Intisari Liputan:
- Dua celah kritis Remote Code Execution berlabel CVE-2026-109618 dan CVE-2026-109619 dengan skor CVSS 9,2 menyerang langsung inti runtime PHP.
- Kerentanan memory corruption dan Use-After-Free mengancam basis kode PHP sejak versi 5.4 lawas hingga PHP 8.5 modern pada jutaan server web.
- Tim pengembang PHP telah merilis patch pembaruan darurat versi 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 yang mendesak diterapkan oleh admin web di Indonesia.
Bagi Anda yang mengelola website bisnis, blog pribadi berbasis WordPress, hingga aplikasi berbasis Laravel di server lokal, kabar darurat ini wajib segera disimak. Bukan rahasia lagi kalau PHP menjadi tulang punggung sekitar 70 persen situs web di seluruh dunia. Namun, ketenangan para sysadmin dan webmaster mendadak buyar ketika sepasang celah keamanan Remote Code Execution (RCE) tingkat tinggi, yang dijuluki komunitas siber sebagai PHP2Shell, resmi mencuat ke publik.
Kondisi genting ini terjadi bukan karena kelalaian pengembang plugin abal-abal atau tema bajakan, melainkan cacat logika di lapisan terendah mesin PHP itu sendiri. Sebagaimana diulas mendalam oleh Mashable baru-baru ini, lubang keamanan tersebut membuka pintu bagi peretas anonim untuk mengeksekusi perintah jahat dari jarak jauh tanpa perlu login atau memiliki hak akses admin sama sekali. Bahkan situs raksasa kelas dunia seperti Wikipedia hingga Internet Archive sempat mengambil langkah siaga dengan mengaktifkan mode baca (read-only) demi mencegah pencurian kredensial dan pembobolan server.
Akar Masalah PHP2Shell dan Celaka Manajemen Memori
Jika dibedah lebih dalam, paket kerentanan PHP2Shell mencakup dua identitas kerentanan utama, yaitu CVE-2026-109618 dan CVE-2026-109619. Keduanya berakar pada bagaimana mesin interpreter PHP mengelola alokasi memori saat menangani beban kerja berat. Ketika server mengalami kondisi Out-of-Memory (OOM), mekanisme pembersihan internal gagal mengisolasi data secara tuntas. Dampaknya, sisa data dari satu permintaan web (request) bisa bocor atau tertinggal di memori global, memicu kondisi Use-After-Free yang fatal.
Berdasarkan investigasi teknis yang dilansir The Hacker News, peretas lihai dapat memanfaatkan kondisi cacat memori ini untuk menyisipkan payload arbitrer dan memegang kendali penuh (root shell) atas sistem operasi server. Celah ini dinilai memiliki skor keparahan 9,2 dari skala 10 pada metrik CVSS v4.0. Menariknya, penemuan bug ini juga menandai babak baru keamanan siber modern, di mana tim peneliti dari Calif berhasil mengungkap salah satu kelemahan ini lewat bantuan audit otomatis model kecerdasan buatan OpenAI GPT-5.6 Sol, bersamaan dengan riset independen dari tim Wiz. Integrasi analisis cerdas semacam ini sejalan dengan ulasan di Rubrik AI Tools & Inovasi Coolkas mengenai bagaimana mesin AI kian piawai mengurai celah logika kode sebelum dieksploitasi pihak tak bertanggung jawab.
Komparasi Versi Rentan dan Langkah Mitigasi Hosting Indonesia
Di ekosistem hosting tanah air, ribuan pengelola situs masih banyak yang mengandalkan control panel populer seperti cPanel, DirectAdmin, atau VPS mandiri tanpa pembaruan otomatis. Server yang menjalankan konfigurasi Apache mod_php tercatat memiliki risiko keterpaparan paling tinggi karena muatan eksploitasi dapat terpicu bahkan sebelum skrip aplikasi Anda selesai diproses. Untuk memetakan tingkat urgensi tindakan, berikut perbandingan tolok ukur status keamanan versi PHP di server saat ini:
| Cabang Rilis PHP | Status Kerentanan | Versi Patch Resmi Teraman | Tingkat Risiko |
|---|---|---|---|
| PHP 8.5 | Rentan di bawah 8.5.12 | PHP 8.5.12 ke atas | Tinggi (Segera Patch) |
| PHP 8.4 | Rentan di bawah 8.4.27 | PHP 8.4.27 ke atas | Kritis (Segera Patch) |
| PHP 8.3 | Rentan di bawah 8.3.36 | PHP 8.3.36 ke atas | Kritis (Segera Patch) |
| PHP 8.2 | Rentan di bawah 8.2.35 | PHP 8.2.35 ke atas | Kritis (Segera Patch) |
| PHP 8.1 ke Bawah (EOL) | Terdampak (Tanpa Patch Upstream) | Wajib Migrasi ke PHP 8.2+ | Sangat Berbahaya |
Bagi para pengembang yang menyukai gaya vibe coding cepat dengan bantuan prompt AI, disiplin sanitasi dependensi server tetap tidak boleh dikesampingkan. Langkah pertama yang harus Anda ambil sekarang juga adalah memeriksa versi runtime PHP yang aktif di dashboard cPanel (menu Select PHP Version) atau mengecek terminal VPS Anda via perintah php -v. Jika hosting Anda masih tertahan di versi PHP lawas yang sudah habis masa dukungannya (End-of-Life), jangan tunda lagi untuk menaikkan versi runtime atau memanfaatkan paket Extended Lifecycle Support dari penyedia infrastruktur terpercaya.
Kesiagaan proaktif menjadi kunci utama menghadapi gelombang serangan otomatis di era digital. Memastikan patch biner PHP terpasang rapi di server web Anda bukan sekadar rutinitas teknis, melainkan benteng pertahanan vital agar data pengguna, sertifikat digital, dan reputasi platform digital Anda tetap aman terlindungi.
