Ancaman keamanan siber kembali menghantam ekosistem web global menyusul temuan celah krusial bernama PHP2Shell. Masalah utama dari kerentanan ini bukan sekadar tingkat keparahannya, melainkan fakta bahwa tambalan resmi dari pengembang inti hanya dirilis untuk versi PHP 8.2 hingga 8.5.
Kondisi tersebut meninggalkan sebagian besar server yang menghadap langsung ke internet pada versi lawas yang sudah kehilangan dukungan resmi. Berdasarkan data pemindaian Shodan yang dipublikasikan oleh Mallory pada 20 Oktober, tercatat ada sekitar 884.000 host yang mengiklankan versi PHP tidak didukung. Angka itu mencakup 59 persen dari total 1,5 juta host yang mempublikasikan versi mereka.
Skala Masalah dan Sebaran Versi Lawas di Internet
Celah jurang pemisah antara versi yang ditambal dan yang dibiarkan rentan ternyata sangat lebar. Perhitungan tersebut baru mencakup hitungan kasar host publik, belum termasuk sekitar 740.000 host lain yang sengaja menyembunyikan versi PHP mereka agar tidak mudah dipindai penyerang.
Analisis rinci dari CybelAngel memetakan sebaran host rentan tersebut ke dalam beberapa cabang versi. Terdapat sekitar 369.000 host masih berjalan di PHP 5.x, diikuti 329.000 host pada PHP 7.x, serta 186.000 host menggunakan PHP 8.0 dan 8.1. Jumlah ini berbanding dengan 612.000 host yang memakai versi 8.2 hingga 8.5, cabang yang kini sudah menerima perbaikan namun sempat tidak bertambalan saat pemindaian dilakukan.
Situasi di lapangan bisa jauh lebih kompleks mengingat lingkungan hosting bersama menempatkan banyak situs di balik satu alamat IP tunggal. Di sisi lain, laporan terpisah dari Palo Alto Networks mencatat ada lebih dari 22.6 juta instans yang berpotensi rentan terhadap eksploitasi serupa.
Kebijakan Pembaruan Cabang Lama dan Risiko Distorsi Versi
Tim pengembang PHP konsisten dengan kebijakan mereka untuk tidak merilis nomor versi baru bagi cabang yang sudah mencapai akhir masa pakai atau end-of-life. Mereka hanya menerbitkan dukungan minimal berupa penarikan kode sumber kembali atau source backports untuk versi 7.4, 8.0, dan 8.1 bagi administrator yang menyusun PHP secara mandiri dari kode sumber.
Sementara itu, tidak ada satu pun pembaruan yang dirilis untuk PHP 5.6, 7.3, atau versi yang lebih lama. Sebagai catatan waktu, PHP 8.1 resmi mencapai akhir masa pakai pada 31 Desember 2025, menyusul PHP 8.0 pada November 2023, dan PHP 7.4 pada November 2022.
Administrator sistem juga harus berhati-hati karena nomor versi di layar tidak selalu mencerminkan kondisi keamanan yang sebenarnya. Distributor Linux sering kali merilis tambalan keamanan di bawah string versi lama yang mereka kelola sendiri.
Sebagai contoh, Ubuntu 22.04 memberikan tambalan untuk paket PHP 8.1 melalui saluran keamanan normal mereka, sementara versi 7.4 pada Ubuntu 20.04 memerlukan langganan Ubuntu Pro agar tetap aman. Sebuah server yang melaporkan versi lawas bisa jadi sudah aman, sebaliknya server yang melaporkan versi hulu 8.1.34 bisa saja menyimpan celah terbuka jika belum diperbarui oleh pengelola server.
Langkah Mitigasi dan Rekomendasi untuk Administrator
Menghadapi risiko serangan yang masif, Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) mengeluarkan peringatan tegas. Organisasi atau perusahaan yang tidak dapat melakukan pembaruan, atau masih menjalankan PHP 8.1 dan versi sebelumnya yang tidak didukung, disarankan untuk mematikan sistem berbasis PHP tersebut hingga proses penambalan atau peningkatan selesai.
Solusi jangka panjang yang paling aman adalah migrasi total ke cabang yang masih didukung penuh. Versi 8.4 atau 8.5 menjadi target utama yang disarankan, mengingat dukungan keamanan untuk PHP 8.2 dijadwalkan berakhir pada 31 Desember 2026.
Pakar keamanan dari Forrester, Madelein van der Hout, mengingatkan bahwa pemeriksaan hanya pada situs web utama sering kali melewatkan komponen rantai pasok dan aplikasi terkait. Ia juga menekankan bahwa proses penambalan celah tidak otomatis menyingkirkan penyerang yang mungkin sudah berhasil menyusup masuk ke dalam sistem sebelumnya.
