Celah Keamanan PHP php2shell: Cek Versi Website Anda

Celah keamanan PHP bernama php2shell (CVE-2026-109618 dan CVE-2026-109619) memungkinkan penyerang menjalankan kode di server tanpa login. PHP menambalnya lewat rilis 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 pada 21 Oktober 2026. Pada 26 Oktober 2026, CISA memasukkan keduanya ke katalog celah yang sudah dieksploitasi, jadi website PHP yang belum diperbarui perlu segera ditangani.

Menurut pengumuman awal php.net (20 Oktober 2026), kedua celah ini mendapat skor CVSS v4.0 9.2. Skor 10.0 yang sempat beredar sebelum rilis itu keliru, seperti dikoreksi PHP Foundation. Celah pertama terjadi saat PHP kehabisan memori di tengah persiapan data request, lalu data yang belum lengkap diperlakukan seolah valid. Celah kedua terjadi karena state internal dari request sebelumnya masih menunjuk ke memori yang sudah dibebaskan (use-after-free), lalu dipakai oleh request berikutnya di worker yang sama.

Ini berbeda dari kasus di artikel celah keamanan Laravel dan Next.js. Saat itu yang bermasalah adalah framework. Kali ini yang terkena adalah runtime PHP itu sendiri, sehingga website WordPress, Laravel, CodeIgniter, atau sistem custom ikut terdampak walaupun kode aplikasinya tidak bermasalah.

Siapa yang terdampak celah keamanan PHP php2shell?

Semua instalasi PHP yang melayani request web terdampak, selama versinya lebih lama dari rilis 21 Oktober 2026. Advisori php.net (21 Oktober 2026) menyebut PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed.

Risiko tertinggi ada pada mod_php. Menurut php.net, eksploit yang sudah didemonstrasikan bisa dipicu oleh request tanpa login sebelum kode aplikasi berjalan. PHP Foundation juga mencatat eksekusi kode jarak jauh sudah dikonfirmasi pada PHP-FPM lewat jalur kode di tingkat aplikasi. Jadi, memakai PHP-FPM tidak berarti aman.

Dalam praktik, yang perlu diperiksa antara lain:

• website bisnis dan toko online berbasis WordPress atau WooCommerce;
• aplikasi web Laravel atau CodeIgniter, termasuk sistem PPDB, akademik, dan sistem operasional travel umrah;
• website di shared hosting cPanel, VPS, maupun container;
• software pihak ketiga yang diam-diam memakai PHP. CISA (21 Oktober 2026) mengingatkan bahwa PHP sering menjadi komponen software lain, sehingga keberadaannya tidak selalu terlihat.

Bagaimana dengan PHP 8.1 ke bawah?

PHP 8.1 dan versi lebih lama tidak mendapat rilis resmi. Tim keamanan PHP hanya menerbitkan backport kode sumber minimal untuk 7.4, 8.0, dan 8.1, yang berguna bagi pihak yang mengompilasi PHP sendiri atau vendor distribusi Linux. CISA menyarankan sistem PHP 8.1 ke bawah dimatikan dulu sampai diperbarui. Untuk bisnis, artinya Anda perlu rencana naik versi, bukan sekadar menunggu patch.

Perhatikan juga jadwalnya. Menurut halaman versi yang didukung php.net, dukungan keamanan PHP 8.2 berakhir 31 Desember 2026. Bila Anda masih di 8.2, update ke 8.2.35 hanya solusi jangka pendek. Sebaiknya rencanakan naik ke 8.3 atau lebih baru sekaligus.

Seberapa nyata eksploitasinya?

Eksploitasi sudah terjadi, tetapi skalanya belum jelas. Dasar paling kuat adalah keputusan CISA pada 26 Oktober 2026 memasukkan kedua CVE ke katalog Known Exploited Vulnerabilities, yang hanya berisi celah dengan bukti eksploitasi.

Rangkuman Tenable (diperbarui 26 Oktober 2026) mencatat beberapa temuan:

• Amazon Threat Intelligence melihat percobaan eksploitasi terhadap honeypot mereka sejak 17 Oktober 2026, sebelum pengumuman publik.
• Cloudflare melaporkan serangan awal di sekitar tanggal rilis patch.
• Trail of Bits menyatakan eksploit php2shell bekerja pada PHP 8.2 sampai 8.5 sebelum patch.

