Jakarta | Tim pengembang PHP resmi telah merilis pembaruan keamanan darurat untuk mengatasi kerentanan yang dikenal sebagai PHP2shell. Rilis ini ditujukan untuk menutup celah yang dinilai berisiko kritis dan dapat memengaruhi lingkungan yang menjalankan versi PHP terdampak. Pengelola situs, aplikasi, dan server perlu memeriksa pengumuman keamanan resmi serta memastikan versi yang digunakan termasuk dalam cakupan pembaruan. Informasi versi yang terdampak dan perbaikan yang tersedia dapat berbeda menurut cabang rilis, sehingga pemeriksaan sebaiknya mengacu pada catatan resmi, bukan perkiraan semata.
Risiko utama PHP2shell adalah kemungkinan pihak yang tidak berwenang menjalankan kode berbahaya dari jarak jauh pada sistem rentan, tanpa perlu memasukkan kata sandi atau menggunakan akun yang sah. Jika kemampuan tersebut disalahgunakan, dampak potensial dapat mencakup perubahan pada berkas, gangguan layanan, pencurian informasi, atau penggunaan server untuk aktivitas lain. Dampak nyata bergantung pada konfigurasi, hak akses proses PHP, serta komponen yang terhubung. Penjelasan ini menggambarkan potensi kerentanan, bukan bukti bahwa serangan telah terjadi pada situs atau server tertentu.
Pembaruan perlu diprioritaskan karena server web yang dapat diakses melalui internet mungkin memberi penyerang jalur untuk mencoba mengeksploitasi celah tanpa autentikasi. Menunda pemasangan perbaikan memperpanjang waktu sistem berada dalam kondisi rentan, terutama bila layanan memproses permintaan dari pengguna luar. Administrator sebaiknya menginventarisasi instalasi PHP, mengidentifikasi sistem yang terdampak, lalu memasang versi yang telah diperbaiki melalui prosedur perubahan yang teruji. Untuk layanan penting, rencana pemeliharaan dan pengujian kompatibilitas dapat membantu mengurangi gangguan, tetapi tidak seharusnya menjadi alasan untuk mengabaikan pembaruan.
Setelah pembaruan diterapkan, pengelola dapat memverifikasi versi aktif dan memastikan layanan menggunakan biner atau paket yang benar, bukan hanya memperbarui berkas konfigurasi. Tinjau pula log dan kontrol keamanan sebagai bagian dari praktik pemantauan rutin, tanpa mengasumsikan adanya kompromi. Jika pembaruan langsung belum memungkinkan, ikuti mitigasi sementara yang disarankan pengelola PHP atau penyedia distribusi, batasi paparan layanan bila sesuai, dan tetapkan jadwal perbaikan yang jelas. Tindakan cepat membantu mengurangi risiko, sementara pemantauan dan pengelolaan versi yang teratur memperkuat perlindungan jangka panjang.
Masalah keamanan PHP2shell mencakup dua kerentanan yang tercatat sebagai CVE-2026-109618 dan CVE-2026-109619. Keduanya memperoleh tingkat keparahan 9,2 dari skala 10, sehingga termasuk persoalan kritis yang memerlukan perhatian segera dari administrator dan pengguna PHP. Risiko ini tidak terbatas pada gangguan terhadap tampilan situs atau kesalahan pemrosesan halaman. Dalam skenario serangan, celah tersebut dapat memungkinkan pelaku menjalankan perintah pada server yang terdampak. Karena itu, dampaknya dapat menjangkau sistem dan layanan yang berjalan di lingkungan server, bukan hanya satu halaman web.
Salah satu aspek yang membuat kerentanan ini penting ditangani adalah waktu terjadinya serangan. Pelaku dapat menyerang server secara langsung sebelum kode halaman web dijalankan. Dengan demikian, pemeriksaan yang hanya berfokus pada kode aplikasi atau perilaku halaman setelah diproses mungkin tidak cukup untuk mencegah eksploitasi. Permintaan yang tampak sederhana berpotensi menjadi pemicu, bergantung pada konfigurasi server dan keberadaan versi PHP yang rentan. Pengelola perlu menilai perangkat lunak serta cara PHP dihubungkan dengan server web, lalu memastikan bahwa sistem yang digunakan telah menerima pembaruan keamanan yang tersedia.
Konfigurasi Apache dengan mod_php dinilai paling berisiko. Pada susunan ini, permintaan tanpa izin yang sederhana dapat memicu serangan, sehingga pelaku tidak harus terlebih dahulu memperoleh akses resmi ke situs. Kondisi tersebut memperbesar urgensi bagi pengelola server Apache untuk memeriksa konfigurasi dan memasang versi PHP yang telah diperbaiki. Tim pengembang PHP menyatakan bahwa pembaruan merupakan satu-satunya pilihan yang sepenuhnya aman. Pernyataan ini menegaskan bahwa langkah mitigasi sementara tidak dapat diperlakukan sebagai pengganti perbaikan resmi. Administrator sebaiknya segera menerapkan pembaruan pada seluruh sistem terdampak, memeriksa apakah layanan telah menggunakan versi yang aman, dan memastikan proses pembaruan selesai sebelum kembali mengandalkan server untuk menangani permintaan publik. Menunda tindakan dapat membiarkan celah tetap terbuka terhadap permintaan berbahaya, khususnya pada konfigurasi yang paling rentan tersebut.
