Bandung, Jabarprov-CSIRT - Pada 21 Oktober, Tim Pengembang PHP telah merilis pembaruan keamanan darurat untuk mengatasi dua celah kerentanan kritis pada PHP yang dikenal sebagai PHP2Shell. Kerentanan tersebut teridentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619.
Kedua Kerentanan ini memungkinkan peretas untuk dapat menjalankan skrip berbahaya pada server dari jarak jauh, tanpa perlu memiliki akses login terlebih dahulu. Serangan jenis ini disebut eksekusi kode dari jarak jauh (Remote Code Execution/RCE) dan menjadi perhatian serius karena apabila berhasil dieksploitasi, penyerang dapat memperoleh kemampuan untuk menjalankan perintah pada sistem yang menjalankan PHP.
Perusahaan keamanan siber Tenable dalam laporan risetnya mengonfirmasi bahwa tingkat keparahan celah kerentanan ini mencapai skor kritis (CVSS 9.2). Tenable mencatat bahwa vektor serangan terutama mengincar server yang menjalankan konfigurasi eksekusi PHP langsung (direct execution), sehingga berpotensi melumpuhkan infrastruktur web dalam hitungan detik jika tidak segera diperbaiki.
Identitas Kerentanan
-
CVE-2026-109618 — GHSA-w8hw-w9fx-j79w
-
CVE-2026-109619 — GHSA-6wmf-4rv5-p3rp
-
Tingkat Keparahan: Critical
-
CVSS v4.0: 9.2
-
Jenis Kerentanan: Remote Code Execution (RCE)
Detail Kerentanan
-
Versi PHP: Hampir seluruh versi PHP yang dirilis dalam 10 tahun terakhir terdampak, mulai dari versi PHP 5.4 hingga 8.5.
-
Aplikasi & Platform: Berdampak pada semua aplikasi berbasis PHP, termasuk CMS populer seperti WordPress, Drupal, Joomla, dan MediaWiki (mesin Wikipedia).
-
Skope Kerentanan: Kerentanan berada di tingkat mesin PHP (core), bukan pada kode aplikasi. Aplikasi sederhana ("Hello World") maupun aplikasi dengan kode yang sangat aman sekalipun tetap rentan jika dijalankan di atas versi PHP 5.4 hingga 8.5.
Yang membuat kerentanan ini cukup serius adalah posisi PHP sebagai komponen dasar pada banyak aplikasi web. Masalahnya bukan berada pada kode aplikasi tertentu, melainkan pada PHP sebagai runtime atau mesin yang menjalankan aplikasi tersebut.
Laporan awal mengenai PHP2Shell menyebutkan bahwa cakupan kerentanan sangat luas, termasuk versi PHP lama. Namun, setelah pembaruan resmi dirilis, PHP menyediakan perbaikan untuk cabang versi yang masih didukung, yaitu:
|
Versi PHP |
Versi yang telah diperbaiki |
|
PHP 8.5.x |
8.5.12 |
|
PHP 8.4.x |
8.4.27 |
|
PHP 8.3.x |
8.3.36 |
|
PHP 8.2.x |
8.2.35 |
Dampak terhadap Aplikasi Berbasis PHP
Kerentanan ini perlu menjadi perhatian bagi pengelola berbagai jenis aplikasi berbasis PHP, terutama aplikasi yang dapat diakses langsung dari internet.
Penggunaan PHP pada aplikasi seperti CMS, portal layanan publik, sistem informasi pemerintahan, maupun aplikasi internal yang memiliki akses dari jaringan eksternal membuat proses inventarisasi versi PHP menjadi penting.
Perlu dipahami bahwa melakukan pemeriksaan terhadap aplikasi saja tidak cukup. Pemeriksaan juga harus mencakup versi PHP yang digunakan oleh server, termasuk PHP yang berjalan melalui PHP-FPM, web server, container, maupun instalasi lain yang mungkin tidak tercatat dalam inventaris.
