Kerentanan PHP2Shell CVE-2026-109618: Dampak dan Cara Patch

MHDARJUNANTA.COM — Dunia keamanan siber kembali diguncang dengan ditemukannya kerentanan kritis yang dinamakan PHP2Shell. Kerentanan ini tercatat dengan kode CVE-2026-109618 dan CVE-2026-109619, dengan skor keparahan mencapai CVSS 9.2 (Critical). Celah ini memungkinkan penyerang untuk melakukan eksekusi kode jarak jauh (Remote Code Execution/RCE) tanpa autentikasi. Kerentanan ini ditemukan dan dipublikasikan pada Oktober 2026, menyerang level server-side (infrastruktur web server) di seluruh dunia yang belum melakukan pembaruan sistem. Bagi Anda yang mengelola situs web berbasis PHP, khususnya pengguna dan administrator server yang menggunakan modul mod_php, informasi ini sangat krusial dan membutuhkan tindakan darurat.

Kerentanan ini bukan sekadar bug biasa. Dalam beberapa hari terakhir, diskusi di forum keamanan siber, platform bug bounty, dan milis pengembang open-source dipenuhi oleh laporan mengenai eksploitasi aktif yang menargetkan server PHP yang belum dipatch. Para penyerang tidak hanya menargetkan perusahaan besar, tetapi juga situs e-commerce, portal berita, hingga aplikasi internal perusahaan yang terekspos ke internet. Artikel ini akan membedah secara teknis dan praktis mengenai apa itu PHP2Shell, mengapa ia sangat berbahaya, dan bagaimana Anda sebagai pemilik atau pengelola sistem harus bertindak.

Analisis Mendalam: Apa Itu Kerentanan PHP2Shell?

PHP2Shell adalah celah keamanan yang mengeksploitasi kombinasi Out-of-Memory (OOM) dan Use-After-Free (UAF) serta manipulasi Stale Global State. Serangan ini sangat berbahaya karena penyerang tidak memerlukan kredensial login (unauthenticated) untuk menanamkan shell atau menguasai server Anda. Penyerang mengirimkan request berbahaya yang memicu memory corruption, memaksa server menjalankan kode arbitrer, yang berujung pada pengambilalihan server secara penuh.

Secara teknis, Use-After-Free (UAF) adalah kelas kerentanan di mana sebuah program mencoba mengakses memori yang sudah dibebaskan (di-free). Dalam kasus PHP2Shell, penyerang memanipulasi siklus hidup objek di dalam Zend Engine (inti dari PHP). Ketika server kehabisan memori (OOM), proses pembersihan memori (garbage collection) dapat mengalami kegagalan logika. Penyerang memanfaatkan kekosongan ini untuk menempatkan pointer palsu yang menunjuk ke area memori yang telah mereka kendalikan. Ketika PHP mencoba mengeksekusi fungsi berikutnya, ia justru menjalankan payload berbahaya yang ditanamkan oleh penyerang.

Berdasarkan laporan riset keamanan, modul mod_php berada pada tingkat risiko tertinggi (HIGHEST RISK). Jika server Anda menggunakan konfigurasi ini, Anda wajib waspada. Mekanisme serangan ini memanfaatkan kelemahan pada siklus hidup memori PHP. Ketika memori habis (OOM), sistem dapat kehilangan jejak alokasi memori (Use-After-Free), yang kemudian dimanipulasi oleh penyerang untuk menyuntikkan muatan berbahaya (payload) ke dalam state global yang sudah tidak valid (Stale Global State).

Yang membuat PHP2Shell sangat berbahaya adalah sifatnya yang wormable (dapat menyebar seperti cacing). Artinya, jika satu server berhasil dibobol, penyerang dapat dengan mudah menggunakan server tersebut sebagai basis untuk memindai dan menyerang server lain di jaringan yang sama (Lateral Movement). Hal ini menciptakan efek domino yang sangat merugikan bagi infrastruktur TI skala perusahaan.

Versi PHP yang Terdampak dan Solusinya

Kerentanan ini menyerang beberapa versi PHP yang cukup populer digunakan saat ini. Berikut adalah daftar versi yang rentan beserta versi perbaikannya (Fixed):

Penting untuk dicatat bahwa branch (cabang) PHP versi lama seperti 7.4 atau 8.0/8.1 sudah mencapai End of Life (EOL) dan tidak akan menerima patch untuk kerentanan ini. Jika infrastruktur Anda masih menggunakan versi tersebut, ini adalah panggilan darurat untuk segera melakukan migrasi ke versi yang lebih baru. Banyak hosting provider telah mengirimkan notifikasi kepada pelanggannya untuk segera mengganti versi PHP melalui panel kendali (seperti cPanel atau Plesk) untuk menghindari pemutusan layanan akibat serangan.

Dampak Serangan (CVSS 9.2)

Karena memungkinkan eksekusi kode jarak jauh (RCE), dampak dari kerentanan ini sangat fatal dan bersifat masif. Penyerang yang berhasil mengeksploitasi celah ini dapat:

• Mengambil alih kendali penuh atas server web (Web Server Takeover).
• Mencuri data sensitif, termasuk data pengguna, password, dan database perusahaan.
• Menyebarkan malware atau menjadikan server sebagai bagian dari botnet untuk serangan siber skala besar lainnya.
• Mengubah konten situs web (Defacement) yang merusak reputasi bisnis.
• Membuat backdoor (shell) yang memungkinkan akses persisten meskipun password diubah.

