PHP2Shell Jadi Sorotan Dunia Siber: Pengertian, Bahaya, Dampak, dan Cara Mengatasinya

PHP2Shellsedang menjadi perhatian di dunia keamanan siber setelah terungkapnya dua celah keamanan kritis pada inti bahasa pemrograman PHP. Kerentanan ini dapat membuka peluang bagi penyerang untuk menjalankan kode berbahaya dari jarak jauh pada server yang belum mendapatkan pembaruan keamanan. Risiko tersebut menjadi serius karena PHP masih digunakan secara luas untuk menjalankan situs web, sistem manajemen konten (CMS), dan berbagai aplikasi berbasis web.

Pada Oktober 2026, kerentanan yang dikenal sebagai PHP2Shell dikaitkan dengan dua identitas keamanan, yaitu CVE-2026-109618 dan CVE-2026-109619. Keduanya memiliki tingkat keparahan CVSS 4.0 sebesar 9,2 dari 10, sehingga administrator server, pengelola situs web, dan pengembang aplikasi perlu memberikan perhatian khusus terhadap masalah ini.

Lantas, apa itu PHP2Shell, bagaimana cara kerentanannya bekerja, siapa saja yang berisiko terdampak, dan bagaimana cara mengatasinya? Berikut pembahasan lengkapnya.

Apa Itu PHP2Shell?

PHP2Shell adalah sebutan untuk dua kerentanan keamanan kritis pada runtime atau mesin inti PHP yang dapat memungkinkan terjadinya remote code execution(RCE). RCE merupakan kondisi ketika penyerang mampu menjalankan instruksi atau kode pada sistem target melalui jaringan tanpa harus memiliki akses fisik ke server.

Berbeda dengan celah keamanan yang hanya ditemukan pada plugin, tema, atau aplikasi tertentu, PHP2Shell berkaitan dengan mekanisme internal PHP. Artinya, risiko dapat meluas ke berbagai aplikasi yang menggunakan versi PHP rentan, tergantung pada konfigurasi, lingkungan eksekusi, dan karakteristik sistem yang dijalankan.

PHP sendiri merupakan bahasa pemrograman sisi server yang banyak digunakan untuk membangun situs dinamis. Teknologi ini menjadi fondasi bagi berbagai platform, termasuk WordPress, Drupal, Joomla, serta aplikasi web yang dikembangkan secara khusus.

Karena PHP bekerja di sisi server, kerentanan pada komponen intinya berpotensi memberikan dampak lebih luas daripada bug biasa pada tampilan atau fungsi aplikasi.

Dua Kerentanan Utama PHP2Shell

PHP2Shell mencakup dua celah keamanan dengan karakteristik teknis yang berbeda. Keduanya dapat membuka jalan menuju eksekusi kode jarak jauh.

1. CVE-2026-109618: Kerentanan Penanganan Out-of-Memory

Kerentanan pertama berkaitan dengan penanganan kondisi out-of-memory(OOM), yaitu situasi ketika proses PHP tidak dapat memperoleh alokasi memori yang dibutuhkan.

Dalam kondisi tertentu, mekanisme penanganan kesalahan dapat menyebabkan sebagian keadaan internal atau data permintaan berada dalam kondisi yang tidak semestinya. Ketika proses pembersihan berjalan, PHP berpotensi memproses data memori yang tidak valid.

Jika kondisi tersebut berhasil dimanfaatkan, penyerang dapat memicu kerusakan memori yang berujung pada eksekusi kode dari jarak jauh.

Masalah ini memperlihatkan bahwa penanganan kesalahan dan pengelolaan memori merupakan bagian penting dari keamanan sebuah bahasa pemrograman, bukan sekadar persoalan stabilitas aplikasi.

2. CVE-2026-109619: Kerentanan Use-After-Free

Kerentanan kedua berkaitan dengan kondisi use-after-free. Istilah ini merujuk pada situasi ketika program masih menggunakan referensi memori yang sebelumnya telah dibebaskan.

Dalam kasus PHP2Shell, sebagian status internal PHP yang berkaitan dengan permintaan dapat tetap menunjuk ke area memori yang sudah tidak valid. Jika permintaan berikutnya diproses sebelum status tersebut diinisialisasi kembali secara benar, program berpotensi membaca atau menggunakan data yang keliru.

