Jakarta | Tim pengembang PHP merilis pembaruan keamanan darurat untuk mengatasi PHP2Shell, celah yang dinilai berisiko kritis bagi sistem yang terdampak. Kerentanan ini dapat membuka peluang bagi pihak tidak berwenang untuk menjalankan kode berbahaya dari jarak jauh pada server, tanpa perlu memasukkan kata sandi atau memiliki akun. Karena akses awal tidak mensyaratkan autentikasi, risiko tidak hanya bergantung pada kekuatan kata sandi pengguna. Sistem yang belum diperbarui dapat menjadi sasaran apabila memenuhi kondisi rentan, sehingga pengelola perlu memperlakukan rilis perbaikan ini sebagai tindakan keamanan yang mendesak.
Pengelola server, aplikasi, dan situs berbasis PHP sebaiknya memeriksa versi yang digunakan serta memastikan apakah lingkungan mereka termasuk dalam cakupan pembaruan. Jika terdampak, pasang versi PHP yang telah diperbaiki melalui kanal resmi dan ikuti petunjuk kompatibilitas sebelum menerapkannya pada layanan produksi. Untuk sistem penting, lakukan pencadangan dan uji pembaruan di lingkungan pengujian bila memungkinkan, tetapi jangan menunda mitigasi tanpa alasan. Jika pembaruan langsung belum dapat dilakukan, tinjau saran sementara dari sumber resmi dan batasi paparan layanan yang berisiko sampai patch tersedia.
Bagi pembaca di Indonesia, informasi ini relevan sebagai langkah pengamanan bagi administrator TI, penyedia hosting, pengembang, dan pemilik situs yang mengelola infrastruktur PHP. Pemeriksaan inventaris perangkat lunak membantu menemukan instalasi lama atau komponen yang luput dari pemantauan, termasuk server yang dikelola pihak ketiga. Setelah patch diterapkan, periksa log dan pantau aktivitas tidak biasa sebagai bagian dari prosedur respons insiden, tanpa menganggap bahwa keberadaan celah otomatis berarti sistem telah disusupi. Tidak ada dasar dalam informasi ini untuk menyimpulkan bahwa serangan tertentu telah terjadi di Indonesia. Tindakan utama adalah memastikan versi PHP aman, mendokumentasikan perubahan, dan mempertahankan proses pembaruan rutin.
Dua kerentanan yang dikenal sebagai PHP2Shell telah tercatat dengan identitas CVE-2026-109618 dan CVE-2026-109619. Masing-masing diberi skor keparahan 9,2 dari skala 10, menempatkannya dalam kategori risiko yang sangat tinggi. Skor tersebut mencerminkan besarnya dampak yang mungkin terjadi serta mudahnya celah dimanfaatkan dalam kondisi tertentu. Karena itu, pengelola server dan situs yang menggunakan PHP perlu memperlakukan pemberitahuan ini sebagai masalah keamanan mendesak, bukan sekadar pembaruan rutin yang dapat ditunda.
Risiko utamanya terletak pada waktu serangan dapat berlangsung. Penyerang berpotensi menargetkan server secara langsung sebelum kode halaman web dijalankan. Dengan demikian, perlindungan yang hanya bergantung pada logika aplikasi atau pemeriksaan yang dilakukan setelah halaman mulai diproses belum tentu dapat menghentikan eksploitasi. Jika celah berhasil dimanfaatkan, penyerang dapat memperoleh jalur untuk menjalankan serangan pada tingkat server. Dampak akhirnya bergantung pada lingkungan dan hak akses layanan, tetapi kemungkinan serangan pada tahap awal pemrosesan membuat paparan ini perlu ditangani dengan serius.
Konfigurasi Apache yang menggunakan mod_php disebut sebagai lingkungan paling berisiko. Dalam konfigurasi tersebut, permintaan sederhana yang dikirim tanpa autentikasi dapat memicu serangan, sehingga pihak yang belum memiliki izin tidak harus masuk ke akun terlebih dahulu untuk mencoba mengeksploitasi celah. Paparan semacam ini memperluas peluang serangan terhadap server yang dapat dijangkau dari jaringan. Administrator sebaiknya segera memeriksa apakah server menggunakan mod_php dan memastikan sistem yang terdampak tidak dibiarkan berjalan tanpa pembaruan. Pemeriksaan konfigurasi membantu menentukan prioritas, tetapi bukan pengganti perbaikan.
Tim pengembang memperingatkan bahwa tidak ada langkah pencegahan lain yang sepenuhnya aman untuk menutup risiko ini. Pengaturan tambahan atau pembatasan sementara mungkin membantu mengurangi paparan, tetapi tidak dapat dianggap sebagai solusi menyeluruh. Pembaruan perangkat lunak menjadi satu-satunya pilihan yang dinyatakan untuk memperbaiki kerentanan secara tuntas. Pengelola sistem perlu memasang patch yang tersedia sesegera mungkin, lalu memeriksa kembali bahwa pembaruan berhasil diterapkan pada seluruh server terkait. Menunda pemasangan dapat mempertahankan celah yang bisa diserang melalui permintaan sederhana, terutama pada instalasi Apache mod_php yang terbuka.
