PHP2Shell menjadi sorotan dunia keamanan siber setelah pengembang PHP mengumumkan pembaruan keamanan untuk menangani dua kerentanan kritis yang berpotensi memungkinkan eksekusi kode dari jarak jauh atau remote code execution (RCE). Kedua celah tersebut tercatat sebagai CVE-2026-109618 dan CVE-2026-109619, dengan risiko yang perlu diperhatikan oleh pengelola website, administrator server, penyedia hosting, serta pengembang aplikasi berbasis PHP.
Kerentanan pada inti PHP menjadi perhatian karena bahasa pemrograman ini digunakan secara luas untuk menjalankan berbagai platform, termasuk WordPress, Laravel, Magento, Drupal, dan aplikasi web khusus. Apabila runtime PHP yang digunakan masih rentan, aplikasi dapat menghadapi risiko meskipun kode bisnis dan framework yang digunakan tidak memiliki kerentanan serupa.
Sejumlah perusahaan keamanan siber dan lembaga pemerintah telah menyoroti persoalan ini, termasuk Cloudflare, Google Cloud, Wiz, Akamai, Qualys, serta lembaga keamanan siber Eropa dan Inggris. Pembaruan runtime dan pemeriksaan terhadap sistem yang terpapar menjadi bagian penting dalam respons terhadap ancaman tersebut.
PHP2Shell dan Dua Kerentanan Kritis pada Inti PHP
PHP2Shell merupakan istilah yang digunakan dalam analisis dan pemberitaan keamanan untuk menggambarkan risiko eksploitasi kerentanan pada inti PHP yang dapat berujung pada RCE. RCE adalah kondisi ketika penyerang berhasil menjalankan kode atau perintah pada sistem target melalui akses jarak jauh.
Dua kerentanan yang menjadi perhatian memiliki mekanisme teknis berbeda. CVE-2026-109618 berkaitan dengan penanganan kondisi out of memory, sedangkan CVE-2026-109619 berhubungan dengan status internal yang tidak dikelola secara benar dalam kondisi tertentu.
Keduanya perlu ditangani secara serius karena potensi dampaknya tidak terbatas pada satu framework atau jenis aplikasi. Sistem yang menggunakan runtime PHP terdampak perlu dievaluasi berdasarkan versi, konfigurasi, dan jalur pemrosesan permintaan yang digunakan.
CVE-2026-109618 Berkaitan dengan Penanganan Memori
CVE-2026-109618 berkaitan dengan kondisi out of memory (OOM), yaitu ketika PHP mengalami kegagalan alokasi memori atau mencapai batas penggunaan memori tertentu.
Dalam kondisi yang rentan, proses penghentian permintaan dan pembersihan data internal dapat memicu penanganan memori yang tidak semestinya. Situasi tersebut berpotensi menyebabkan korupsi memori dan, dalam kondisi tertentu, membuka peluang eksekusi kode dari jarak jauh.
Risiko ini relevan bagi layanan web yang memproses permintaan HTTP, termasuk unggahan berkas dan data formulir. Meski demikian, tidak semua permintaan berukuran besar dapat memicu eksploitasi. Dampaknya bergantung pada kondisi teknis dan jalur pemrosesan yang terlibat.
CVE-2026-109619 Berkaitan dengan Status Internal PHP
CVE-2026-109619 berhubungan dengan pengelolaan status internal yang dapat menjadi tidak valid ketika siklus hidup memori dan proses permintaan tidak ditangani secara benar.
Dalam kondisi tertentu, status yang seharusnya sudah tidak digunakan dapat memengaruhi pemrosesan berikutnya. Perilaku tersebut berpotensi menimbulkan kondisi yang dapat dieksploitasi untuk menjalankan kode berbahaya.
Kedua kerentanan ini memperlihatkan bahwa keamanan aplikasi tidak hanya bergantung pada validasi input, autentikasi, atau kualitas framework. Runtime yang menjalankan aplikasi juga perlu mendapatkan pembaruan keamanan secara berkala.
Baca Juga: Cara Cek Versi PHP di CMD, XAMPP, dan Cpanel dengan Mudah
Apa Dampak PHP2Shell terhadap Server dan Website?
Dampak utama yang menjadi perhatian adalah kemungkinan remote code execution. Apabila eksploitasi berhasil, penyerang berpotensi menjalankan kode dengan hak akses proses PHP pada sistem target.