Dampaknya dapat mencakup pengungkapan informasi dari memori proses hingga eksekusi kode jarak jauh, bergantung pada kondisi sistem dan jalur eksploitasi yang digunakan.

Kedua kerentanan tersebut memiliki skor CVSS 4.0 sebesar 9,2. Oleh sebab itu, administrator tidak seharusnya menganggap server aman hanya karena aplikasi yang berjalan di atasnya tidak menunjukkan gejala kerusakan.

Mengapa PHP2Shell Menjadi Ancaman Serius?

Ada beberapa alasan mengapa PHP2Shell mendapatkan perhatian besar dari komunitas keamanan siber.

Pertama, PHP digunakan dalam ekosistem web yang luas. Satu kerentanan pada runtime PHP dapat memengaruhi berbagai aplikasi yang berjalan di atas versi rentan tersebut.

Kedua, eksploitasi yang berhasil dapat memungkinkan penyerang menjalankan kode tanpa autentikasi. Artinya, dalam kondisi yang terdampak, penyerang tidak selalu perlu memiliki akun pengguna yang sah terlebih dahulu.

Ketiga, kompromi server dapat menimbulkan dampak berantai. Penyerang yang berhasil memperoleh kemampuan menjalankan kode dapat mencoba mengakses data aplikasi, mencuri kredensial yang tersedia bagi proses PHP, mengubah berkas situs, atau menggunakan server sebagai titik awal untuk aktivitas berbahaya lainnya.

Keempat, informasi teknis dan kode pembuktian konsep atau proof of concept(PoC) dapat mempercepat upaya pihak lain untuk mengembangkan eksploitasi. Amazon Threat Intelligence melaporkan adanya percobaan eksploitasi yang terdeteksi pada 17 Oktober 2026, sebelum pengumuman publik pada 21 Oktober 2026.

Fakta tersebut menjadi pengingat bahwa pengelola sistem tidak seharusnya menunggu hingga serangan terkonfirmasi pada situs mereka sebelum mengambil tindakan pencegahan.

Siapa yang Berisiko Terdampak PHP2Shell?

PHP2Shell relevan bagi organisasi dan individu yang menjalankan layanan berbasis PHP, khususnya sistem yang dapat diakses melalui internet.

Beberapa lingkungan yang perlu diperiksa meliputi:

• Situs WordPress dengan PHP yang rentan.
• Website berbasis Drupal dan Joomla.
• Aplikasi web khusus yang dikembangkan menggunakan PHP.
• Server dengan PHP-FPM atau Apache mod_php.
• Layanan yang menggunakan PHP-CGI, FrankenPHP, atau LiteSpeed.
• Server produksi, staging, maupun sistem internal yang menerima permintaan HTTP.

Versi PHP yang belum memperoleh perbaikan keamanan berisiko terdampak. Namun, penggunaan platform tertentu tidak otomatis berarti seluruh instalasinya dapat dieksploitasi dengan cara yang sama. Tingkat paparan juga dipengaruhi oleh versi runtime, konfigurasi, jalur eksekusi, dan pembaruan yang diberikan oleh penyedia sistem operasi atau hosting.

Karena itu, pemeriksaan harus berfokus pada versi PHP yang benar-benar digunakan oleh layanan, bukan hanya versi yang tercantum dalam dokumentasi proyek atau panel pengelolaan situs.

Versi PHP yang Terdampak dan Pembaruan Keamanan

Salah satu langkah terpenting dalam menangani PHP2Shell adalah memastikan versi PHP yang digunakan telah mendapatkan perbaikan resmi.

Berdasarkan pemberitahuan keamanan yang dipublikasikan pada Oktober 2026, versi perbaikan yang perlu dijadikan acuan adalah sebagai berikut.

PHP 8.1 dan versi yang lebih lama juga perlu diperiksa karena telah mencapai akhir masa dukungan atau end-of-life(EOL). Pengelola server sebaiknya beralih ke versi yang masih didukung dan memiliki pembaruan keamanan yang sesuai.

