PHP2Shell: Mengenal CVE-2026-109618 dan CVE-2026-109619, Risiko Kritis pada PHP
Mengenal PHP2Shell, risiko CVE-2026-109618 dan CVE-2026-109619, serta langkah mitigasi untuk melindungi server PHP.
Meta Title: PHP2Shell CVE-2026-109618 & 109619: Risiko dan Mitigasi
Meta Description: Pelajari PHP2Shell, dua kerentanan kritis PHP dengan risiko remote code execution, dampaknya terhadap server, serta langkah mitigasi untuk melindungi website.
PHP2Shell merupakan sebutan untuk dua kerentanan keamanan kritis pada runtime PHP yang dapat membuka peluang terjadinya Remote Code Execution (RCE) pada lingkungan yang rentan.
Kedua kerentanan tersebut terdaftar sebagai CVE-2026-109618 dan CVE-2026-109619. Permasalahan utamanya berkaitan dengan pengelolaan memori ketika PHP menangani kondisi abnormal selama pemrosesan permintaan HTTP.
PHP merupakan komponen penting dalam berbagai website, termasuk aplikasi berbasis WordPress dan sistem pengelolaan konten lainnya. Karena itu, kerentanan pada runtime PHP perlu diperhatikan oleh administrator server, pengembang aplikasi, dan pemilik website.
Menurut advisori keamanan yang diterbitkan pada Oktober 2026, kedua kerentanan ini memiliki skor CVSS 4.0 sebesar 9,2 dari 10, sehingga dikategorikan kritis.
Mengenal CVE-2026-109618 dan CVE-2026-109619
Walaupun sama-sama berkaitan dengan penanganan memori PHP, kedua kerentanan ini memiliki karakteristik yang berbeda.
1. CVE-2026-109618
CVE-2026-109618 berkaitan dengan kondisi out-of-memory, yaitu ketika PHP kehabisan memori saat memproses suatu permintaan.
Dalam kondisi tertentu, penghentian proses yang tidak ditangani dengan aman dapat menyebabkan data internal belum terinisialisasi dengan benar. Ketika proses pembersihan dilanjutkan, PHP berpotensi menggunakan data yang tidak valid.
Dampaknya dapat mencakup gangguan proses PHP, pengungkapan informasi dari memori, hingga kemungkinan eksekusi kode jarak jauh pada lingkungan yang dapat dieksploitasi.
2. CVE-2026-109619
CVE-2026-109619 berkaitan dengan kondisi use-after-free, yaitu ketika suatu proses mencoba mengakses memori yang sebelumnya sudah dilepaskan.
Masalah tersebut dapat muncul ketika kondisi fatal menghentikan pemrosesan permintaan dan meninggalkan referensi internal yang tidak lagi valid.
Jika kondisi yang diperlukan terpenuhi, masalah tersebut berpotensi menimbulkan kerusakan memori, kebocoran informasi, atau eksekusi kode tanpa autentikasi.
Keberhasilan eksploitasi tidak otomatis terjadi pada setiap server. Konfigurasi, lingkungan eksekusi, versi PHP, dan kondisi proses turut memengaruhi tingkat keterpaparan.
Mengapa PHP2Shell Menjadi Ancaman Serius?
PHP2Shell perlu mendapat perhatian karena masalahnya berada pada runtime PHP, bukan semata-mata pada kode website atau plugin tertentu.
Artinya, memperbarui tema WordPress atau menghapus plugin yang mencurigakan tidak otomatis memperbaiki kerentanan pada runtime PHP.
Beberapa risiko yang perlu diperhatikan meliputi:
Remote Code Execution (RCE)
Pada lingkungan yang rentan, penyerang berpotensi menjalankan kode dalam konteks hak akses proses PHP. Dampaknya bergantung pada izin akun layanan dan konfigurasi server.
Pengungkapan informasi sensitif
Kerusakan pengelolaan memori dapat membuka kemungkinan terungkapnya data yang tersimpan dalam memori proses.
Gangguan layanan
Permintaan yang memicu kondisi bermasalah dapat menyebabkan proses PHP mengalami crash atau membuat website tidak tersedia.
Potensi kompromi website
Apabila eksekusi kode berhasil, dampak lanjutan dapat mencakup perubahan berkas, akses terhadap data yang diizinkan bagi proses PHP, atau pemasangan komponen berbahaya.
Namun, penting untuk membedakan antara sistem yang rentan, percobaan eksploitasi, dan server yang benar-benar telah dikompromikan.
Apakah Website WordPress Ikut Terdampak?
Website WordPress dapat terdampak apabila runtime PHP yang digunakan berada dalam kondisi rentan.
Hal serupa berlaku untuk website berbasis Laravel, Drupal, Joomla, dan aplikasi PHP lainnya. Risiko tidak terbatas pada satu CMS karena kerentanan berada pada lapisan runtime.
Administrator perlu memeriksa PHP yang benar-benar digunakan oleh layanan web. Versi PHP pada terminal atau CLI belum tentu sama dengan versi yang digunakan oleh PHP-FPM, Apache, atau layanan web lainnya.
