PHP2Shell Bisa Curi Data Website, Kenali Tanda Server Diretas

Harianjogja.com, JOGJA—Pengelola website perlu segera memeriksa keamanan server setelah ditemukannya PHP2Shell, dua kerentanan kritis pada PHP yang berpotensi memungkinkan peretas menjalankan kode dari jarak jauh tanpa harus masuk menggunakan akun atau kata sandi.

Kerentanan tersebut terdaftar sebagai CVE-2026-109618 dan CVE-2026-109619, masing-masing dengan skor keparahan 9,2 dari skala 10. PHP telah merilis pembaruan keamanan untuk menutup celah tersebut, tetapi pengelola website tetap perlu memeriksa kemungkinan penyusupan yang terjadi sebelum pembaruan diterapkan.

PHP merupakan bahasa pemrograman sisi server yang digunakan untuk membangun banyak website dan aplikasi, termasuk platform pengelolaan konten seperti WordPress, Drupal, dan Joomla. Karena itu, kerentanan pada komponen PHP dapat berdampak pada berbagai layanan yang berjalan di atasnya.

Peringatan keamanan yang diterbitkan pada 21 Oktober 2026 menyebutkan bahwa eksploitasi PHP2Shell dapat memungkinkan penyerang menjalankan kode berbahaya atau mengakses data sensitif dari memori proses PHP. Risiko dan jalur eksploitasi dapat berbeda menurut versi, konfigurasi, dan lingkungan server.  

Apa yang Bisa Terjadi Jika Website Telanjur Disusupi?

Dampak PHP2Shell tidak terbatas pada website yang mendadak tidak bisa dibuka. Jika eksploitasi berhasil, penyerang berpotensi menjalankan perintah dengan hak akses yang dimiliki proses PHP pada server tersebut.

Salah satu risikonya adalah pencurian data aplikasi. Informasi yang dapat diakses bergantung pada izin proses dan konfigurasi server, termasuk kemungkinan akses ke data sensitif yang tersimpan atau diproses aplikasi.

Penyerang juga dapat mengubah isi website. Misalnya, halaman asli disisipi tautan berbahaya, pengunjung diarahkan ke halaman palsu, atau situs dimanfaatkan untuk menyebarkan perangkat lunak berbahaya.

Risiko lainnya adalah pemasangan backdoor, yakni mekanisme akses tersembunyi yang memungkinkan penyerang kembali masuk ke sistem. Jika hal ini terjadi, memasang pembaruan PHP saja belum tentu cukup untuk mengembalikan keamanan server.

Karena itu, pengelola perlu membedakan antara keberhasilan menutup kerentanan dan keberhasilan menangani insiden. Pembaruan mengatasi celah pada perangkat lunak, sedangkan dugaan penyusupan memerlukan pemeriksaan dan penanganan tambahan.

Website Bisa Tetap Berisiko Setelah Celah Ditambal

PHP telah menyediakan pembaruan keamanan untuk PHP2Shell. Versi perbaikan pada cabang yang masih didukung mencakup PHP 8.2.35, 8.3.36, 8.4.27, dan 8.5.12.

Pengelola perlu memastikan versi yang digunakan benar-benar sudah mendapatkan perbaikan. Untuk paket PHP yang dikelola penyedia sistem operasi atau layanan hosting, versi yang terlihat mungkin berbeda karena sebagian vendor menerapkan perbaikan keamanan tanpa mengubah nomor versi utama. Karena itu, status pembaruan perlu dikonfirmasi kepada penyedia terkait.

Sementara itu, versi PHP yang sudah tidak didukung memerlukan perhatian khusus. Pengelola perlu memeriksa apakah tersedia perbaikan dari vendor atau merencanakan peningkatan ke versi yang masih mendapat dukungan keamanan.

Namun, pemasangan pembaruan tidak otomatis menghapus file berbahaya, akun asing, atau akses tersembunyi yang mungkin sudah dibuat penyerang. Jika server diduga telah disusupi, pengelola perlu memeriksa log, file, akun, dan aktivitas sistem sebelum menyatakan layanan aman kembali.

Panduan dari Canadian Centre for Cyber Security juga menyarankan organisasi untuk memperbarui PHP yang terdampak, memprioritaskan sistem yang terhubung ke internet, serta memeriksa aktivitas mencurigakan setelah melakukan mitigasi. 

Tanda Website atau Server Mungkin Telah Disusupi

Tidak semua serangan meninggalkan gejala yang mudah terlihat. Meski demikian, pengelola dapat memeriksa sejumlah indikator yang patut diselidiki.

