PHP2Shell yang Dianggap Aman Ternyata Rentan, Ini Kata Pakar

JAKARTA — Celah keamanan kritis yang tersembunyi selama lebih dari satu dekade di inti PHP menjadi perhatian serius dunia keamanan siber. Kerentanan yang dijuluki PHP2Shell tersebut dilaporkan memiliki skor keparahan 9,2 dari 10 dan berpotensi memungkinkan penyerang mengambil alih server tanpa memerlukan nama pengguna maupun kata sandi.

Penemuan ini disebut melibatkan model kecerdasan buatan tingkat lanjut atau Frontier AI. Kemampuannya mengidentifikasi kerentanan yang rumit menyoroti perubahan besar dalam dunia keamanan siber. Di sisi lain, sistem lama yang masih menjalankan PHP versi usang berpotensi menjadi sasaran paling rentan apabila tidak segera diperiksa dan diamankan.

PHP Memiliki Peran Besar di Balik Layanan Internet

Pakar keamanan siber Alfons Tanujaya menilai PHP masih memegang peranan penting dalam infrastruktur digital, meskipun keberadaannya tidak selalu terlihat oleh pengguna. Bahasa pemrograman ini banyak digunakan untuk membangun situs web, aplikasi bisnis, serta berbagai layanan berbasis internet dan intranet.

Jika Windows mendominasi sistem operasi komputer yang terlihat langsung oleh pengguna, PHP bekerja di sisi belakang berbagai layanan digital. Pengguna mungkin tidak menyadari keberadaannya ketika mengakses situs web, tetapi teknologi tersebut dapat menjadi bagian penting dari sistem yang melayani permintaan mereka.

Karena itu, celah keamanan pada inti PHP berpotensi menimbulkan dampak yang melampaui satu situs web. Apabila server yang terdampak terhubung dengan sistem internal perusahaan, kerentanan tersebut dapat membuka peluang bagi penyerang untuk menjangkau sumber daya lain di jaringan yang sama.

Situasi ini semakin mengkhawatirkan ketika organisasi masih mengandalkan aplikasi lama yang tidak lagi mendapatkan pembaruan keamanan resmi. Sistem tersebut mungkin tetap berfungsi dengan baik, tetapi kestabilan operasional tidak menjamin bahwa aplikasi bebas dari risiko eksploitasi.

Dua Kerentanan Berpotensi Membuka Jalan bagi Peretas

Menurut informasi yang disampaikan dalam laporan tersebut, PHP2Shell dikaitkan dengan dua identitas kerentanan, yaitu CVE-2026-109618 dan CVE-2026-109619. Keduanya disebut berkaitan dengan kelemahan yang dapat dimanfaatkan untuk menyerang sistem PHP.

Kerentanan pertama dijelaskan sebagai masalah manipulasi memori. Penyerang dapat mengirimkan permintaan yang dirancang secara khusus untuk memicu kondisi tidak aman pada pemrosesan data server. Jika kelemahan tersebut berhasil dieksploitasi, mekanisme perlindungan sistem berpotensi dilewati dan membuka jalan bagi eksekusi kode yang tidak semestinya.

Kerentanan kedua dilaporkan berpotensi memungkinkan remote code execution (RCE), yaitu kemampuan menjalankan kode dari jarak jauh pada sistem yang menjadi sasaran. Dampaknya bergantung pada konfigurasi server, hak akses proses PHP, serta perlindungan lain yang diterapkan organisasi.

Apabila proses aplikasi berjalan dengan hak akses yang terlalu tinggi, penyerang berpotensi memperoleh kendali yang lebih luas. Risiko tersebut dapat mencakup akses terhadap data internal, perubahan berkas aplikasi, hingga gangguan terhadap layanan yang bergantung pada server tersebut.

