PHP2Shell: Celah Kritis di Mesin PHP Sudah Ditambal, Website Anda Sudah Ikut Aman?

Bayangkan pondasi rumah Anda retak, padahal cat dan perabotnya baru semua. Begitulah gambaran kabar keamanan yang ramai sejak 20 Oktober 2026: dua celah kritis ditemukan di PHP, bahasa pemrograman yang menjalankan jutaan website, termasuk WordPress, Joomla, dan Laravel. Keduanya dikenal dengan nama PHP2Shell.

Kabar baiknya, perbaikan sudah dirilis pada 21 Oktober 2026, sekitar pukul 21.00 WIB. Kabar kurang baiknya, perbaikan itu tidak otomatis sampai ke website Anda. Server atau penyedia hosting-lah yang harus memasangnya, dan banyak yang belum. Mari kita bahas pelan-pelan: apa masalahnya, siapa yang terdampak, dan apa yang bisa Anda lakukan hari ini, baik sebagai pemilik website biasa maupun pengelola server sendiri.

DAFTAR ISI

Apa Itu Celah Keamanan PHP2Shell?

PHP2Shell adalah nama untuk dua celah kritis di inti PHP, yaitu CVE-2026-109618 dan CVE-2026-109619, yang memungkinkan penyerang menjalankan perintah di server tanpa perlu login. Keduanya bernilai 9,2 dari 10 pada skala CVSS v4.0 (kategori Critical). Skor di sumber lain bisa berbeda karena versi skala yang dipakai. Yang paling penting: celahnya ada di PHP itu sendiri, bukan di plugin, tema, atau kode aplikasi Anda.

Analoginya begini. Pada CVE-2026-109618, bayangkan pelayan restoran yang kehabisan nampan saat menyiapkan pesanan. Ia meninggalkan pesanan setengah jadi, lalu petugas kebersihan menganggapnya sudah rapi dan memakainya. Pada CVE-2026-109619, catatan pesanan pelanggan sebelumnya masih menempel di meja dan terbaca oleh pelanggan berikutnya. Dalam kondisi tertentu, sisa catatan itu bisa berupa kata sandi, token, atau kunci milik permintaan lain. Dari keduanya, celah PHP2Shell CVE-2026-109618 lebih dulu dilaporkan berhasil direproduksi oleh watchTowr sebelum tambalan keluar.

Menurut kronologi dari Sansec, peneliti Calif melapor ke tim PHP pada 11 Agustus, disusul Wiz Research pada 24 Agustus. Rincian celah bocor pada 20 Oktober, dua hari sebelum jadwal pengungkapan 22 Oktober, sehingga tim PHP memajukan rilis tambalan ke 21 Oktober dan mengumumkannya bersama Calif, Wiz, dan OpenAI.

Seberapa Genting Situasinya?

Cukup genting untuk tidak ditunda, tetapi tidak perlu panik. Inilah gambaran yang dilaporkan para peneliti:

• Cloudflare melaporkan serangan awal sekitar pukul 07.43 UTC pada 21 Oktober, lebih dari enam jam sebelum tambalan keluar (lihat kronologi Sansec).
• watchTowr melaporkan melihat eksploitasi lewat jaringan honeypot-nya sejak 21 Oktober, seperti dirangkum dalam FAQ watchTowr.
• Arctic Wolf mengingatkan agar kita berhati-hati: sebagian permintaan bertema PHP2Shell yang mereka amati ternyata memakai teknik lama, sehingga belum tentu membuktikan eksploitasi kedua celah ini (analisis Arctic Wolf).
• Pada laporan terakhir yang kami periksa (23 Oktober), kedua celah belum masuk katalog Known Exploited Vulnerabilities milik CISA. Status ini bisa berubah, jadi cek sendiri kabar terbarunya.

Kesimpulan praktisnya sederhana: anggap berbahaya, tambal sekarang. Para penyerang otomatis tidak peduli apakah website Anda besar atau kecil.

Mengapa Ini Penting bagi Website di Indonesia?

Pertama, PHP ada di mana-mana. Sekitar 69 persen situs web di dunia memakai PHP, menurut data yang dikutip ITdaily. Di sini, itu berarti website UMKM, toko online, sekolah, dan instansi yang dibangun dengan WordPress, Joomla, Laravel, atau CodeIgniter. Bila Anda masih menimbang platform, tulisan perbandingan CMS terbaik tahun 2026 dan perbandingan Laravel dan CodeIgniter untuk proyek web membantu Anda melihat mana saja yang berjalan di atas PHP.

Kedua, di shared hosting, versi PHP ada di tangan penyedia hosting, bukan di tangan Anda. ITdaily juga menegaskan bahwa pelanggan shared hosting harus menunggu atau meminta penyedianya memasang pembaruan.