1. Muncul file yang tidak dikenal.

Periksa file PHP yang baru dibuat atau diubah tanpa alasan yang jelas, terutama pada direktori website yang seharusnya tidak digunakan untuk menyimpan kode yang dapat dijalankan. Pada WordPress, perhatian tambahan dapat diberikan pada direktori unggahan seperti wp-content/uploads.

2. Ada akun atau akses baru yang tidak dikenali.

Periksa akun administrator, kunci SSH, token akses, serta kredensial lain yang baru ditambahkan atau berubah tanpa persetujuan pengelola.

3. Aktivitas server berubah secara tidak wajar.

Lonjakan penggunaan CPU, lalu lintas data keluar, proses yang tidak biasa, atau aktivitas terjadwal yang tidak dikenal dapat menjadi petunjuk adanya masalah. Namun, setiap indikator perlu diperiksa lebih lanjut karena belum tentu menunjukkan serangan PHP2Shell.

4. Log menunjukkan aktivitas yang mencurigakan.

Simpan log server web, PHP, autentikasi, dan sistem sebelum melakukan perubahan besar. Catatan tersebut dapat membantu tim teknis menelusuri waktu kejadian dan menentukan apakah ada indikasi eksploitasi.

5. Website menampilkan perubahan yang tidak diharapkan.

Halaman asing, pengalihan ke situs lain, unduhan tanpa permintaan, atau konten yang berubah tanpa sepengetahuan pemilik perlu segera diperiksa.

Tidak ditemukannya indikator tersebut bukan jaminan bahwa server bersih. Sebagian aktivitas berbahaya dapat berlangsung tanpa meninggalkan file atau akun baru yang mudah dikenali.

Langkah Pengamanan yang Perlu Dilakukan Pengelola

Jika website menggunakan versi PHP yang terdampak, langkah utama adalah menerapkan pembaruan keamanan yang sesuai. Apabila pembaruan tidak dapat segera dilakukan, pengelola perlu berkonsultasi dengan penyedia hosting atau tim keamanan untuk membatasi paparan server ke internet sampai perbaikan tersedia.

Setelah pembaruan dipasang, pengelola sebaiknya melakukan langkah berikut:

• Periksa kemungkinan penyusupan. Tinjau log, file, akun, proses, dan koneksi keluar yang mencurigakan.

• Batasi akses sementara jika ditemukan indikasi serangan. Tim teknis dapat mengisolasi server terdampak untuk mengurangi risiko serangan lanjutan sambil mempertahankan bukti yang diperlukan.

• Ganti kredensial yang berpotensi bocor. Prioritaskan kata sandi administrator, kredensial database, kunci API, dan kunci akses lain yang dapat dijangkau dari server. Lakukan dari perangkat atau lingkungan yang dipercaya.

• Bersihkan sistem secara menyeluruh. Jangan hanya menghapus satu file asing. Periksa kemungkinan mekanisme akses tersembunyi dan pulihkan sistem dari cadangan yang diketahui bersih jika diperlukan.

• Pantau aktivitas setelah pemulihan. Lanjutkan pemantauan log dan perilaku server untuk mengetahui apakah aktivitas mencurigakan masih terjadi.

Firewall atau sistem penyaring lalu lintas dapat membantu mengurangi sebagian risiko, tetapi tidak menggantikan pembaruan perangkat lunak. Pengelola juga perlu menghindari tindakan yang menghapus log atau bukti penting sebelum pemeriksaan insiden dilakukan.

Apa yang Perlu Diperhatikan Pengunjung Website?

Pengunjung tidak perlu langsung menganggap setiap website yang tidak bisa diakses telah diretas. Sebagian pengelola mungkin sengaja mengaktifkan mode maintenance untuk memasang pembaruan darurat atau memeriksa keamanan server.

Meski demikian, pengguna sebaiknya berhati-hati jika website menampilkan konten yang tidak biasa, mengarahkan pengunjung ke halaman lain, menawarkan unduhan yang tidak diminta, atau meminta informasi login secara berulang.

Jika menemukan gejala tersebut, tinggalkan halaman dan jangan memasukkan kata sandi, data pembayaran, atau informasi pribadi. Jika telanjur memasukkan kredensial pada halaman yang dicurigai palsu, ubah kata sandi melalui situs resmi yang diakses secara langsung dan periksa aktivitas akun.

Pada akhirnya, PHP2Shell menjadi pengingat bahwa keamanan website tidak selesai setelah pembaruan perangkat lunak dipasang. Pengelola perlu memastikan server menggunakan versi yang telah diperbaiki sekaligus menyelidiki kemungkinan penyusupan sebelumnya agar data dan pengunjung tetap terlindungi.

 

Cek Berita dan Artikel yang lain di Harian Jogja, dan edisi cetak versi elektronik kami hadir di Epaper Harian Jogja.