Laporan yang menjadi dasar artikel ini menyebut serangan dapat dilakukan tanpa autentikasi. Namun, rincian teknis, prasyarat eksploitasi, serta cakupan dampak setiap identitas CVE tetap perlu diperiksa melalui advisori keamanan resmi sebelum dijadikan dasar tindakan teknis.

Versi PHP Lama Menjadi Perhatian Utama

Salah satu persoalan terbesar dalam pengelolaan PHP adalah masih digunakannya versi yang sudah berakhir masa dukungannya atau end of life (EOL). Versi PHP 5.x dan 7.x menjadi perhatian karena cabang versi tersebut tidak lagi menerima pembaruan keamanan rutin dari proyek PHP.

Aplikasi lama sering dipertahankan karena dinilai stabil dan masih mendukung proses bisnis perusahaan. Migrasi juga tidak selalu mudah, terutama ketika aplikasi memiliki banyak ketergantungan, menggunakan pustaka yang sudah usang, atau dibangun tanpa dokumentasi yang memadai.

Dalam informasi yang diberikan, versi PHP 8.2.34, 8.3.35, 8.4.26, dan 8.5.11 disebut terdampak. Sementara itu, versi 8.2.35, 8.3.36, 8.4.27, dan 8.5.12 disebut sebagai versi perbaikan.

Nomor versi dan status perbaikan tersebut perlu diverifikasi melalui advisori resmi PHP dan basis data CVE. Administrator sebaiknya tidak mengandalkan daftar versi dari satu laporan saja, khususnya untuk kerentanan dengan tingkat keparahan tinggi.

Organisasi yang masih menggunakan PHP 5.x atau 7.x perlu menyiapkan rencana migrasi ke versi yang didukung. Jika migrasi tidak dapat dilakukan segera, pengelola sistem perlu menerapkan mitigasi sementara dan membatasi paparan server terhadap jaringan yang tidak tepercaya.

Intranet Dapat Menjadi Jalur Serangan Berikutnya

Ancaman PHP2Shell tidak terbatas pada server yang dapat diakses langsung melalui internet. Sistem intranet juga dapat menghadirkan risiko apabila menjalankan aplikasi PHP lama dan memiliki konektivitas luas ke server, basis data, atau layanan internal lainnya.

Sebuah situs publik biasanya terhubung dengan berbagai komponen pendukung, seperti panel administrasi, layanan pemrosesan data, sistem inventaris, dan basis data. Jika salah satu komponen tersebut berhasil dikuasai, penyerang dapat mencoba memperluas akses ke sistem lain melalui teknik yang dikenal sebagai lateral movement.

Kondisi ini menjelaskan mengapa server internal yang tidak terlihat dari internet tetap memerlukan pembaruan keamanan. Pembatasan akses dari luar memang membantu mengurangi permukaan serangan, tetapi tidak otomatis melindungi sistem dari perangkat karyawan yang terinfeksi atau akun internal yang telah disusupi.

Alfons memperingatkan bahwa mempertahankan PHP usang di dalam jaringan perusahaan dapat menjadi risiko serius. Sistem yang semula dipertahankan demi stabilitas justru berpotensi menjadi titik masuk bagi serangan yang menjangkau infrastruktur lebih luas.

Risiko tersebut juga berkaitan dengan ancaman dari orang dalam atau insider threat. Penyerang dapat memanfaatkan akses internal yang sudah tersedia, sementara malware pada perangkat karyawan dapat menjadi jalur tambahan untuk menjangkau jaringan perusahaan.

Tim IT Berpacu dengan Waktu

Ketika informasi teknis mengenai kerentanan tersedia secara luas, penyerang dapat berupaya mengembangkan alat otomatis untuk menemukan server yang rentan. Namun, kecepatan dan kemudahan eksploitasi sebenarnya bergantung pada ketersediaan kode serangan, konfigurasi target, serta langkah perlindungan yang sudah diterapkan.

