PHP2Shell, Celah Kritis PHP yang Ancam Jutaan Website, Ini yang Harus Dilakukan

Kalau kamu punya website, entah blog pribadi, toko online UMKM, atau situs kantor, ada kabar penting yang nggak boleh dilewatkan minggu ini. Dua celah keamanan kritis bernama PHP2Shell ditemukan di PHP, bahasa pemrograman yang menjadi “mesin” bagi sebagian besar website di internet, termasuk WordPress.

Celah ini tercatat sebagai CVE-2026-109618 dan CVE-2026-109619 dengan skor keparahan 9,2 dari 10. Lewat celah ini, peretas berpotensi menjalankan perintah di server website tanpa perlu login sama sekali. PHP Foundation sudah merilis patch darurat pada 21 Oktober 2026 pukul 14.00 UTC atau 21.00 WIB. Artinya, sekarang adalah waktunya update.

Apa itu PHP2Shell?

Sebelum ke celahnya, kenalan dulu sama PHP. PHP adalah bahasa pemrograman yang bekerja di balik layar server untuk “merakit” halaman website setiap kali kamu membukanya. WordPress, Joomla, Drupal, sampai banyak aplikasi web buatan sendiri berjalan di atas PHP. Menurut laporan BleepingComputer, PHP dipakai oleh sekitar 75 sampai 80 persen website di dunia.

PHP2Shell adalah sebutan untuk dua celah yang memungkinkan remote code execution (RCE), yaitu kondisi ketika penyerang bisa menjalankan perintah di server dari jarak jauh. Yang bikin celah ini tergolong kritis, serangannya bisa dilakukan tanpa autentikasi. Peretas nggak perlu punya akun atau kata sandi, cukup mengirim permintaan khusus ke website yang rentan.

Secara sederhana, keduanya memanfaatkan momen ketika PHP gagal “bersih-bersih” memori dengan benar setelah sebuah permintaan berakhir secara nggak normal. Celah ini ditemukan oleh tim peneliti keamanan dari Calif, Wiz, dan OpenAI.

Siapa saja yang terdampak?

Celah ini menyasar instalasi PHP yang melayani permintaan web, baik yang memakai PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, maupun LiteSpeed. Dengan kata lain, hampir semua server website berbasis PHP, termasuk yang ada di layanan web hosting murah sekalipun.

Soal versi, kabar awal yang beredar menyebut semua versi dari PHP 5.4 sampai 8.5 terdampak. Namun, menurut The Hacker News, rentang versi ini belum dikonfirmasi lewat pengumuman resmi. Yang jelas, hanya PHP 8.2 sampai 8.5 yang masih mendapat patch resmi. Versi 8.1 ke bawah sudah berstatus end of life, jadi pemiliknya perlu segera migrasi.

Menurut BleepingComputer, Cloudflare sudah melihat upaya serangan awal yang menyasar kedua celah ini, bahkan sebelum patch dirilis. Pusat keamanan siber Inggris (NCSC) pun meminta organisasi untuk segera menambal sistemnya, atau mematikan sementara sistem yang belum bisa ditambal.

Versi PHP yang sudah aman dari PHP2Shell

Berikut versi PHP yang sudah mendapat patch. Pastikan website-mu memakai versi ini atau yang lebih baru:

• PHP 8.58.5.12✅ Sudah ditambal
• PHP 8.48.4.27✅ Sudah ditambal
• PHP 8.38.3.36✅ Sudah ditambal
• PHP 8.28.2.35✅ Sudah ditambal
• PHP 8.1 ke bawahEOL⚠️ Tidak ada patch resmi, segera upgrade

Untuk PHP 7.4, 8.0, dan 8.1, PHP hanya menyediakan perbaikan minimal dalam bentuk kode sumber untuk yang biasa meng-compile sendiri. Jalur paling aman tetap upgrade ke versi yang masih didukung.

Yang harus dilakukan pemilik website sekarang

Kalau kamu punya website, jangan panik, tapi jangan ditunda juga. Ikuti langkah berikut untuk menjaga keamanan website-mu:

1. 1Cek versi PHP website-muDi WordPress, buka Alat → Kesehatan Situs → Info → Server. Di cPanel, cari menu Select PHP Version atau MultiPHP Manager.
2. 2Update ke versi yang sudah ditambalPilih PHP 8.2.35 atau yang lebih baru di panel hosting. Sebelumnya, pastikan tema dan plugin kompatibel.
3. 3Hubungi penyedia web hostingKalau pakai shared hosting, update PHP di server biasanya jadi tanggung jawab penyedia. Tanyakan apakah server mereka sudah ditambal.
4. 4Pengelola VPS: update lewat paket resmiPatch sudah dikirim ke distro Linux dan vendor LTS. Jalankan update paket PHP, lalu restart PHP-FPM atau web server.
5. 5Pasang lapisan perlindungan sementaraCloudflare sudah menyebar aturan WAF untuk pola serangan yang diketahui, termasuk untuk pengguna gratis. Tapi ini cuma pertahanan sementara, bukan pengganti patch.
6. 6Cek tanda-tanda disusupiPerhatikan file asing di folder website, akun admin baru, cron job yang nggak dikenal, atau proses PHP yang menjalankan perintah aneh. Kalau ada, isolasi server dan simpan log-nya.

Kalau kamu cuma pengguna internet biasa?

Kabar baiknya, kamu nggak perlu meng-update apa pun di HP atau laptop karena celah ini ada di sisi server. Namun, website yang berhasil dibobol bisa disalahgunakan untuk menyebar malware atau halaman phishing. Jadi, tetap waspada kalau ada website langganan yang tiba-tiba tampil aneh, mengarahkan ke situs lain, atau meminta data login dan OTP.

Pengingat buat website-website kecil di Indonesia

Di Indonesia, banyak website UMKM, sekolah, sampai instansi yang dibuat sekali lalu dibiarkan bertahun-tahun tanpa perawatan. Nggak sedikit yang masih jalan di PHP versi lama karena “yang penting masih bisa dibuka”. Kasus PHP2Shell jadi pengingat bahwa keamanan website bukan urusan sekali beres. Update rutin, backup berkala, dan memilih web hosting yang aktif menambal servernya adalah investasi kecil dibanding kerugian kalau website sampai dibobol.