Langkah Pencegahan
-
Perbarui Versi PHP (Primary Mitigation):
Segera perbarui versi PHP ke rilis perbaikan resmi terbaru pada cabang aktif yang masih didukung (8.2, 8.3, 8.4, dan 8.5). Ini adalah satu-satunya solusi yang menutup celah secara menyeluruh. -
Identifikasi Server yang Masih Menggunakan PHP Lama
Lakukan inventarisasi terhadap seluruh server dan aplikasi yang menggunakan PHP. Pemeriksaan sebaiknya tidak hanya dilakukan pada aplikasi yang diketahui aktif, tetapi juga mencakup server lama, aplikasi yang jarang digunakan, lingkungan pengujian, serta sistem yang masih berjalan menggunakan versi PHP yang sudah End-of-Life.
Server dengan PHP 8.1 atau versi yang lebih lama perlu menjadi perhatian khusus karena sudah tidak berada pada cabang yang mendapatkan perbaikan resmi untuk kerentanan ini. -
Kurangi Eksposur Sistem yang Belum Dapat Diperbarui:
Apabila pembaruan belum dapat dilakukan karena adanya ketergantungan aplikasi atau kendala operasional, kurangi terlebih dahulu akses terhadap sistem tersebut.
Server yang tidak perlu diakses langsung dari internet sebaiknya ditempatkan pada jaringan internal. Untuk sistem yang tetap harus tersedia dari luar, akses dapat dibatasi melalui mekanisme pengamanan yang sesuai, seperti VPN atau WAF.
Namun, langkah tersebut perlu dipahami sebagai pengurangan risiko sementara, bukan sebagai pengganti pembaruan PHP.
-
Periksa Log dan Indikasi Eksploitasi:
Karena kerentanan ini berkaitan dengan kemungkinan eksekusi kode dari jarak jauh, pengelola sistem juga perlu melakukan pemeriksaan terhadap log sebelum dan sesudah proses pembaruan.
Perhatikan aktivitas yang tidak biasa pada web server, PHP-FPM, aplikasi, serta sistem operasi. Pemeriksaan juga dapat diperluas melalui perangkat monitoring atau SIEM yang digunakan organisasi untuk melihat apakah terdapat aktivitas mencurigakan yang mengarah pada eksploitasi.
Jangan Mengandalkan Mitigasi Konfigurasi sebagai Pengganti Patch
Sebelum pembaruan resmi tersedia, sempat muncul pembahasan mengenai perubahan konfigurasi session.upload_progress.enabled sebagai salah satu cara untuk mengurangi risiko.
Namun setelah pembaruan dirilis, informasi dari pihak PHP menegaskan bahwa perubahan konfigurasi tersebut bukan solusi yang dapat menggantikan pembaruan PHP. Tim pengembang PHP menyatakan bahwa pembaruan atau upgrade merupakan langkah yang diperlukan untuk menangani kerentanan ini.
Karena itu, perubahan konfigurasi tertentu sebaiknya tidak dijadikan alasan untuk menunda proses patching, khususnya pada server yang dapat diakses dari internet.
Kesimpulan
Kerentanan PHP2Shell merupakan ancaman siber kritis bagi seluruh pengelola layanan publik berbasis PHP karena menyerang langsung ke server. Mengingat kemudahan eksploitasi di era AI saat ini, langkah terbaik bagi penyedia layanan publik bukanlah menunggu insiden terjadi, melainkan mengambil tindakan proaktif dengan melakukan inventarisasi aset, menerapkan pembaruan keamanan core PHP secara cepat, serta mengisolasi sistem yang sudah tidak didukung vendor atau pengembang aplikasi.
Sumber:
https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
https://www.wiz.io/blog/php2shell-php-rce
https://php2shell.uk/session-upload-progress
Penulis: Admin JabarProv CSIRT