Besarnya dampak bergantung pada konfigurasi server, izin akses, isolasi antaraplikasi, dan data yang dapat dijangkau proses tersebut. Risiko yang mungkin muncul mencakup pencurian data, perubahan berkas aplikasi, pemasangan akses tersembunyi, hingga penyalahgunaan sumber daya server.
Dalam lingkungan hosting yang menampung banyak website, pemisahan akun dan proses menjadi faktor penting untuk membatasi dampak insiden. Namun, konfigurasi isolasi yang baik tidak menggantikan kebutuhan untuk memperbaiki runtime yang rentan.
Kerentanan yang memungkinkan eksekusi kode tanpa autentikasi juga perlu mendapatkan perhatian khusus karena penyerang mungkin tidak perlu memiliki akun pengguna atau akses ke dashboard untuk mencoba mengeksploitasinya.
Meski demikian, keberadaan kerentanan tidak otomatis membuktikan bahwa sebuah server telah berhasil disusupi. Penilaian terhadap insiden tetap memerlukan pemeriksaan log, aktivitas proses, perubahan berkas, dan bukti teknis lainnya.
Versi PHP yang Perlu Mendapatkan Pembaruan
Pengumuman keamanan yang menjadi perhatian pada Oktober 2026 mencantumkan pembaruan untuk sejumlah cabang PHP. Versi perbaikan yang disebutkan dalam laporan rilis tersebut meliputi:
| Cabang PHP | Versi perbaikan |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Pengelola server perlu memastikan bahwa versi PHP yang digunakan telah mendapatkan perbaikan untuk kerentanan terkait. Pengguna PHP 8.1 dan versi yang lebih lama juga perlu mengevaluasi status dukungan serta ketersediaan patch dari penyedia sistem operasi atau vendor yang digunakan.
Nomor versi upstream tidak selalu mencerminkan keseluruhan status keamanan sebuah paket. Sejumlah distribusi Linux menerapkan backport, yaitu memasukkan perbaikan keamanan ke paket yang masih menggunakan nomor versi dasar lebih lama. Karena itu, status patch perlu dikonfirmasi melalui advisori vendor.
Pembaruan juga harus mencakup runtime yang benar-benar menjalankan website. Versi PHP pada terminal dapat berbeda dari versi yang digunakan PHP-FPM, Apache, LiteSpeed, container, atau layanan aplikasi lainnya.
WordPress, Laravel, dan Aplikasi PHP Lainnya Ikut Perlu Diperiksa
Kerentanan pada inti PHP dapat memengaruhi berbagai aplikasi yang berjalan menggunakan runtime terdampak. WordPress, Laravel, Magento, Drupal, dan aplikasi berbasis PHP lainnya perlu diperiksa sesuai lingkungan instalasinya.
WordPress dan Platform CMS
WordPress menggunakan PHP untuk menjalankan proses aplikasi di sisi server. Karena itu, pembaruan WordPress, tema, dan plugin tidak otomatis memperbaiki kerentanan pada runtime PHP.
Pemilik website perlu memastikan penyedia hosting telah menerapkan patch yang sesuai. Penggunaan plugin keamanan atau WAF juga tidak menggantikan pembaruan pada lingkungan PHP.
Laravel dan Aplikasi Web Khusus
Aplikasi Laravel maupun aplikasi PHP yang dikembangkan secara mandiri juga perlu diperiksa. Pembaruan dependensi Composer tidak otomatis memperbaiki kerentanan pada inti PHP apabila runtime yang digunakan masih rentan.
Pengembang perlu memperhatikan lingkungan produksi, termasuk PHP-FPM, container, worker, dan server yang digunakan untuk menjalankan aplikasi. Perbedaan konfigurasi antara lingkungan pengembangan dan produksi dapat menyebabkan sebagian instalasi terlewat dari proses pembaruan.
Apache, PHP-FPM, LiteSpeed, dan Lingkungan Hosting
Pemeriksaan tidak cukup dilakukan pada satu jenis server web. Administrator perlu mengevaluasi seluruh instalasi PHP yang digunakan melalui Apache, PHP-FPM, php-cgi, LiteSpeed, FrankenPHP, maupun lingkungan lain yang menyertakan runtime PHP.
Bagi pengguna shared hosting, pembaruan biasanya berada dalam kendali penyedia layanan. Konfirmasi mengenai status patch dan cakupan seluruh domain yang dihosting menjadi langkah penting untuk memastikan tidak ada instalasi rentan yang terlewat.