Ketiga, banyak server masih memakai PHP lawas. Mallory menghitung sekitar 884.000 host yang terhubung ke internet dan mengaku memakai PHP 8.1 atau lebih lama pada 20 Oktober, kira-kira 59 persen dari host yang menampilkan versinya (laporan TuxCare). Tidak sulit membayangkan banyak di antaranya ada di sekitar kita, karena situs yang "jalan terus" jarang disentuh.

Keempat, soal tanggung jawab. UU Pelindungan Data Pribadi Nomor 27 Tahun 2022 mewajibkan pengendali data menjaga keamanan data pribadi, dengan sanksi administratif yang bisa mencapai dua persen dari pendapatan tahunan. Toko online atau lembaga yang datanya bocor karena server tak ditambal akan sulit berdalih. Dan serangan seperti ini hampir selalu otomatis, bukan aksi peretas berkerudung seperti di film. Anda bisa membaca mitos dan fakta tentang hacking untuk melihat bedanya.

Apakah Hosting Saya Terdampak Celah PHP?

Jawaban singkatnya: ya, jika website Anda berjalan di PHP dan versinya di bawah rilis perbaikan. Menurut laporan yang merujuk pada tim PHP, semua cara menjalankan PHP untuk web berisiko: PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Risiko dinilai paling tinggi pada Apache mod_php, karena serangan bisa berhasil sebelum kode aplikasi Anda sempat berjalan.

Setiap website WordPress terkena celah PHP selama server di bawahnya memakai versi yang belum ditambal. Memperbarui WordPress, tema, atau plugin saja tidak cukup, karena celahnya ada di mesin PHP.

Versi PHP yang Aman 2026: Tabel Perbaikan

Tanggal akhir dukungan bisa Anda pantau di endoflife.date/php. Rilis perbaikan resmi dapat dilihat langsung di halaman rilis PHP 8.5.12 di GitHub, dan tim PHP menyatakan tidak ada mitigasi yang lengkap, sehingga memperbarui adalah satu-satunya pilihan aman.

Satu catatan penting: banyak distribusi Linux memperbaiki PHP tanpa menaikkan nomor versinya. Jadi nomor versi yang tampak lebih rendah belum tentu berarti belum ditambal. Cek changelog paketnya, seperti dijelaskan di bagian server di bawah.

• Domain, Hosting, Hingga VPS Murah untuk Proyek Anda!
• Tingkatkan SEO Website Dengan Ribuan Weblink Bebagai Topik!
• Sewa Domain, Hosting, Hingga VPS untuk Proyek Digital Anda!
• Sewa Domain, Hosting, dan VPS untuk Proyek Digital Anda!
• Nikmati fitur lengkap dari aplikasi favorit kamu tanpa ribet. Langganan aman dan cepat lewat link ini
• Dapatkan Akun Bersama Berbagai Aplikasi Web Populer Dengan Harga Murah!

Promo Afiliasi

Langkah untuk Pemilik Website di Shared Hosting

Bagian ini untuk Anda yang tidak mengelola server sendiri. Tenang, tidak perlu menyentuh baris perintah.

1. Cek versi PHP Anda. Cara cek versi PHP di hosting paling mudah lewat dashboard CMS. Di WordPress, buka Peralatan, Kesehatan Situs, tab Info, lalu bagian Server. Di Joomla, buka Sistem lalu Informasi Sistem. Di cPanel, lihat MultiPHP Manager.
2. Tanyakan langsung ke penyedia hosting. Kirim pesan ini ke dukungan pelanggan: "Apakah PHP di server saya sudah ditambal untuk CVE-2026-109618 dan CVE-2026-109619? Mohon konfirmasi versi dan tanggal pembaruannya." Cara ini juga menjawab pertanyaan apakah hosting saya terdampak celah PHP.
3. Buat cadangan. Simpan salinan file dan database sebelum mengubah apa pun. Kalau Anda belum yakin mengelola website sendiri, belajar mengelola website WordPress dan Joomla bisa menjadi bekal yang berguna.
4. Perbarui PHP lewat panel. Cara update PHP di cPanel: buka MultiPHP Manager, pilih domain, pilih PHP 8.3 atau 8.4, lalu Apply. Cabang 8.2 memang sudah punya tambalan, tetapi dukungannya berakhir akhir tahun ini. Cobalah di salinan situs dulu, karena plugin atau tema lawas kadang tidak cocok dengan PHP baru. cPanel dan Plesk sudah menanggapi celah ini dengan pembaruan, seperti dirangkum Greenbone.
5. Pastikan benar-benar sudah ditambal. Itulah cara cek PHP sudah ditambal atau belum: nomor versinya minimal 8.2.35, 8.3.36, 8.4.27, atau 8.5.12, atau penyedia hosting mengonfirmasi secara tertulis bahwa tambalan sudah terpasang.
6. Tambah lapisan pengaman. Firewall website membantu, tetapi bukan pengganti tambalan. Untuk WordPress, kenali RSFirewall untuk menjaga website WordPress. Untuk Joomla, ada satpam digital untuk website Joomla.
7. Bila sempat tertinggal beberapa hari, bersihkan jejaknya. Ganti kata sandi panel, database, dan kunci API. Periksa akun admin yang tak dikenal dan file baru yang mencurigakan. Panduan checklist keamanan online 15 menit bisa dipakai sebagai daftar periksa cepat.

