Waspada! Dua Celah Kritis PHP Bisa Bikin Server Diretas Tanpa Login

Baru baru ini ada dua kerentanan kritis ditemukan pada PHP, bahasa pemrograman yang digunakan untuk menjalankan banyak website dan aplikasi web. Nah celah ini memungkinkan penyerang menjalankan kode dari rentang jauh (RCE) tanpa perlu login terlebih dahulu ke server yang rentan.

Jadi kawan kawan, baru baru ini developer PHP telah merilis pembaruan keamanan pada 21 Oktober 2026 untuk mengatasi kedua masalah tersebut, yang keduanya memiliki skor CVSS 9.2, yang menginformasikan tingkat keparahan kritis.

Kerentanan ini dilacak dengan kode CVE-2026-109618 dan CVE-2026-109619, serta dikenal sebagai PHP2Shell. Oleh karena itu, pengelola server, pemilik website, dan pengelola aplikasi berbasis PHP disarankan segera memeriksa mekanisme mereka dan memasang pembaruan yang tersedia.

Penyerang Bisa Menjalankan Kode Tanpa Autentikasi

Nah jadi kawan kawan, masalah ini bukan sekadar bug yang membikin website error maupun tidak bisa diakses. Karena jika berhasil dieksploitasi, penyerang yang tidak memiliki akun maupun akses login dapat menjalankan kode rapuh pada mekanisme yang terdampak.

Menurut penjelasannya celah tersebut berhubungan dengan pengelolaan memori di dalam runtime PHP.

• CVE-2026-109618 berhubungan dengan penanganan kondisi out-of-memory. Dalam situasi tertentu, PHP dapat melanjutkan proses pembersihan request dengan keterangan internal yang belum terinisialisasi secara benar. Kondisi ini bisa dimanfaatkan untuk menjalankan kode dari rentang jauh.
• CVE-2026-109619 berhubungan dengan stale mendunia state, yaitu kondisi ketika keterangan internal statis mengacu ke memori yang sudah dibebaskan. Jika kondisi tersebut dimanfaatkan, penyerang juga dapat mencapai remote code execution.

Selain menjalankan kode, penggunaan kedua celah ini berpotensi membuka akses ke keterangan sensitif yang tersimpan dalam memori proses PHP.

Nah dampaknya tentu serius bagi server yang menjalankan website publik, karena bersandar pada hak akses proses PHP dan konfigurasi server, penyerang yang berhasil mengeksploitasi celah tersebut berpotensi mengakses maupun mengubah data, menjalankan perintah, hingga mengganggu layanan.

PHP Versi Berapa yang Terdampak?

Menurut keterangan yang dipublikasikan mengenai kedua kerentanan ini, varian PHP mulai 5.4 hingga 8.5.11 termasuk dalam rentang varian yang terdampak, yang tentu untuk varian durasi yang sudah tidak mendapatkan sokongan keamanan juga berisiko.

Dan berikut varian pembaruan yang telah dirilis untuk cabang PHP yang statis didukung:

Jika server statis menggunakan varian yang lebih durasi pada cabang tersebut, segera lakukan pembaruan ke varian perbaikan yang sesuai.

Nah jika Anda statis ada yang pakai PHP 8.1 maupun varian lama, untuk mekanisme seperti ini, pengelola perlu mempertimbangkan migrasi ke varian yang statis didukung, kecuali itu jika menggunakan distribusi Linux maupun supplier dengan sokongan keamanan tersendiri, periksa juga apakah mereka menyediakan patch yang di-backport.

Untuk detail dan varian perbaikan tersedia melalui situs resmi PHP berikut guys.

Apa yang Harus Dilakukan Administrator?

Nah jika Anda seorang administartor, metode utama yang direkomendasikan adalah memperbarui PHP ke varian yang telah diperbaiki. Tim PHP mengungkapkan bahwa tidak ada mitigasi alternatif yang sepenuhnya menggantikan pembaruan keamanan tersebut.

Jika Anda mengelola server Linux, periksa varian PHP yang aktif terlebih dahulu:

php -v

Namun tentu perintah tersebut belum tentu menginformasikan seluruh varian PHP yang berjalan di server. Jika menggunakan Docker, PHP-FPM, maupun beberapa varian PHP sekaligus, periksa juga varian runtime di setiap container dan jasa web yang digunakan.

Dan setelah pembaruan PHP, pastikan jasa mengenai sudah menjalankan varian yang telah diperbaiki. Dan yang jelas, pengelola juga sebaiknya memeriksa log web server, aplikasi, autentikasi, dan mekanisme untuk mencari aktivitas yang mencurigakan.

Jika patch belum dapat diterapkan, panduan keamanan dari sejumlah institusi menyarankan agar mekanisme yang rapuh dan terhubung ke internet dipertimbangkan untuk diisolasi sementara sampai perbaikan tersedia.

Oleh karena itu, pengelola website, termasuk yang menggunakan CMS berbasis PHP seperti WordPress, Drupal, maupun Joomla, jangan cuma memeriksa varian CMS saja, dan pastikan juga varian PHP pada server maupun lingkungan hosting sudah mendapatkan patch keamanan yang sesuai.

Nah Kincai Media tentunya sudah menerapkan pembaruan ini dan semoga saja website ini makin aman, untuk Anda yang belum, pastikan pembaruan juga guys, dan untuk keterangan teknis lebih lanjut, Anda bisa membaca advisory resmi PHP di GitHub.