Perlu diperhatikan bahwa nomor versi di atas merupakan versi perbaikan yang diumumkan untuk masing-masing cabang. Administrator yang menggunakan paket dari distribusi Linux atau penyedia hosting harus memastikan apakah patch telah diterapkan oleh vendor, termasuk ketika nomor versi paket tidak persis sama dengan versi upstream.

Informasi tersebut sejalan dengan pemberitahuan keamanan NHS England dan laporan mengenai peringatan BSSN pada 23 Oktober 2026.

Cara Mengatasi PHP2Shell pada Website dan Server

Untuk mengurangi risiko serangan PHP2Shell, berikut langkah-langkah yang sebaiknya dilakukan administrator dan pemilik website.

1. Periksa versi PHP yang digunakan

Mulailah dengan mengidentifikasi versi PHP pada server produksi. Jika memiliki akses terminal, perintah berikut dapat digunakan untuk melihat versi PHP CLI:

php -v 

Namun, perlu diingat bahwa versi PHP CLI belum tentu sama dengan versi yang digunakan oleh website. Server dapat menjalankan beberapa versi PHP sekaligus melalui PHP-FPM, Apache, atau konfigurasi hosting yang berbeda.

Karena itu, periksa juga versi PHP pada layanan web yang sebenarnya dan inventarisasi seluruh server yang menjalankan aplikasi PHP.

2. Segera lakukan pembaruan PHP

Setelah mengetahui versi yang digunakan, lakukan pembaruan ke versi yang telah mendapatkan perbaikan keamanan.

Gunakan paket resmi dari proyek PHP, distribusi sistem operasi, atau penyedia hosting yang tepercaya. Sebelum melakukan pembaruan pada sistem produksi, buat cadangan data dan uji kompatibilitas aplikasi pada lingkungan staging jika memungkinkan.

Pembaruan tidak boleh hanya dilakukan pada satu server apabila aplikasi berjalan di beberapa mesin, kontainer, atau lingkungan cloud.

3. Restart layanan PHP yang terdampak

Setelah pembaruan selesai, pastikan layanan yang menjalankan PHP menggunakan versi baru. Lakukan restart atau proses reloadsesuai prosedur pengelolaan server yang digunakan.

Periksa kembali versi runtime setelah proses pembaruan. Jangan menganggap masalah telah selesai hanya karena perintah instalasi paket berhasil dijalankan.

4. Terapkan mitigasi sementara jika patch belum tersedia

Jika pembaruan belum dapat dilakukan, pertimbangkan untuk membatasi akses jaringan, menonaktifkan sementara layanan yang rentan, atau mengisolasi server dari internet berdasarkan penilaian risiko.

Web Application Firewall (WAF) dapat membantu memblokir pola permintaan berbahaya apabila aturan perlindungannya sesuai. Namun, WAF bukan pengganti pembaruan keamanan PHP dan tidak menjamin semua jalur eksploitasi dapat dihentikan.

Untuk layanan yang menangani data sensitif, keputusan mitigasi perlu melibatkan tim infrastruktur dan keamanan agar pengurangan risiko tidak menimbulkan gangguan yang tidak terkendali.

5. Periksa log dan indikasi kompromi

Setelah memperbarui sistem, lakukan pemeriksaan terhadap log web server, PHP-FPM, sistem operasi, dan layanan pemantauan keamanan.

Perhatikan indikasi yang tidak biasa, seperti lonjakan permintaan HTTP yang mencurigakan, kesalahan memori berulang, respons HTTP 500 yang tidak dapat dijelaskan, proses PHP yang tiba-tiba berhenti atau muncul kembali, serta perubahan berkas yang tidak dikenal.

Indikator tersebut tidak otomatis membuktikan serangan PHP2Shell. Namun, jika muncul bersamaan dengan aktivitas jaringan yang mencurigakan, lakukan investigasi lebih lanjut.

Apabila ditemukan indikasi kompromi, isolasi sistem sesuai prosedur penanganan insiden, simpan bukti log, periksa akun dan kredensial yang berpotensi terpapar, serta lakukan pemulihan dari sumber yang telah diverifikasi aman.

