BSSN Peringatkan Dua Celah Kritis PHP2Shell pada Server Website

Dua kerentanan kritis pada PHP berpotensi membuka peluang bagi penyerang untuk menjalankan kode dari jarak jauh tanpa autentikasi. Badan Siber dan Sandi Negara (BSSN) mengingatkan pemilik serta pengelola website agar segera memeriksa sistem dan menerapkan pembaruan keamanan, dilansir dari Medcom. Peringatan yang diterbitkan pada Kamis (22/10/2026) tersebut mengidentifikasi dua celah yang dikenal sebagai PHP2Shell, dengan kode CVE-2026-109618 dan CVE-2026-109619.

Melalui akun X resminya, BSSN meminta pengelola sistem mengambil tindakan untuk menekan risiko eksploitasi. Ancaman ini perlu diperhatikan karena PHP banyak digunakan untuk menjalankan website dinamis dan mendukung berbagai sistem pengelolaan konten atau CMS. Beberapa platform yang memanfaatkan PHP antara lain WordPress, Drupal, Joomla, dan MediaWiki.

Bahaya utama kedua kerentanan tersebut berkaitan dengan kemungkinan terjadinya eksekusi kode jarak jauh atau remote code execution (RCE). Kondisi ini memungkinkan penyerang menjalankan kode pada sistem sasaran apabila kerentanan berhasil dieksploitasi.

Dampak serangan berpotensi mencakup gangguan terhadap layanan website, akses tidak sah ke data, serta perubahan atau penghapusan informasi. Karena eksploitasi tidak mensyaratkan penyerang masuk ke akun terlebih dahulu, perlindungan autentikasi saja tidak cukup untuk mengatasi risiko tersebut. Meski sama-sama berkaitan dengan pengelolaan memori, kedua celah PHP2Shell memiliki mekanisme pemicu yang berbeda. Pemahaman mengenai perbedaan tersebut membantu pengelola mengenali alasan pembaruan perangkat lunak menjadi langkah penting.

CVE-2026-109618 dan kondisi kehabisan memori

Kerentanan CVE-2026-109618 berhubungan dengan kondisi kehabisan memori atau out-of-memory (OOM) ketika PHP memproses permintaan. Permintaan HTTP yang dirancang secara khusus dapat memicu kesalahan tersebut dan berpotensi mengakibatkan kerusakan memori atau memory corruption.

Apabila kondisi ini dapat dimanfaatkan oleh penyerang, sistem yang terdampak berisiko mengalami gangguan keamanan. Oleh karena itu, pengelola perlu memastikan lingkungan PHP yang digunakan telah memperoleh perbaikan untuk kerentanan terkait.

CVE-2026-109619 dan kesalahan use-after-free

Sementara itu, CVE-2026-109619 berkaitan dengan kesalahan use-after-free. Masalah ini terjadi ketika program masih mengakses bagian memori yang sebelumnya telah dibebaskan.

Penggunaan memori dengan cara tersebut dapat menyebabkan kerusakan memori dan menciptakan peluang serangan terhadap server yang rentan. Kedua kerentanan ini perlu ditangani melalui perbaikan pada perangkat lunak, bukan hanya dengan mengandalkan pengamanan akun pengguna.

Versi PHP yang Berpotensi Terdampak

BSSN memasukkan PHP 8.2, PHP 8.3, PHP 8.4, dan PHP 8.5 dalam daftar versi yang berpotensi terdampak PHP2Shell. Pengelola website perlu memeriksa versi yang benar-benar berjalan pada server sebelum menentukan tindakan pembaruan. PHP 8.1 dan versi sebelumnya juga perlu mendapat perhatian. Versi-versi tersebut berpotensi memiliki kerentanan sekaligus telah berstatus end-of-life (EOL), yang berarti dukungan resmi untuk versi terkait telah berakhir.

BSSN merekomendasikan penggunaan versi PHP yang sudah memperoleh perbaikan keamanan. Karena versi CMS tidak selalu menunjukkan versi PHP yang digunakan server, pemeriksaan harus dilakukan langsung terhadap lingkungan tempat aplikasi website dijalankan. Website yang memakai platform CMS serupa belum tentu memiliki tingkat risiko yang sama. Kondisi keamanan masing-masing dapat berbeda bergantung pada versi PHP dan konfigurasi lingkungan server yang digunakan.

Langkah Mitigasi yang Dianjurkan BSSN

Pembaruan keamanan menjadi tindakan utama untuk mengurangi risiko eksploitasi PHP2Shell. Pengelola perlu memastikan seluruh lingkungan PHP yang menjalankan layanan web telah diperbarui, termasuk PHP-FPM, Apache mod_php, dan php-cgi.

Setelah proses pembaruan selesai, layanan terkait harus dijalankan ulang atau di-restart agar perubahan dapat diterapkan. Pemeriksaan tidak seharusnya berhenti pada satu komponen apabila server menggunakan beberapa lingkungan untuk menjalankan aplikasi PHP. Jika pembaruan belum dapat dilakukan, BSSN menyarankan pembatasan akses jaringan menuju sistem yang terdampak atau isolasi layanan yang terhubung langsung ke internet.

Langkah ini berfungsi sebagai mitigasi sementara untuk mengurangi paparan terhadap serangan. Pembatasan jaringan tidak menggantikan kebutuhan untuk memasang pembaruan keamanan. Pengelola tetap perlu merencanakan perbaikan pada seluruh komponen yang menjalankan PHP, terutama server yang menyediakan layanan bagi pengguna melalui internet.

Pemeriksaan versi PHP, penerapan tambalan keamanan, dan pengaktifan ulang layanan merupakan bagian penting dari penanganan risiko PHP2Shell. Website yang masih beroperasi normal tetap perlu diperiksa karena kondisi tersebut tidak dengan sendirinya memastikan bahwa sistem bebas dari kerentanan.