Pembaruan keamanan untuk celah PHP2shell telah disediakan bagi empat cabang versi utama PHP. Pengelola situs dan administrator server perlu memastikan setiap instalasi menggunakan versi yang telah menerima perbaikan, bukan hanya mengandalkan informasi bahwa pembaruan tersedia. Periksa versi PHP yang benar-benar dijalankan oleh aplikasi, termasuk pada lingkungan produksi, kontainer, layanan hosting, dan server cadangan. Bahan yang tersedia tidak menetapkan nomor versi minimum tertentu, sehingga jangan menebak atau menerapkan angka yang belum dikonfirmasi. Gunakan panduan resmi untuk menentukan rilis yang sesuai bagi cabang instalasi Anda.
Status dukungan juga penting saat memilih langkah penanganan. PHP 8.1 dan seluruh versi sebelumnya tidak lagi memperoleh pembaruan rutin melalui siklus dukungan normal. Artinya, pengguna yang masih menjalankan versi tersebut tidak seharusnya menganggap bahwa mereka akan menerima perbaikan keamanan otomatis seperti pengguna pada cabang yang masih didukung. Meski begitu, kode sumber yang memuat perbaikan tersedia untuk PHP 7.4, PHP 8.0, dan PHP 8.1. Opsi ini terutama relevan bagi organisasi yang membangun atau memelihara distribusi PHP sendiri dan mampu menguji serta menerapkan perubahan tersebut.
Membangun PHP dari kode sumber bukan pengganti yang sederhana bagi pembaruan standar. Tim teknis perlu meninjau perubahan, mengompilasi versi dengan konfigurasi yang sesuai, menguji kompatibilitas ekstensi dan aplikasi, lalu menerapkannya melalui proses rilis yang terkendali. Jika organisasi tidak memiliki kemampuan tersebut, hubungi penyedia hosting atau vendor distribusi untuk mengetahui apakah perbaikan telah tersedia dan bagaimana penerapannya. Setelah perubahan dipasang, verifikasi versi dan perilaku sistem, serta pastikan seluruh instans yang menjalankan PHP telah tercakup. Langkah ini membantu menghindari perlindungan yang hanya berlaku pada sebagian server.
Untuk mengurangi ketergantungan pada versi yang tidak lagi menerima pemeliharaan rutin, rencanakan migrasi menuju cabang PHP yang masih didukung. Susun jadwal, uji aplikasi dan dependensinya, serta siapkan pemulihan bila terjadi gangguan. Migrasi terencana memberi waktu untuk menemukan masalah kompatibilitas tanpa menunda penanganan celah keamanan saat ini. PHP 8.2 dijadwalkan mengakhiri masa dukungannya pada 31 Desember 2026. Karena tanggal tersebut merupakan batas dukungan, pengguna PHP 8.2 sebaiknya memasukkan peningkatan ke versi yang tetap didukung ke dalam perencanaan sebelum tenggat, bukan menunggu hingga pembaruan rutin berhenti.
Pengguna yang menggunakan layanan hosting tanpa mengelola server sendiri sebaiknya segera menghubungi penyedia hosting. Tanyakan secara jelas apakah perbaikan keamanan untuk celah PHP2shell telah diterapkan pada lingkungan server yang menampung situs Anda. Jangan hanya mengandalkan pernyataan umum bahwa sistem selalu diperbarui; mintalah konfirmasi tentang status perbaikan yang relevan dan waktu penerapannya. Jika penyedia belum dapat memastikan bahwa server telah ditangani, tanyakan jadwal pembaruan serta langkah sementara yang disarankan. Simpan jawaban atau tiket dukungan sebagai catatan, terutama bila situs memproses data pengguna atau menjalankan layanan penting. Komunikasi langsung dengan penyedia membantu memastikan informasi sesuai dengan konfigurasi hosting yang benar-benar digunakan.
Selain status perbaikan, tanyakan versi PHP yang sedang aktif untuk situs Anda dan apakah versi tersebut menerima pembaruan keamanan. Sebagian panel hosting menyediakan pilihan untuk mengganti versi PHP. Jika opsi itu tersedia, periksa dahulu kecocokannya dengan aplikasi, tema, plugin, dan skrip khusus yang digunakan situs.
Baca juga: Bukan Sekadar Jalan Santai, 10 Ribu Peserta Satukan Langkah di HUT TNI | Tanggap Darurat, Kodim Bojonegoro Salurkan 77.000 Liter Air Bersih ke Wilayah Kekeringan | Pemalsuan Akta dan Keterangan Palsu dalam KUHP Baru: Biro Jasa dan Pengguna Jasa Wajib Waspada