Panduan untuk Admin VPS atau Server Sendiri

Bagian ini untuk Anda yang memegang root. Mari mulai dari memeriksa.

Cek versi dan catatan perbaikan paket. Jalankan php -v dan, bila memakai FPM, php-fpm -v. Karena paket distro bisa diperbaiki tanpa mengganti nomor versi, periksa changelog-nya:

# Debian / Ubuntu
apt changelog php8.3-fpm | grep -i "CVE-2026-109618"

# keluarga RHEL
rpm -q --changelog php-fpm | grep "CVE-2026-109618"

Cara menambal celah PHP di VPS. Perbarui paket sesuai cabang yang Anda pakai, lalu restart layanannya. Restart ini bagian dari perbaikan, sebab proses lama tetap melayani permintaan dengan kode yang rentan sampai diganti.

# Debian / Ubuntu (sesuaikan cabang)
apt update && apt install --only-upgrade php8.4-fpm php8.4-cli

# keluarga RHEL
dnf upgrade php-fpm php-cli

# lalu restart semua worker
systemctl restart php8.4-fpm
# bila memakai Apache dengan mod_php
systemctl restart apache2

Untuk kontainer, tarik ulang image PHP resmi ke tag yang sudah memuat rilis perbaikan, lalu buat ulang kontainernya. Lalu pastikan versinya sama dengan atau di atas tabel perbaikan tadi.

Mitigasi Sementara Celah PHP2Shell (Bila Belum Bisa Menambal)

Bila belum bisa menambal hari ini, ada mitigasi sementara celah PHP2Shell yang dianjurkan para peneliti. Ingat, ini hanya penahan sementara dan tidak lengkap:

; php.ini atau pool PHP-FPM
session.upload_progress.enabled = 0
memory_limit = -1
; khusus PHP 8.5
fatal_error_backtraces = 0

; contoh di pool PHP-FPM agar tidak bisa ditimpa aplikasi
php_admin_flag[session.upload_progress.enabled] = off
php_admin_value[memory_limit] = -1

Beberapa catatan agar mitigasi ini tidak menjadi masalah baru:

• Terapkan lewat php.ini atau konfigurasi pool, bukan lewat ini_set() atau .user.ini, lalu restart semua worker. Pengaturan upload progress harus aktif sebelum PHP memproses permintaan (penjelasan ServiceNow).
• memory_limit = -1 membuat satu permintaan bisa memakai seluruh memori server. Pasangkan dengan batas memori per proses atau kontainer, dan jangan memakai RLIMIT_AS atau RLIMIT_DATA sebagai penggantinya (The Hacker News).
• Batasi post_max_size dan ukuran permintaan di web server. Bila aplikasi tidak menerima unggahan, tolak permintaan multipart/form-data di web server atau WAF (saran Sophos).
• Setelah tambalan terpasang, kembalikan batas memori yang wajar. Pengaturan upload progress sebaiknya tetap mati bila tidak dipakai.

Cari tanda-tanda penyusupan. Periksa log web atau WAF untuk permintaan multipart/form-data ke alamat yang biasanya tidak menerima unggahan, serta permintaan yang membawa kolom PHP_SESSION_UPLOAD_PROGRESS. Banyak log CDN tidak mencatat isi permintaan, jadi log WAF atau aplikasi sering diperlukan (Sophos). Untuk server yang sempat belum ditambal setelah 20 Oktober, pertimbangkan memutar ulang kata sandi dan kunci yang tersimpan di sana.

Jangan lupakan server "kecil". Aplikasi lokal juga memakai PHP. Bila Anda menjalankan WAMP Server di Windows kantor atau server rumahan yang Anda kelola sendiri, perbarui PHP-nya juga, terutama bila bisa diakses dari jaringan lain.

PHP 8.1 Sudah End of Life: Apa Pilihan Anda?

PHP 8.1 sudah end of life sejak 31 Desember 2025, PHP 8.0 sejak November 2023, dan PHP 7.4 sejak November 2022. Tim PHP tidak merilis versi resmi baru untuk cabang-cabang itu. Sebagai gantinya, tim PHP menyediakan backport sumber minimal untuk 7.4, 8.0, dan 8.1 bagi yang membangun dari sumber, dan sejumlah vendor sudah merilis paket tambalan, seperti dirangkum Greenbone.