Sebaliknya, memperbarui aplikasi lama dapat membutuhkan waktu berminggu-minggu hingga berbulan-bulan. Perubahan versi PHP berpotensi memunculkan masalah kompatibilitas pada kode, pustaka, dan integrasi yang selama ini digunakan untuk mendukung operasional bisnis.

Tim teknologi informasi harus menyeimbangkan kebutuhan menjaga layanan tetap tersedia dengan kewajiban melindungi data dan infrastruktur. Dalam situasi berisiko tinggi, menghentikan sementara layanan yang rentan dapat menjadi pilihan lebih aman daripada membiarkannya terus beroperasi tanpa perlindungan memadai.

Alfons menilai penghentian sementara layanan dapat menjadi keputusan sulit, tetapi terkadang diperlukan untuk menghindari dampak yang lebih besar. Keputusan tersebut idealnya didasarkan pada penilaian risiko, tingkat keterpaparan sistem, ketersediaan mitigasi, dan kebutuhan operasional organisasi.

Langkah yang Perlu Dilakukan Administrator Server

Organisasi yang menggunakan PHP perlu segera menginventarisasi server, aplikasi, dan layanan internal untuk mengetahui versi PHP yang berjalan. Pemeriksaan harus mencakup server produksi, lingkungan pengujian, aplikasi administrasi, serta layanan intranet yang mungkin luput dari pemantauan rutin.

Administrator juga perlu memeriksa advisori keamanan resmi, menerapkan versi perbaikan yang telah terverifikasi, dan menguji kompatibilitas aplikasi sebelum atau selama proses pembaruan sesuai prosedur perubahan organisasi. Untuk sistem yang belum dapat diperbarui, akses jaringan sebaiknya dibatasi dan layanan yang tidak diperlukan dinonaktifkan.

Selain itu, tim keamanan perlu meninjau log server, aktivitas proses yang tidak biasa, perubahan berkas, serta koneksi keluar yang mencurigakan. Jika terdapat indikasi kompromi, organisasi perlu menjalankan prosedur respons insiden dan tidak sekadar menganggap pembaruan perangkat lunak telah menyelesaikan seluruh masalah.

Praktik keamanan jangka panjang juga perlu mencakup prinsip hak akses minimum, segmentasi jaringan, pencadangan yang teruji, dan pengujian pemulihan layanan. Langkah-langkah tersebut dapat mengurangi dampak jika sebuah kerentanan berhasil dieksploitasi.

Sistem Lama Tidak Bisa Dibiarkan Tanpa Rencana Migrasi

Kasus PHP2Shell menyoroti persoalan mendasar dalam pemeliharaan infrastruktur digital: aplikasi yang masih berjalan belum tentu aman untuk terus digunakan. Ketika sistem lama dipertahankan tanpa pembaruan dan evaluasi risiko, organisasi dapat menumpuk utang teknis sekaligus memperbesar paparan terhadap serangan siber.

Kemampuan AI dalam membantu menemukan kerentanan juga menjadi pengingat bahwa proses penemuan dan eksploitasi celah keamanan dapat berkembang semakin cepat. Meski demikian, tingkat ancaman sebenarnya harus ditentukan berdasarkan bukti teknis, status kerentanan yang terverifikasi, dan kondisi sistem yang terdampak.

Bagi perusahaan maupun instansi pemerintah, prioritas utamanya adalah memastikan informasi kerentanan berasal dari sumber tepercaya, memeriksa sistem yang berpotensi terdampak, dan menjalankan mitigasi secara terukur. Migrasi dari PHP yang sudah tidak didukung perlu menjadi bagian dari rencana keamanan, bukan sekadar pekerjaan teknis yang terus ditunda.

Tanpa pembaruan, pembatasan akses, dan strategi penggantian sistem lama, risiko keamanan akan tetap ada meskipun aplikasi terlihat berfungsi normal. Keamanan infrastruktur tidak cukup mengandalkan kestabilan sistem, tetapi membutuhkan pemeliharaan berkelanjutan dan kesiapan menghadapi kerentanan baru.