ItWorks.id – Dua kerentanan kritis pada PHP yang diungkap pada 21 Oktober 2026 menjadi peringatan bagi organisasi yang mengandalkan situs web, portal pelanggan, dan berbagai aplikasi berbasis web. Dikenal secara kolektif sebagai PHP2Shell, kedua celah keamanan ini berpotensi memungkinkan penyerang tanpa autentikasi menjalankan kode berbahaya dari jarak jauh pada server yang rentan.
Jika berhasil dieksploitasi, serangan tersebut dapat membuka akses terhadap informasi sensitif sekaligus mengganggu ketersediaan layanan yang penting bagi operasional bisnis. Fortinet mendorong organisasi segera mengidentifikasi sistem yang berpotensi terdampak, menerapkan pembaruan keamanan, dan memperkuat perlindungan selama proses perbaikan berlangsung.
PHP merupakan bahasa pemrograman sisi server yang telah digunakan selama lebih dari tiga dekade dan menjadi fondasi bagi berbagai platform populer, termasuk WordPress, Drupal, Joomla, dan Magento. Karena penggunaannya luas, risiko tidak hanya terbatas pada perusahaan yang mengembangkan aplikasi PHP sendiri. Organisasi yang menggunakan aplikasi komersial, layanan hosting terkelola, maupun perangkat lunak pihak ketiga yang menyertakan PHP juga perlu memeriksa kemungkinan dampaknya.
“Keamanan aplikasi web merupakan bagian penting dari upaya menjaga kepercayaan pelanggan dan keberlangsungan bisnis. Organisasi perlu segera mengetahui di mana PHP digunakan dalam lingkungan mereka, termasuk pada layanan hosting dan aplikasi pihak ketiga, agar tidak ada sistem berisiko yang terlewat dalam proses pembaruan,” ujar Edwin Lim, Country Director Fortinet Indonesia, dalam keterangan resminya.
FortiGuard Labs, unit riset dan intelijen ancaman Fortinet, telah menyediakan perlindungan intrusion prevention system (IPS), informasi ancaman, serta panduan mitigasi untuk membantu organisasi mengurangi risiko selama proses pembaruan.
Memahami Kerentanan PHP2Shell
PHP2Shell mencakup dua kerentanan, yaitu CVE-2026-109618 dan CVE-2026-109619. Keduanya dikategorikan kritis dengan skor 9,2 berdasarkan Common Vulnerability Scoring System (CVSS) versi 4.0. Kerentanan pertama berkaitan dengan kerusakan memori ketika PHP menangani kondisi kehabisan memori. Kerentanan kedua terjadi ketika proses PHP mengakses referensi ke memori yang sudah dilepaskan setelah permintaan sebelumnya diproses.
Kedua celah tersebut dapat membuka peluang terjadinya remote code execution (RCE), yaitu kondisi ketika penyerang dapat menjalankan perintah atau program pada server yang terdampak. Dampaknya dapat meluas, mulai dari penyusupan aplikasi, terbukanya data dan kredensial sensitif, hingga terganggunya layanan. Pada kondisi tertentu, eksploitasi dapat terjadi sebelum kode aplikasi dijalankan. Dengan demikian, autentikasi pada aplikasi belum tentu cukup untuk mencegah serangan.
Besarnya potensi paparan terlihat dari pemindaian internet publik. Snapshot dasbor PHP2Shell milik Censys pada 22 Oktober 2026 mengidentifikasi sekitar 36,7 juta layanan yang dapat diakses melalui internet dan melaporkan versi PHP yang berpotensi terdampak. Angka tersebut merupakan jumlah layanan yang teridentifikasi, bukan jumlah server atau organisasi unik. Estimasi berdasarkan versi juga dapat mencakup instalasi yang sebenarnya telah menerima perbaikan keamanan melalui mekanisme backport dari vendor.
Organisasi perlu memahami bahwa memperbarui sistem manajemen konten atau plugin saja tidak otomatis memperbaiki kerentanan pada runtime PHP. Perbaikan harus diterapkan pada komponen PHP yang menjalankan aplikasi.
Proyek PHP telah merilis versi yang diperbaiki, yaitu PHP 8.2.35, 8.3.36, 8.4.27, dan 8.5.12. Pengguna paket dari distributor atau vendor aplikasi perlu memastikan bahwa pembaruan keamanan telah disertakan, termasuk apabila perbaikan diberikan melalui backport tanpa mengubah nomor versi.
Langkah Mengurangi Risiko Selama Proses Pembaruan
Penerapan patch tidak selalu dapat dilakukan seketika. Organisasi perlu menguji kompatibilitas aplikasi, memeriksa dependensi, menjadwalkan pemeliharaan, dan mengoordinasikan pekerjaan antara tim keamanan, aplikasi, serta infrastruktur. Karena itu, proses remediasi perlu disertai kontrol sementara untuk mengurangi paparan risiko.
“Organisasi perlu menjalankan pembaruan keamanan dan pengurangan risiko secara beriringan. Sambil menguji kompatibilitas dan menyiapkan penerapan patch, tim terkait dapat memperkuat perlindungan, membatasi akses ke layanan yang terdampak, serta memantau indikasi serangan. Langkah ini membantu menjaga layanan bisnis selama proses perbaikan berlangsung,” kata Edwin.