Skor CVSS 9.2 menunjukkan bahwa ini adalah ancaman Critical. Artinya, tingkat kemudahan eksploitasi tinggi (tidak perlu login), dan dampaknya sangat merusak (eksekusi kode). Ini adalah "mimpi buruk" bagi sysadmin karena penyerang dapat masuk layaknya administrator sah. Jika server telah dibobol, penyerang dapat memasang rootkit, memantau lalu lintas data, atau bahkan menghapus log sistem untuk menghilangkan jejak. Pemulihan dari serangan jenis ini seringkali mengharuskan dilakukannya rebuild atau instalasi ulang server dari awal.

Selain kerugian teknis, dampak bisnis juga sangat besar. Kebocoran data pengguna dapat memicu sanksi hukum berdasarkan Undang-Undang Perlindungan Data Pribadi (UU PDP), denda finansial, serta kehilangan kepercayaan dari pelanggan. Pemulihan reputasi pasca-serangan (Defacement) membutuhkan waktu dan biaya pemasaran yang tidak sedikit. Oleh karena itu, tindakan pencegahan adalah investasi yang jauh lebih murah dibandingkan biaya pemulihan.

Cara Patch dan Mitigasi (Tindakan Darurat)

Hingga saat ini, belum ada mitigasi lengkap selain melakukan pembaruan (update) sistem. Langkah paling utama adalah segera perbarui PHP Anda ke versi terbaru yang telah disebutkan di atas. Berikut adalah langkah darurat yang harus dilakukan oleh administrator sistem:

1. Pembaruan dan Restart

• Update PHP: Lakukan upgrade ke versi PHP yang sudah dipatch (8.5.12, 8.4.27, 8.3.36, atau 8.2.35).
• Restart Workers: Jangan lupa untuk melakukan restart pada layanan PHP-FPM atau worker web server Anda agar perubahan benar-benar diterapkan.

2. Penyesuaian Konfigurasi Server

• Manajemen Memori: Hindari penggunaan RLIMIT_AS/DATA dan gunakan cgroup memory.max untuk manajemen memori yang lebih aman.
• Blokir Fitur Tak Terpakai: Jika fitur multipart tidak digunakan oleh aplikasi Anda, blokir fitur tersebut untuk mengurangi permukaan serangan.
• Perketat Konfigurasi: Ketatkan pengaturan post_max_size dan input_nesting_level pada file php.ini Anda.

3. Audit Log dan Deteksi Anomali

Setelah melakukan patch, jangan langsung berpuas diri. Lakukan audit pada log server (access.log, error.log, auth.log). Cari jejak aktivitas mencurigakan, seperti request POST dengan ukuran yang tidak wajar, pola akses ke file yang tidak dikenal, atau upaya eskalasi hak akses (privilege escalation). Jika ditemukan indikasi backdoor, segera lakukan scanning menggunakan malware scanner atau lakukan rebuild server dari backup terakhir yang bersih.

Hal yang Sering Ditanyakan Pengguna

Banyak administrator bertanya-tanya apakah situs mereka pasti dibobol jika belum melakukan update. Jawabannya, tidak secara otomatis, namun peluangnya sangat besar. Begitu exploit publik dirilis, bot otomatis di internet akan memindai (scan) dan mencoba membobol server yang rentan dalam hitungan menit. Untuk mengetahui versi PHP website Anda, Anda bisa membuat file info.php yang berisi kode <?php phpinfo(); ?> lalu mengaksesnya via browser. Namun, segera hapus file tersebut setelah selesai untuk alasan keamanan. Alternatifnya, Anda dapat mengeceknya melalui panel hosting (cPanel/DirectAdmin).

Terkait proses patch, apakah bisa dilakukan tanpa downtime? Hal ini tergantung pada arsitektur server Anda. Jika menggunakan load balancer, Anda bisa melakukan pembaruan pada satu server, lalu bergantian. Namun, melakukan restart PHP-FPM biasanya hanya memakan waktu beberapa detik dan tidak menyebabkan downtime yang signifikan. Perlu diingat, jika Anda menggunakan CMS seperti WordPress atau Laravel, framework tersebut berjalan di atas PHP. Jika versi PHP server Anda rentan, maka CMS Anda juga rentan. Pastikan penyedia hosting Anda telah memperbarui versi PHP backend mereka.

Banyak juga yang bertanya apakah firewall (WAF) saja cukup untuk menangkal serangan ini. Sebagian besar Web Application Firewall (WAF) memang memiliki aturan (rules) untuk mendeteksi pola serangan PHP2Shell. Namun, mengandalkan WAF saja tidak cukup. Penyerang dapat menggunakan teknik bypass (melewati filter) yang canggih. Patch pada level PHP tetap menjadi solusi utama dan paling efektif, sedangkan WAF berfungsi sebagai lapisan pertahanan tambahan (defense in depth).

Kesimpulan

Kerentanan PHP2Shell (CVE-2026-109618) bukanlah isu yang bisa diabaikan. Dengan skor CVSS 9.2, celah ini menjadi pintu masuk utama bagi peretas. Segera lakukan pembaruan versi PHP dan terapkan konfigurasi keamanan yang disarankan untuk melindungi infrastruktur digital Anda. Keamanan siber bukan hanya tentang mencegah serangan, tetapi juga tentang seberapa cepat Anda merespons ancaman yang ada.

Pastikan tim IT atau vendor pengelola server Anda telah melakukan langkah-langkah mitigasi di atas. Jika Anda menggunakan jasa managed hosting, segera hubungi support mereka untuk memastikan server Anda telah menggunakan versi PHP yang aman. Jangan tunggu hingga data Anda bocor atau situs Anda down baru bertindak. Lindungi aset digital Anda mulai dari sekarang.