Pilihannya, berurutan dari yang terbaik:

1. Pindah ke cabang yang didukung, yaitu 8.3 atau 8.4, setelah menguji aplikasi.
2. Pakai paket distro atau vendor LTS yang sudah memuat tambalan, lalu pastikan lewat changelog.
3. Batasi akses dari internet untuk sistem yang benar-benar belum bisa dipindah. CISA menyarankan sistem berbasis PHP 8.1 atau lebih lama diambil offline sampai ditambal atau diperbarui.

Tanya Jawab Singkat tentang PHP2Shell

Apa itu PHP2Shell?

PHP2Shell adalah nama untuk dua celah kritis di inti PHP, CVE-2026-109618 dan CVE-2026-109619, yang memungkinkan eksekusi kode tanpa login. Perbaikannya dirilis pada 21 Oktober 2026.

Apakah website WordPress dan Joomla saya terdampak?

Ya, jika PHP di server Anda belum ditambal. WordPress, Joomla, Laravel, dan CodeIgniter semuanya berjalan di atas PHP, sehingga yang menentukan adalah versi PHP di server, bukan CMS-nya.

Cukupkah memperbarui plugin dan tema?

Tidak. Celahnya ada di mesin PHP, jadi yang harus diperbarui adalah PHP-nya. Pembaruan plugin tetap perlu, tetapi bukan pengganti tambalan PHP.

Versi PHP berapa yang sudah aman?

PHP 8.2.35, 8.3.36, 8.4.27, dan 8.5.12 atau yang lebih baru. Untuk cabang yang lebih lama, andalkan paket distro atau vendor yang sudah menambal, atau pindah cabang.

Bagaimana bila hosting saya belum menambal?

Desak penyedia lewat pesan tertulis. Bila tetap tertunda, pertimbangkan pindah hosting atau naik ke VPS yang bisa Anda kendalikan. Mitigasi di server hanya sementara dan tidak lengkap.

Apakah perlu mengganti kata sandi?

Bila server Anda sempat berjalan tanpa tambalan setelah 20 Oktober, mengganti kata sandi panel, database, dan kunci API adalah langkah hati-hati yang masuk akal.

Bagaimana mengetahui website sudah diserang?

Cari permintaan multipart/form-data ke alamat yang tidak biasa menerima unggahan, akun admin yang tidak dikenal, dan file baru yang mencurigakan. Serangan ini tidak selalu meninggalkan jejak yang jelas di log biasa.

Tambal Dulu, Rapikan Kemudian

PHP2Shell mengingatkan kita bahwa keamanan bukan hanya soal kata sandi yang kuat. Mesin di bawah website pun perlu dirawat. Langkahnya tidak rumit: cek versi, tanyakan ke hosting, perbarui, pastikan, lalu pantau. Kerjakan hari ini selagi masih sempat. Untuk kebiasaan dasar yang menjaga Anda tetap aman, kebiasaan keamanan online yang layak diketahui adalah bacaan yang pas sebagai pelengkap.

Jangan Tunggu Website Anda Jadi Korban Berikutnya

Setiap hari PHP belum ditambal, server Anda terbuka bagi pemindai otomatis. Akibatnya bisa pahit: toko online ditanami skrip pencuri data kartu, data pelanggan bocor, mesin pencari menandai situs Anda berbahaya, dan Anda harus menjelaskannya kepada pelanggan. Bayangkan sebaliknya: tambalan terpasang, website berjalan normal, dan Anda tenang fokus pada bisnis. Melalui konsultasi IT untuk keamanan website, kami membantu memeriksa versi PHP, memastikan perbaikan benar-benar aktif, dan menata pengamanan hosting atau VPS Anda dengan bahasa yang mudah dipahami. Hubungi kami sekarang, sebelum penyerang mendahului Anda.

Rizal Consulting: Jasa Konsultasi & Support IT

• 📧 Alamat email ini dilindungi dari robot spam. Anda memerlukan Javascript yang aktif untuk melihatnya.
• 📱 0813-8229-7207
• 🕐Sabtu – Kamis, 08.00 – 17.30 WIB
• 🌏 Layanan kami tersedia online untuk seluruh Indonesia

Kami dapat memperoleh komisi ketika Anda bertransaksi di tautan yang ditampilkan di situs ini. Ikuti saluran kami di Whatsapp untuk info artikel terbaru. Pertanyaan bisnis atau penempatan konten promosi: 0813-8229-7207 | Alamat email ini dilindungi dari robot spam. Anda memerlukan Javascript yang aktif untuk melihatnya..