Cloudflare dan Google Cloud Perkuat Mitigasi melalui WAF
Sejumlah penyedia teknologi keamanan turut merespons kerentanan PHP tersebut. Cloudflare mengumumkan perlindungan melalui aturan Web Application Firewall (WAF), sedangkan Google Cloud membahas mitigasi menggunakan Cloud Armor pada lingkungan yang didukung.
WAF berfungsi memeriksa lalu lintas web dan memblokir permintaan yang memenuhi pola atau aturan keamanan tertentu. Teknologi ini dapat menjadi lapisan perlindungan tambahan ketika sistem menghadapi percobaan eksploitasi.
Namun, efektivitas WAF bergantung pada konfigurasi, cakupan inspeksi, serta pola serangan yang dapat dikenali. Tidak semua variasi eksploitasi dijamin terblokir, dan WAF tidak memperbaiki kerentanan pada runtime PHP itu sendiri.
Karena itu, penggunaan Cloudflare, Cloud Armor, atau layanan WAF lainnya tidak seharusnya menjadi alasan untuk menunda pembaruan keamanan. Patch pada runtime tetap menjadi langkah utama, sementara WAF membantu memperkuat pertahanan berlapis.
Mengapa Organisasi Perlu Memeriksa Kemungkinan Kompromi?
Penerapan pembaruan keamanan tidak otomatis menghilangkan dampak apabila sebuah sistem telah berhasil disusupi sebelum patch diterapkan.
Administrator perlu memperhatikan aktivitas yang tidak biasa, seperti perubahan berkas tanpa persetujuan, proses yang tidak dikenal, lonjakan permintaan HTTP, peningkatan error server, atau koneksi keluar yang tidak sesuai dengan aktivitas normal aplikasi.
Indikator tersebut tidak selalu berarti eksploitasi PHP2Shell telah terjadi. Namun, korelasi antara log aplikasi, log sistem, aktivitas jaringan, dan perubahan konfigurasi dapat membantu menentukan apakah diperlukan investigasi lebih lanjut.
Apabila ditemukan bukti kompromi, organisasi perlu menjalankan prosedur respons insiden, termasuk mengamankan bukti, membatasi akses sistem terdampak, mengidentifikasi jalur masuk, dan mengevaluasi kredensial yang mungkin terekspos.
Langkah ini penting karena menambal kerentanan dan menangani kompromi merupakan dua pekerjaan yang berbeda. Sistem yang sudah diperbarui tetap membutuhkan pemeriksaan apabila terdapat indikasi aktivitas penyerang sebelum pembaruan dilakukan.
Baca Juga: Apa itu PHP? Pengertian, Sejarah, Fungsi
Kesimpulan
PHP2Shell menyoroti risiko keamanan yang dapat muncul ketika runtime PHP memiliki kerentanan kritis. Dua celah yang menjadi perhatian, CVE-2026-109618 dan CVE-2026-109619, berpotensi membuka peluang remote code execution dalam kondisi tertentu dan perlu ditangani oleh pengelola berbagai lingkungan PHP.
Dampaknya dapat menjangkau WordPress, Laravel, aplikasi web khusus, serta server yang menggunakan PHP-FPM dan berbagai integrasi PHP lainnya. Karena masalah berada pada inti runtime, pembaruan framework atau plugin saja tidak cukup untuk mengatasi akar kerentanan.
Pembaruan PHP, perlindungan WAF, pemantauan aktivitas server, dan pemeriksaan kemungkinan kompromi menjadi bagian penting dari respons keamanan. Bagi pemilik website, pengembang, administrator, dan penyedia hosting, memastikan seluruh instalasi mendapatkan patch yang sesuai merupakan langkah penting untuk mengurangi risiko eksploitasi dan penyalahgunaan server.
Keamanan server makin penting di tengah ancaman seperti PHP2Shell yang berpotensi memicu Remote Code Execution (RCE). Lindungi aplikasi dan infrastruktur digital dengan Cloud Server lokal mulai Rp165 ribuan, sudah termasuk Intel Processor, hingga 4 Core CPU, 4 GB RAM, dan 100 GB Storage. Butuh resource lebih besar? Spesifikasi server juga bisa dikustomisasi sesuai kebutuhan bisnis Anda.
