Jika situs Anda memakai PHP, menghadapi PHP2Shell tidak cukup dengan memperbarui plugin. Pastikan PHP yang benar-benar melayani situs sudah menerima perbaikan keamanan. Untuk pemilik situs yang memakai hosting, langkah pertama adalah meminta konfirmasi kepada penyedia, bukan mencoba alat pengujian dari sumber yang tidak jelas.
.jpg)
Ilustrasi rak server: Datacenter Server Racks, Carl Lender melalui Wikimedia Commons, berlisensi CC BY 2.0. Ukuran tampilan disesuaikan untuk web, tanpa pemotongan foto.
Apa itu PHP2Shell dan siapa yang terdampak?
PHP2Shell adalah nama untuk dua kerentanan pada inti PHP, yaitu CVE-2026-109618 dan CVE-2026-109619. Menurut peringatan CISA, keduanya dapat memungkinkan penyerang menjalankan kode pada server dari jarak jauh tanpa perlu masuk ke akun terlebih dahulu.
Masalahnya berada pada perangkat lunak PHP yang menangani permintaan web, bukan pada browser pengunjung. CISA meminta pemeriksaan terhadap seluruh instalasi PHP yang melayani web, termasuk Apache dengan mod_php, PHP-FPM, php-cgi, FrankenPHP, dan LiteSpeed. Apache dengan mod_php disebut PHP sebagai konfigurasi berisiko paling tinggi. Situs yang tampak normal tetap perlu diperiksa.
Perbarui PHP ke rilis yang sudah diperbaiki
CISA menyarankan pembaruan segera ke salah satu rilis keamanan berikut, sesuai cabang PHP yang digunakan:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
PHP.net juga mengonfirmasi PHP 8.5.12 sebagai rilis keamanan. Jika penyedia sudah menawarkan rilis perbaikan yang lebih baru, periksa catatan resminya dan gunakan versi yang sesuai. Jangan menganggap semua rilis PHP 8 sudah aman hanya karena nomor utamanya sama.
PHP 8.1 dan versi sebelumnya tidak memperoleh perbaikan dari proyek PHP karena masa dukungannya telah berakhir. Beberapa vendor menyediakan tambalan untuk paket lama atau backport. Contohnya tercantum dalam advisori cPanel. Karena itu, minta bukti status perbaikan dari penyedia hosting, bukan hanya melihat angka versi di panel.
Langkah praktis untuk pemilik situs
1. Periksa setiap domain dan subdomain
Catat situs, subdomain, aplikasi, dan server yang memakai PHP. Satu akun hosting bisa menjalankan versi berbeda untuk tiap domain. PHP juga dapat menjadi bagian dari perangkat lunak lain, sehingga pemeriksaan jangan berhenti pada halaman utama atau instalasi WordPress.
2. Minta hosting menambal PHP yang aktif
Pembaruan WordPress, tema, atau plugin bukan pengganti pembaruan PHP. Tanyakan versi yang benar-benar dipakai oleh layanan web. Jika Anda tidak mengelola server sendiri, biarkan penyedia hosting yang memperbarui paket dan memastikan proses PHP yang melayani situs sudah dimulai ulang.
Panduan Google Cloud menjelaskan bahwa mengganti paket di disk saja dapat meninggalkan proses lama tetap berjalan. Untuk layanan dalam kontainer, pengelola perlu membangun ulang dan menerapkan ulang layanan dengan versi PHP yang sudah diperbaiki.
3. Dahulukan situs yang terbuka ke internet
CISA meminta sistem yang dapat diakses dari internet ditangani lebih dahulu. Jika pembaruan belum bisa dilakukan, CISA menyarankan sistem berbasis PHP dibuat luring sampai dapat ditambal atau ditingkatkan versinya. Koordinasikan langkah ini dengan hosting agar pengunjung mendapat informasi yang jelas selama layanan tidak tersedia.
4. Cadangkan data dan periksa fungsi situs
Pastikan cadangan berkas dan basis data dapat dipulihkan. Setelah pembaruan, uji halaman utama, login, formulir, unggah berkas, dan fungsi transaksi jika situs memilikinya. Langkah ini membantu menemukan masalah kompatibilitas tanpa menganggap pembaruan keamanan sudah cukup hanya karena panel menampilkan status selesai.
Pesan yang bisa dikirim ke penyedia hosting
Mohon konfirmasi versi PHP yang saat ini melayani setiap domain dan subdomain pada akun saya. Apakah CVE-2026-109618 dan CVE-2026-109619 sudah diperbaiki melalui pembaruan atau backport vendor? Mohon sertakan versi atau identitas paket yang sudah ditambal, waktu penerapan, dan konfirmasi bahwa proses PHP atau layanan web terkait sudah dimulai ulang. Jika belum selesai, apa perlindungan sementara dan kapan perbaikannya diterapkan?
Simpan jawaban hosting sebagai catatan. Untuk platform situs yang dikelola penuh oleh penyedia, ikuti pemberitahuan keamanan penyedia dan tanyakan status penanganannya. Tidak semua platform memberi pengguna akses untuk memilih versi PHP sendiri.
WAF hanya perlindungan sementara
Web application firewall atau WAF menyaring permintaan yang masuk ke aplikasi web. CISA menyebut WAF dapat memberikan sebagian perlindungan selama sistem belum diperbarui. WAF tidak memperbaiki kerentanan pada PHP dan bukan alasan untuk menunda pembaruan.
Minta hosting memantau aktivitas mencurigakan, termasuk proses PHP yang tiba-tiba menjalankan shell atau mengunduh alat yang tidak diperlukan aplikasi. Temuan itu perlu diperiksa oleh pengelola server. Satu gejala saja tidak otomatis membuktikan situs telah dieksploitasi.
Apakah pengunjung perlu memasang sesuatu?
Tidak ada alasan memasang PHP di laptop atau HP untuk memperbaiki server situs yang Anda kunjungi. Pengunjung biasa juga tidak perlu mencari aplikasi bernama “patch PHP2Shell”. Penanganan kerentanan ini menjadi tanggung jawab pengelola server atau penyedia layanan.
Sebagai kebiasaan aman, tetap perbarui browser dan sistem operasi melalui saluran resmi. Jangan mengunduh program dari iklan atau halaman yang mengaku menawarkan perbaikan PHP2Shell. Jika layanan yang Anda gunakan mengumumkan insiden dan meminta tindakan tertentu, ikuti petunjuk resminya. Ini langkah menjaga keamanan pengunjung, bukan pengganti pembaruan PHP di server.
0 komentar:
Posting Komentar