PHP2Shell: cara kami mengamankan Mikhmon dan kenapa akses sempat terasa lambat

Kalau kemarin Mikhmon terasa lebih lambat

Kalau kamu merasa Mikhmon lebih lambat pada 22 Oktober, ada penjelasan di baliknya. Saat menangani celah keamanan bernama PHP2Shell, kami memakai Cloudflare WAF sementara untuk menambah pemeriksaan sebelum permintaan masuk ke aplikasi. Sebagian pengguna merasakan akses yang lebih lambat selama perlindungan itu dipakai.

Kami paham ini mengganggu, apalagi kalau kamu sedang mengurus jaringan atau mencetak voucher. Lewat tulisan ini, kami ingin menjelaskan masalahnya dan apa yang kami ubah, tanpa mengharuskan kamu paham pemrograman.

Celahnya ada di PHP, perangkat lunak yang menjalankan aplikasi

PHP adalah perangkat lunak di server yang menjalankan sebagian kode Mikhmon. Saat kamu membuka halaman, PHP ikut mengolah permintaan itu sebelum hasilnya tampil di browser.

Pada 21 Oktober 2026, tim PHP merilis perbaikan untuk dua celah kritis, CVE-2026-109618 dan CVE-2026-109619. Keduanya dikenal sebagai PHP2Shell. Dalam kondisi tertentu, penyerang bisa membaca informasi sensitif dari memori atau menjalankan kode sendiri pada server yang terdampak, bahkan tanpa login.

Bayangkan seorang petugas loket yang melayani pelanggan bergantian. Setelah selesai, catatan pekerjaan sebelumnya perlu dibereskan sebelum pelanggan berikutnya dilayani. PHP2Shell melibatkan kesalahan saat menangani kegagalan dan membersihkan data permintaan. Sisa keadaan dari satu permintaan bisa ikut memengaruhi permintaan berikutnya.

Masalahnya ada di PHP itu sendiri. Jadi, aplikasi yang kodenya ditulis dengan hati-hati pun tetap perlu memperbarui PHP yang menjalankannya.

• Pengumuman keamanan resmi PHP, 21 Oktober 2026
• Penjelasan PHP2Shell dari tim peneliti

Perlindungan sementara dan dampaknya ke akses

WAF adalah singkatan dari web application firewall. Tugasnya memeriksa lalu lintas yang menuju aplikasi dan menahan permintaan yang cocok dengan pola mencurigakan. Cloudflare merilis aturan pemblokiran darurat pada 21 Oktober untuk membantu menghadapi ancaman ini.

Kami memakai Cloudflare WAF sebagai perlindungan sementara saat menangani masalah ini. Pemeriksaan tambahan bisa membuat akses kurang mulus. Kalau sebuah aturan meminta verifikasi browser, halaman harus menunggu pemeriksaan itu selesai. Pengguna yang terkena pemeriksaan semacam ini bisa merasakan jeda yang berbeda dari pengguna lain.

Pengalaman akses yang lebih lambat itu perlu kami jelaskan. Kami tidak punya angka pengukuran di tulisan ini untuk menyatakan berapa besar pengaruh WAF terhadap setiap koneksi.

WAF membantu menyaring serangan yang dikenali. Perbaikan celah di dalam PHP tetap membutuhkan pembaruan PHP. Karena itu, pekerjaan kami berlanjut ke perangkat lunak yang menjalankan Mikhmon.

• Aturan darurat Cloudflare WAF, 21 Oktober 2026
• Cara pemeriksaan browser Cloudflare bekerja

Yang kami perbarui pada 22 Oktober

Kami memperbarui PHP yang menjalankan Mikhmon v3 ke versi 8.5.12, salah satu versi yang sudah menutup kedua celah tersebut. PHP pada layanan terpisah untuk merender voucher juga ikut diperbarui. Jadi, pembaruannya mencakup kedua tempat PHP dipakai untuk pekerjaan itu.

Kami juga menonaktifkan fitur pencatatan progres unggahan pada sesi PHP. Fitur ini terlibat dalam jalur serangan yang sudah dikonfirmasi. Langkah tambahan ini mendampingi pembaruan ke versi yang sudah ditambal.

Pindah versi PHP juga perlu penyesuaian pada kode Mikhmon lama. Kami memperbarui cara aplikasi membaca respons dari backend dan menambahkan pemeriksaan untuk respons berhasil, kegagalan layanan, serta koneksi gagal yang berisiko terbaca memakai status respons sebelumnya.

Pengolahan password router pada kode lama ikut disesuaikan agar tidak memunculkan peringatan baru di PHP 8.5, dengan hasil pengolahan yang tetap sama. Pesan peringatan server sekarang masuk ke log server, sehingga tidak menyela halaman pelanggan. Menyembunyikan peringatan ini adalah perapian terpisah. Penambal PHP2Shell tetap pembaruan PHP-nya.

Pengaman yang sudah ada sebelum PHP2Shell diumumkan

Pada 14 Oktober, sebelum pengumuman PHP2Shell, kami sudah memperketat lingkungan PHP bersama dengan asumsi bahwa suatu saat penyerang mungkin berhasil menjalankan kode di dalamnya.

PHP tidak memegang kredensial database, penyimpanan sesi, atau penyimpanan file kami. Untuk operasi yang diperlukan, PHP meminta bantuan backend terpisah. Token akses yang diberikan ke PHP hanya berlaku selama permintaan asalnya masih ditangani. Begitu permintaan itu selesai, backend menolak token tersebut.

Anggap saja seperti kartu akses sementara yang berhenti berlaku setelah pekerjaan yang ditugaskan selesai. Token yang sempat terlihat di lingkungan PHP tidak bisa disimpan untuk dipakai lagi setelah permintaan asalnya berakhir.

Hak akses proses PHP dan jalur komunikasinya dengan web server juga dibatasi. Pengaman ini membatasi dampak jika PHP ditembus. Namun, karena beberapa pelanggan memakai lingkungan PHP yang sama, permintaan yang sedang berlangsung tetap bisa terdampak oleh kompromi di dalamnya. Itu sebabnya pembaruan PHP tetap harus dilakukan.

Apa yang perlu kamu lakukan?

Kalau kamu memakai layanan Mikhmon Pro yang kami kelola, pembaruan PHP ini kami tangani di server. Kamu tidak perlu memasang PHP di HP atau laptop. Kami juga menambahkan pemberitahuan di panel pelanggan supaya perubahan ini bisa dilihat langsung dari akunmu.

Kalau kamu menjalankan instalasi Mikhmon sendiri di server lain, PHP di server itu perlu diperbarui secara terpisah. Pembaruan pada layanan kami tidak ikut mengubah server milikmu.

Buat kamu yang sempat menunggu lebih lama saat membuka Mikhmon, maaf atas ketidaknyamanannya. Kami ingin kamu tahu apa yang kami tangani dan apa yang berubah pada layanan yang kamu pakai sehari-hari.