Selain itu, informasi versi yang ditampilkan oleh server tidak selalu cukup untuk menentukan status kerentanan karena sejumlah distribusi Linux dapat menerapkan perbaikan keamanan melalui mekanisme backport.
Oleh sebab itu, pemeriksaan harus mempertimbangkan versi paket, sumber pembaruan, dan advisori resmi dari penyedia sistem operasi atau PHP.
Cara Melindungi Server dari PHP2Shell
Berikut langkah mitigasi yang perlu diprioritaskan oleh administrator server.
1. Perbarui PHP ke Versi yang Sudah Diperbaiki
Periksa cabang PHP yang digunakan dan terapkan pembaruan keamanan resmi yang sesuai.
Rilis perbaikan yang disebutkan dalam advisori PHP2Shell mencakup:
PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35
Nomor versi tersebut merupakan rilis perbaikan yang relevan dengan advisori awal PHP2Shell. Periksa dokumentasi resmi untuk memastikan apakah terdapat pembaruan keamanan yang lebih baru.
Website yang menggunakan cabang PHP lama dan tidak lagi menerima pembaruan keamanan sebaiknya dipindahkan ke cabang yang masih didukung.
2. Periksa Konfigurasi Web Server
Identifikasi bagaimana PHP dijalankan pada server, termasuk penggunaan Apache, PHP-FPM, PHP-CGI, atau konfigurasi lain.
Pastikan seluruh lingkungan PHP yang menerima permintaan dari internet telah diperiksa. Memperbarui satu instalasi PHP tidak akan menyelesaikan masalah jika layanan lain masih menggunakan runtime yang rentan.
3. Gunakan Web Application Firewall
Web Application Firewall (WAF) dapat membantu mendeteksi dan memblokir pola permintaan berbahaya.
Aturan keamanan yang sesuai dapat menjadi lapisan perlindungan tambahan ketika pembaruan belum dapat diterapkan secara langsung.
Namun, WAF bukan pengganti patch PHP. Perlindungan juga bergantung pada konfigurasi dan kemampuan aturan yang digunakan.
4. Batasi Hak Akses Proses PHP
Jalankan PHP menggunakan akun layanan dengan hak akses minimum yang diperlukan.
Hindari memberikan izin tulis ke seluruh direktori website apabila aplikasi hanya memerlukan akses tulis pada direktori tertentu.
Pembatasan hak akses dapat mengurangi dampak apabila suatu proses berhasil dikompromikan.
5. Periksa Log dan Indikasi Kompromi
Administrator perlu meninjau log web server, log PHP, serta catatan sistem untuk menemukan aktivitas yang tidak biasa.
Perhatikan lonjakan error PHP, proses worker yang mengalami crash, perubahan berkas yang tidak dikenal, dan aktivitas yang tidak sesuai dengan pola normal website.
Perlu diingat bahwa tidak semua percobaan eksploitasi menghasilkan error HTTP. Sebaliknya, error 500 juga dapat disebabkan oleh masalah aplikasi biasa dan bukan bukti bahwa server telah diretas.
Jika ditemukan indikasi kompromi, lakukan investigasi sebelum menghapus bukti atau mengembalikan berkas ke kondisi sebelumnya.
Apakah Memperbarui WordPress Sudah Cukup?
Belum tentu.
Pembaruan WordPress, tema, dan plugin tetap penting untuk menjaga keamanan aplikasi. Namun, pembaruan tersebut tidak menggantikan pembaruan runtime PHP.
Untuk mengurangi risiko PHP2Shell, administrator perlu memastikan tiga lapisan berikut diperiksa:
Runtime PHP: gunakan versi atau paket yang sudah menerima perbaikan keamanan.
Aplikasi website: perbarui CMS, plugin, tema, dan dependensi.
Infrastruktur server: terapkan pembatasan hak akses, pemantauan log, dan perlindungan jaringan yang sesuai.
Pendekatan berlapis membantu mengurangi kemungkinan satu kelemahan berkembang menjadi insiden keamanan yang lebih besar.
Kesimpulan
PHP2Shell, yang mencakup CVE-2026-109618 dan CVE-2026-109619, merupakan pengingat bahwa keamanan website tidak hanya bergantung pada aplikasi yang terlihat oleh pengunjung.
Runtime PHP, konfigurasi server, pengelolaan memori, dan pembaruan keamanan memiliki peran penting dalam menjaga kestabilan serta keamanan layanan.
Administrator sebaiknya segera mengidentifikasi lingkungan PHP yang digunakan, menerapkan pembaruan keamanan yang sesuai, dan memeriksa indikasi kompromi apabila ditemukan aktivitas mencurigakan.
Jangan hanya mengandalkan WAF atau pembaruan plugin. Pastikan komponen PHP yang menjalankan website juga telah mendapatkan perbaikan keamanan yang diperlukan.
Referensi Keamanan
Untuk mendapatkan informasi teknis dan pembaruan resmi, rujuk sumber berikut:
Advisori keamanan PHP2Shell dari Cyber Security Agency of Singapore.
Pengumuman keamanan resmi dari proyek PHP.
Analisis perlindungan PHP2Shell dari Cloudflare.
Gunakan sumber resmi tersebut untuk memeriksa perkembangan terbaru, cakupan kerentanan, serta rekomendasi mitigasi.