Pengguna PHP perlu memeriksa cabang versi yang berjalan dan memastikan sistem telah menerima pembaruan keamanan yang memperbaiki celah PHP2Shell. Perbaikan tersedia untuk empat cabang versi utama, tetapi ketersediaan patch tidak berarti setiap instalasi otomatis terlindungi. Administrator perlu memastikan pembaruan benar-benar diterapkan pada server, lingkungan pengembangan, kontainer, serta komponen lain yang menggunakan PHP. Catat versi aktif dan sumber paketnya, lalu cocokkan dengan informasi resmi dari penyedia distribusi atau proyek yang digunakan.
Perhatian khusus diperlukan bagi pengguna PHP 8.1 dan versi yang lebih lama. Cabang-cabang tersebut tidak lagi memperoleh pembaruan rutin dari proyek PHP, sehingga mengandalkan pembaruan standar mungkin tidak cukup untuk menjaga sistem tetap aman. Meski demikian, kode sumber perbaikan tersedia untuk PHP 7.4, 8.0, dan 8.1 bagi organisasi atau pengembang yang membangun serta memelihara sistem sendiri. Penerapan perbaikan pada sistem yang dibangun secara mandiri membutuhkan proses teknis tersendiri, termasuk pengujian, kompilasi, dan verifikasi bahwa perubahan benar-benar masuk ke lingkungan produksi.
Karena informasi yang tersedia tidak mencantumkan nomor versi aman tertentu, hindari menebak atau memilih versi hanya berdasarkan nomor cabang. Gunakan pengumuman keamanan resmi dan panduan penyedia paket untuk menentukan pembaruan yang sesuai. Setelah pembaruan dipasang, lakukan pemeriksaan ulang terhadap versi yang berjalan dan uji aplikasi untuk mengetahui kemungkinan gangguan kompatibilitas. Jika patch langsung belum dapat diterapkan, evaluasi paparan sistem, batasi akses yang tidak diperlukan, dan susun jadwal penanganan yang jelas. Langkah sementara tersebut bukan pengganti pembaruan keamanan.
Organisasi yang masih bergantung pada cabang tanpa dukungan rutin sebaiknya merencanakan migrasi ke versi PHP yang masih didukung. Perencanaan sejak dini memberi waktu untuk menguji aplikasi, memperbarui dependensi, dan mengatasi masalah kompatibilitas tanpa terburu-buru. PHP 8.2 dijadwalkan mengakhiri masa dukungan pada 31 Desember 2026. Karena itu, pengguna cabang ini juga perlu memasukkan tenggat tersebut dalam rencana pemeliharaan dan menentukan jalur peningkatan berikutnya. Peninjauan berkala atas kebijakan dukungan membantu memastikan sistem tetap menerima perbaikan keamanan di masa mendatang.
Pengguna yang memakai layanan hosting tanpa mengelola server secara langsung tetap perlu memastikan bahwa celah PHP2Shell telah ditangani. Langkah pertama adalah menghubungi penyedia hosting melalui kanal dukungan resmi. Tanyakan secara jelas apakah patch keamanan yang relevan sudah diterapkan pada server yang menampung situs Anda, dan kapan pembaruan tersebut dilakukan. Jangan menganggap masalah sudah teratasi hanya karena penyedia menggunakan istilah seperti “server terlindungi” tanpa keterangan mengenai pembaruan perangkat lunak.
Minta penyedia hosting mengonfirmasi nomor versi PHP yang sedang aktif untuk akun atau situs Anda. Versi yang terlihat pada panel administrasi belum tentu sama dengan versi yang benar-benar digunakan oleh setiap situs, terutama jika akun memiliki beberapa domain atau konfigurasi berbeda. Bila diperlukan, mintalah petunjuk untuk memeriksa versi aktif melalui panel hosting atau dukungan teknis. Catat jawaban penyedia, termasuk versi dan cakupan server yang telah diperbarui, agar status perlindungan dapat ditinjau kembali.
Jika panel hosting menyediakan pilihan versi PHP, pengguna dapat beralih ke versi yang telah dinyatakan aman oleh penyedia. Namun, lakukan pemeriksaan kompatibilitas terlebih dahulu. Situs yang memakai tema, plugin, aplikasi, atau kode khusus mungkin tidak berfungsi dengan baik pada versi yang lebih baru apabila komponennya belum diperbarui. Buat cadangan situs sebelum perubahan, periksa dokumentasi aplikasi, lalu uji fungsi penting setelah pergantian versi.
Baca juga: Aduan Warga Menguak Dugaan Praktik Pinjaman Ilegal, PNS Dinsos Tuban Diminta Klarifikasi
