Peringatan tersebut menjadi perhatian penting bagi pengelola website di Indonesia, mengingat PHP masih digunakan secara luas untuk menjalankan situs web dinamis. Bahasa pemrograman sisi server ini juga menjadi fondasi sejumlah sistem pengelolaan konten atau content management system (CMS), termasuk WordPress, Drupal, Joomla, dan MediaWiki.
Dalam peringatan keamanan yang diterbitkan pada Kamis (22/10/2026), BSSN mengidentifikasi dua kerentanan dengan kode CVE-2026-109618 dan CVE-2026-109619. Melalui akun X resminya, lembaga tersebut meminta pengelola website mengambil langkah pengamanan untuk mengurangi risiko serangan.
Mengapa Celah PHP2Shell Berbahaya?
Risiko utama PHP2Shell terletak pada kemungkinan terjadinya remote code execution (RCE), yaitu kondisi ketika penyerang dapat menjalankan kode pada sistem target dari jarak jauh. Jika berhasil dieksploitasi, serangan ini berpotensi mengganggu layanan, membuka akses terhadap data, hingga memungkinkan data diubah atau dihapus.BSSN menjelaskan bahwa kedua kerentanan tersebut berkaitan dengan kesalahan pengelolaan memori pada PHP, tetapi mekanismenya berbeda.
CVE-2026-109618 muncul ketika PHP menangani kondisi kehabisan memori atau out-of-memory (OOM). Permintaan HTTP yang dirancang secara khusus dapat memicu kesalahan tersebut dan berpotensi menyebabkan kerusakan memori (memory corruption).
Sementara itu, CVE-2026-109619 berkaitan dengan kondisi use-after-free, yakni ketika program masih mengakses bagian memori yang sebelumnya sudah dibebaskan. Kesalahan ini juga dapat menyebabkan kerusakan memori dan membuka peluang serangan terhadap server yang rentan.
Kedua celah tersebut perlu diperhatikan karena serangan tidak mensyaratkan penyerang masuk ke akun terlebih dahulu. Artinya, pengelola website tidak cukup hanya mengandalkan perlindungan akun untuk mengurangi risiko eksploitasi.
PHP Versi Berapa yang Terdampak PHP2Shell?
BSSN mencantumkan PHP 8.2, 8.3, 8.4, dan 8.5 sebagai versi yang berpotensi terdampak. PHP 8.1 dan versi lebih lama juga perlu mendapat perhatian karena berpotensi rentan sekaligus telah berstatus end-of-life (EOL), sehingga tidak lagi menerima dukungan resmi.Untuk mengatasi kerentanan tersebut, BSSN merekomendasikan pembaruan ke versi PHP yang telah mendapatkan perbaikan keamanan, yaitu:
-PHP 8.5.12
-PHP 8.4.27
-PHP 8.3.36
-PHP 8.2.35
Bagi pengelola website, langkah pertama adalah memastikan versi PHP yang benar-benar digunakan oleh server, bukan hanya memeriksa versi CMS atau aplikasi website. Sebuah situs dapat menggunakan CMS yang sama dengan situs lain, tetapi tetap memiliki risiko berbeda bergantung pada lingkungan server dan versi PHP yang berjalan.
Langkah Pengamanan yang Disarankan BSSN
Pembaruan perlu diterapkan pada seluruh lingkungan PHP yang digunakan untuk menjalankan layanan web, termasuk PHP-FPM, Apache mod_php, dan php-cgi. Setelah pembaruan selesai, layanan terkait juga harus dijalankan ulang (restart) agar perbaikan dapat diterapkan.Jika pembaruan belum memungkinkan, BSSN menyarankan pengelola membatasi akses jaringan menuju sistem yang terdampak atau mengisolasi layanan yang terhubung langsung ke internet.
Langkah tersebut penting sebagai mitigasi sementara, tetapi bukan pengganti pembaruan keamanan. Pengelola website perlu memastikan seluruh komponen yang menjalankan PHP telah diperiksa, terutama server yang menangani layanan publik.
Dengan PHP digunakan secara luas pada website, pemeriksaan versi dan penerapan tambalan keamanan menjadi langkah penting untuk mengurangi risiko gangguan layanan maupun penyalahgunaan data. Pengelola sebaiknya tidak menunda tindakan hanya karena website masih terlihat berfungsi normal.