Langkah pertama adalah mengidentifikasi seluruh implementasi PHP yang berpotensi terdampak. Organisasi dapat memanfaatkan external attack surface management (EASM) untuk menemukan aset yang dapat diakses dari internet, termasuk aset yang belum tercatat dalam inventaris. Setiap implementasi perlu didokumentasikan berdasarkan versi PHP, model penerapan, pemilik aplikasi, dan status pembaruannya. Pemeriksaan juga harus mencakup kontainer, penyedia hosting, serta aplikasi pihak ketiga.
Selanjutnya, pembaruan perlu diuji terhadap alur kerja bisnis yang penting dan dependensi aplikasi sebelum diterapkan. Setelah runtime PHP yang telah diperbaiki dipasang, proses pekerja atau kontainer terkait perlu dimulai ulang sesuai kebutuhan.
Organisasi harus memastikan bahwa layanan yang berjalan benar-benar menggunakan runtime yang telah diperbaiki dan proses versi lama sudah dihentikan. Menginstal paket pembaruan saja belum menjamin bahwa perbaikan telah aktif.
Sambil menunggu pembaruan, organisasi dapat mengaktifkan perlindungan IPS dan web application firewall yang relevan, membatasi akses ke layanan terdampak, serta menempatkan sistem yang tidak perlu diakses publik di balik VPN atau Secure Access Service Edge (SASE).
Jika kontrol tersebut belum memadai, isolasi sementara terhadap layanan terdampak dapat dipertimbangkan. Tim keamanan juga perlu memeriksa permintaan web mencurigakan, proses PHP yang mengalami crash, eksekusi proses yang tidak dikenal, perubahan file aplikasi, dan koneksi keluar yang tidak biasa.
Perlindungan IPS FortiGuard Labs
FortiGuard Labs telah merilis tanda tangan IPS untuk mendeteksi dan memblokir upaya eksploitasi terhadap kedua kerentanan PHP2Shell. Tanda tangan tersebut tersedia dalam basis data IPS versi 37.317 untuk FortiGate, FortiSASE, FortiProxy, dan produk Fortinet lain yang didukung. Perlindungan ini membantu organisasi mengurangi risiko ketika tim terkait sedang menguji dan menerapkan pembaruan keamanan PHP.
Dua tanda tangan yang tersedia adalah PHP.longjmp.Remote.Code.Execution dengan ID 62657 untuk CVE-2026-109618, serta PHP.stale.global.state.Remote.Code.Execution dengan ID 62658 untuk CVE-2026-109619.
Administrator perlu memperbarui basis data IPS, memastikan kedua tanda tangan tersedia, lalu memasukkannya ke sensor IPS pada kebijakan firewall yang melindungi lalu lintas menuju layanan PHP. Tindakan pemblokiran dan pencatatan juga perlu diaktifkan, sementara inspeksi harus dapat memeriksa konten permintaan yang relevan, termasuk lalu lintas HTTPS setelah proses dekripsi yang sesuai.
FortiGuard Labs juga menyediakan PHP2Shell Outbreak Alert yang memuat analisis, rekomendasi mitigasi, dan informasi cakupan perlindungan produk Fortinet. Sementara itu, PHP2Shell Threat Map menyajikan gambaran aktivitas yang terdeteksi oleh sensor FortiGuard. Informasi tersebut dapat membantu tim keamanan memahami perkembangan ancaman dan mendukung proses investigasi.
Organisasi tetap perlu menerapkan dan memverifikasi patch sebagai solusi permanen. Perlindungan IPS membantu memblokir teknik eksploitasi yang telah diketahui, tetapi tidak menggantikan pembaruan perangkat lunak ataupun investigasi apabila kompromi telah terjadi. Menginstal patch juga tidak otomatis menghapus penyerang yang mungkin sudah memperoleh akses sebelumnya.
Selain dua kerentanan awal, proyek PHP pada 23 Oktober 2026 mengungkapkan masalah terpisah yang bergantung pada konfigurasi, yaitu CVE-2026-115560, yang berkaitan dengan session upload progress. Organisasi perlu meninjau imbauan terbaru dan rekomendasi konfigurasi terkait, termasuk pengaturan session.upload_progress.enabled=0 sesuai panduan proyek PHP.
Respons Terkoordinasi Menjadi Kunci
PHP2Shell menunjukkan bahwa kerentanan pada komponen dasar aplikasi dapat berdampak langsung terhadap keamanan data dan keberlangsungan layanan bisnis. Organisasi perlu bergerak cepat untuk menemukan sistem yang terdampak, menerapkan pembaruan yang sesuai, memastikan runtime yang aman benar-benar aktif, serta memantau indikasi kompromi.
Dengan dukungan intelijen ancaman dan perlindungan IPS FortiGuard Labs, organisasi memiliki lapisan pertahanan tambahan selama proses remediasi berlangsung. Namun, keberhasilan penanganan tetap membutuhkan koordinasi antara tim keamanan, pengelola aplikasi, infrastruktur, dan penyedia teknologi.
“Perlindungan IPS memberikan lapisan pertahanan tambahan selama proses remediasi, tetapi penerapan dan verifikasi patch tetap menjadi langkah utama untuk memperbaiki kerentanan. Koordinasi antartim juga sangat penting untuk memastikan pembaruan benar-benar aktif dan setiap indikasi kompromi ditindaklanjuti,” tutup Edwin.