6. Perkuat keamanan aplikasi dan kredensial

Selain memperbarui PHP, pengelola website perlu memastikan plugin, tema, framework, dependensi, sistem operasi, dan komponen server lainnya juga mendapatkan pembaruan.

Terapkan prinsip hak akses minimum pada akun layanan PHP. Simpan kredensial di tempat yang aman, hindari menaruh rahasia di direktori publik, dan batasi akses jaringan ke database maupun layanan internal.

Jika terdapat bukti bahwa kredensial mungkin telah terbaca oleh pihak tidak berwenang, rotasi kata sandi, token API, dan kunci akses yang relevan setelah sistem diamankan.

Dampak PHP2Shell terhadap Pemilik Website dan Bisnis

Dampak PHP2Shell tidak terbatas pada masalah teknis. Bagi bisnis yang mengandalkan website sebagai saluran transaksi atau komunikasi, insiden keamanan dapat menyebabkan kerugian operasional dan reputasi.

Beberapa dampak yang perlu diantisipasi antara lain:

• Pencurian data:informasi pelanggan, token autentikasi, atau kredensial yang tersedia bagi proses server berpotensi terpapar.
• Perubahan konten website:penyerang yang memperoleh akses eksekusi kode dapat mencoba memodifikasi berkas atau tampilan situs.
• Gangguan layanan:serangan atau proses pemulihan dapat mengakibatkan website tidak dapat diakses untuk sementara waktu.
• Penyalahgunaan server:server yang dikompromikan dapat digunakan untuk aktivitas berbahaya lain, bergantung pada hak akses yang diperoleh penyerang.
• Kerugian finansial dan reputasi:insiden dapat meningkatkan biaya penanganan, mengganggu transaksi, dan mengurangi kepercayaan pelanggan.

Meski demikian, keberadaan versi PHP rentan tidak berarti website sudah diretas. Risiko aktual harus dinilai berdasarkan versi runtime, konfigurasi, paparan jaringan, serta bukti aktivitas yang ditemukan.

Peran AI dalam Penemuan PHP2Shell

Salah satu hal yang membuat kasus PHP2Shell menarik adalah peran kecerdasan buatan atau artificial intelligence (AI) dalam penelitian keamanan.

Menurut laporan Wiz Research, model AI digunakan bersama perangkat analisis dan pengujian untuk membantu menemukan kerentanan serta mengembangkan dan memvalidasi jalur eksploitasi. Temuan ini menunjukkan bahwa AI dapat membantu mempercepat proses audit kode yang kompleks.

Di sisi positif, kemampuan tersebut dapat membantu peneliti menemukan kelemahan yang selama bertahun-tahun belum teridentifikasi dan membantu pengembang memperbaikinya.

Di sisi lain, kemajuan yang sama berpotensi menurunkan hambatan teknis bagi pihak yang ingin mengembangkan eksploitasi. Karena itu, organisasi perlu memperkuat proses manajemen kerentanan, mempercepat pemasangan patch, serta meningkatkan kemampuan deteksi dan respons insiden.

Kasus PHP2Shell menjadi pengingat bahwa keamanan perangkat lunak membutuhkan pemantauan berkelanjutan, bukan hanya pemeriksaan saat aplikasi pertama kali diluncurkan.

Kesimpulan

PHP2Shell merupakan peringatan serius bagi seluruh pengelola sistem yang menggunakan PHP. Dua kerentanan kritis, CVE-2026-109618 dan CVE-2026-109619, menunjukkan bagaimana masalah pengelolaan memori pada runtime dapat berujung pada risiko eksekusi kode jarak jauh dan pengungkapan informasi sensitif.

Karena dampaknya dapat meluas ke berbagai aplikasi berbasis PHP, langkah paling penting adalah mengidentifikasi versi runtime, memasang pembaruan keamanan yang sesuai, memulai ulang layanan terkait, dan memeriksa kemungkinan aktivitas mencurigakan.

Pemilik website tidak perlu langsung panik, tetapi juga tidak boleh mengabaikan ancaman ini. Penanganan yang cepat, terukur, dan berdasarkan informasi resmi merupakan cara terbaik untuk mengurangi risiko PHP2Shell serta menjaga keamanan data dan layanan digital.