Dua celah keamanan kritis yang dijuluki PHP2Shell membuat jutaan website berbasis PHP bisa diambil alih tanpa perlu login. Patch darurat dirilis 21 Oktober 2026, dan pemilik website, termasuk toko online dan situs usaha kecil, perlu memastikan servernya sudah diperbarui.
Apa itu PHP2Shell
PHP adalah bahasa pemrograman yang menjalankan sebagian besar website di dunia, termasuk yang dibangun dengan WordPress, WooCommerce, dan Laravel. PHP2Shell adalah sebutan untuk dua celah di mesin PHP itu sendiri, yaitu CVE-2026-109618 dan CVE-2026-109619.
Keduanya memungkinkan penyerang menjalankan kode di server dari jarak jauh tanpa perlu login, menurut BleepingComputer. Celah ini berasal dari cara PHP menangani memori ketika sebuah permintaan berakhir tidak normal. Keduanya diberi skor keparahan 9,2 dari 10.
Celah ini ditemukan peneliti dari Calif, Wiz, dan OpenAI. Karena letaknya di mesin PHP, aplikasi yang kodenya sendiri tidak bermasalah tetap bisa ikut terdampak.
Siapa yang terdampak
Tim PHP menyebut semua instalasi PHP yang melayani permintaan web berisiko, termasuk PHP-FPM, Apache dengan modphp, php-cgi, FrankenPHP, dan LiteSpeed. Risiko tertinggi ada pada modphp, karena serangan bisa terjadi sebelum kode aplikasi berjalan.
Skalanya besar. Palo Alto Networks mengidentifikasi lebih dari 22,6 juta instans yang berpotensi rentan, menurut TechTarget. Wiz menyebut hampir semua versi PHP terdampak setidaknya satu dari kedua celah ini.
Ancamannya juga nyata. CTO Cloudflare menyebut perusahaannya melihat serangan awal yang menyasar celah ini bahkan sebelum patch dirilis, menurut BleepingComputer. Lembaga keamanan siber Inggris, NCSC, meminta organisasi segera memperbarui atau memutus sistem yang terdampak dari internet.
Cara cek versi PHP website Anda
Di panel hosting. Sebagian besar penyedia hosting di Indonesia memakai panel seperti cPanel, hPanel, atau Plesk. Cari menu bernama "PHP Version", "Select PHP Version", atau "PHP Configuration". Versi yang aktif biasanya tertulis di sana.
Di dasbor WordPress. Buka menu Alat, lalu Kesehatan Situs, lalu tab Info, dan lihat bagian Server. Versi PHP tercantum di bagian tersebut.
Bandingkan dengan versi aman.
| Cabang PHP | Versi aman minimal | Status |
|---|---|---|
| 8.5 | 8.5.12 | Didukung |
| 8.4 | 8.4.27 | Didukung |
| 8.3 | 8.3.36 | Didukung |
| 8.2 | 8.2.35 | Didukung |
| 8.1 dan lebih lama | Tidak ada pembaruan resmi | Segera tingkatkan |
Angka di belakang titik kedua penting. PHP 8.3.30, misalnya, masih rentan meski cabangnya sama dengan 8.3.36.
Langkah pengamanan sekarang
- Perbarui PHP. Pilih versi aman terbaru di panel hosting. Bila memakai VPS atau server sendiri, perbarui lewat manajer paket sistem operasi, lalu mulai ulang layanan PHP dan web server.
- Hubungi penyedia hosting. Pada hosting bersama, penyedia yang memasang patch di server. Tanyakan apakah versi PHP yang Anda pakai sudah menerima perbaikan.
- Tingkatkan versi lama. Bila website masih memakai PHP 8.1, 8.0, atau 7.x, rencanakan peningkatan ke 8.2 atau lebih baru. Uji dulu di salinan website bila memungkinkan, karena plugin lama bisa tidak kompatibel.
- Perbarui aplikasi dan plugin. Pastikan WordPress, tema, dan plugin juga versi terbaru, agar tidak ada celah lain yang terbuka.
- Ganti kredensial. Setelah patch, ganti kata sandi admin website, database, dan akun hosting. Kunci API, misalnya untuk pembayaran atau pengiriman, sebaiknya juga dirotasi.
Pengelola server yang paham konfigurasi juga bisa menerapkan mitigasi sementara yang disarankan tim PHP, seperti membatasi ukuran unggahan dan menonaktifkan fitur pelacakan unggahan sesi, sambil menunggu jadwal pembaruan.
Bila pembaruan tidak bisa langsung dilakukan, sebagian layanan keamanan menyediakan perlindungan sementara di depan website. Namun para peneliti menegaskan cara ini tidak sepenuhnya menutup celah, sehingga patch resmi tetap satu-satunya solusi permanen.
Risiko dan tanda website sudah disusupi
Patch menutup celah, tetapi tidak menghapus akses penyerang yang mungkin sudah masuk sebelumnya. TechTarget menyebut belum ada indikator penyusupan resmi, sehingga pemeriksaan bergantung pada pengamatan perilaku. Beberapa tanda yang perlu diwaspadai:
- Muncul akun admin baru yang tidak Anda buat.
- Ada file PHP asing di folder unggahan atau folder utama website.
- Website mengalihkan pengunjung ke situs judi, obat, atau penipuan.
- Pengunjung atau mesin pencari memberi peringatan situs berbahaya.
- Lonjakan pemakaian CPU atau lalu lintas keluar yang tidak wajar.
Bila menemukan tanda-tanda ini, simpan salinan log server, pulihkan dari cadangan yang bersih, lalu ganti seluruh kredensial. Untuk toko online, pastikan data pelanggan tidak bocor, karena kewajiban melindungi data pribadi berlaku juga bagi usaha kecil, seperti dibahas di UU Satu Data dan privasi layanan.
Kesalahan yang perlu dihindari
- Mengira website kecil tidak akan diserang. Serangan semacam ini biasanya otomatis, menyasar semua server yang rentan tanpa memilih.
- Hanya memperbarui WordPress. Celah PHP2Shell ada di PHP, bukan di WordPress. Memperbarui WordPress saja tidak cukup.
- Menunda karena takut website rusak. Risiko diretas jauh lebih mahal daripada memperbaiki plugin yang tidak kompatibel.
- Memakai satu kata sandi untuk semua akun. Bila satu akun bocor, penyerang bisa masuk ke panel hosting, email, dan dasbor pembayaran sekaligus. Aktifkan verifikasi dua langkah bila tersedia.
- Mengabaikan cadangan. Buat cadangan sebelum memperbarui, dan simpan di tempat terpisah dari server.
Website yang diretas bisa dipakai untuk menipu pembeli, misalnya dengan halaman pembayaran palsu. Cara pembeli mengecek toko online yang meragukan kami bahas di cara mengecek toko online palsu. Menjelang musim belanja akhir tahun, keamanan website juga bagian dari persiapan berjualan, seperti di persiapan Harbolnas untuk penjual.
