungkin. Jika sistem belum dapat diperbaiki, batasi akses publik dan tingkatkan pemantauan.
Bagi pemilik website, jangan hanya memperbarui CMS dan plugin. Pastikan runtime PHP yang menjalankan website juga mendapatkan pembaruan keamanan.
Jangan menunggu website mengalami gangguan untuk memeriksa keamanannya. Identifikasi aset, siapkan patch, dan lakukan verifikasi setelah pembaruan diterapkan.
Referensi
- The Hacker News — PHP2Shell: Two Unpatched Critical PHP RCE Flaws (CVSS 9.2) Trigger Emergency Security Alert.
- PHP.net — Pengumuman dan advisori keamanan resmi PHP.
- Huntress — Rapid Response: php2shell, Leaked Critical PHP Vulnerabilities.