Amazon menilai celah ini sudah dieksploitasi secara luas. Namun bukti publik lainnya masih terbatas, misalnya laporan honeypot yang sengaja dikonfigurasi agar menguntungkan eksploit. Kesimpulan yang wajar: anggap risikonya nyata dan segera update, tetapi jangan menganggap setiap website pasti sudah dibobol.

Cara cek versi PHP yang benar-benar melayani website

Versi yang penting adalah versi PHP yang melayani request web, bukan versi yang muncul di terminal. Perintah php -v menampilkan PHP CLI, yang bisa berbeda dari PHP-FPM atau mod_php yang dipakai website, apalagi bila server punya beberapa versi PHP.

Beberapa cara memeriksanya:

1. Panel hosting. Di cPanel, buka menu Select PHP Version (PHP Selector) atau MultiPHP Manager. Periksa setiap domain dan subdomain karena versinya bisa berbeda.
2. Paket distro. Di VPS, periksa versi paket PHP dari distribusi Linux. Menurut php.net, distribusi menerima patch lebih awal, jadi nomor versinya bisa berbeda dari nomor rilis resmi. Cocokkan dengan advisori distro untuk CVE-2026-109618 dan CVE-2026-109619.
3. phpinfo sementara. Buat file berisi <?php phpinfo(); dengan nama acak, buka di browser, lalu catat baris versi dan "Server API" (misalnya FPM/FastCGI atau Apache 2.0 Handler). Hapus file itu segera setelahnya karena isinya membuka detail konfigurasi server.

Pada shared hosting, waktu patch bergantung pada penyedia hosting. Anda tidak bisa memperbarui PHP sendiri, jadi tanyakan langsung kepada mereka.

Langkah update yang aman

Urutannya: backup, update, restart, lalu uji. Menurut php.net, update adalah satu-satunya solusi lengkap. Prioritaskan sistem yang terhubung ke internet, sesuai saran CISA.

1. Backup file dan database sebelum mengubah apa pun, dan pastikan backup bisa dipulihkan. Penjelasan lengkapnya ada di artikel SSL dan backup website.
2. Update PHP ke 8.5.12, 8.4.27, 8.3.36, atau 8.2.35, atau paket distro yang sudah memuat perbaikan.
3. Restart PHP-FPM dan Apache. Paket baru tidak menambal proses yang sedang berjalan. Contoh di Ubuntu: sudo systemctl restart php8.3-fpm dan sudo systemctl restart apache2. Sesuaikan nama layanan dengan server Anda.
4. Uji alur penting: login, formulir, checkout atau pembayaran, upload file, dan halaman admin.

Waspadai satu regresi. Laporan di repositori resmi php-src (isu #24488) menunjukkan PHP 8.4.27 dan 8.5.12 bisa crash pada sebagian aplikasi yang memakai SimpleXML, misalnya saat objeknya diubah ke array atau JSON. Menurut Tenable, per 26 Oktober 2026 perbaikannya belum masuk rilis resmi. Bila aplikasi Anda membaca XML, uji di staging lebih dulu. Ini bukan alasan untuk menunda update, tetapi alasan untuk menguji sebelum dan sesudahnya.

Pertanyaan untuk vendor atau penyedia hosting

• Versi PHP dan SAPI apa yang melayani website kami?
• Kapan patch untuk CVE-2026-109618 dan CVE-2026-109619 dipasang?
• Apakah semua worker PHP-FPM dan Apache sudah di-restart setelah patch?
• Apa rencana untuk situs yang masih memakai PHP 8.1 ke bawah, dan kapan migrasinya?

Mitigasi sementara bila belum bisa update

Mitigasi hanya mengurangi risiko, bukan solusi. php.net (21 Oktober 2026) menegaskan langkah berikut menutup jalur serangan tertentu, tetapi tidak membuat instalasi aman. Pengaturan harus dipasang di php.ini, pool FPM, atau konfigurasi server, bukan lewat ini_set() atau .user.ini, lalu semua worker di-restart.

; php.ini atau pool PHP-FPM
session.upload_progress.enabled = 0
fatal_error_backtraces = 0        ; khusus PHP 8.5
php_admin_value[memory_limit] = -1 ; di pool FPM, disertai batas memori container/cgroup

Pengaturan memory_limit=-1 punya trade-off. Batas memori PHP hilang, sehingga satu request berat bisa menghabiskan memori server. Karena itu php.net memasangkannya dengan batas memori container atau cgroup, idealnya yang hanya mematikan worker bermasalah. php.net juga menyarankan post_max_size rendah (8M tanpa upload, 32M bila ada upload). Menyembunyikan error dengan display_errors atau @ tidak membantu.

WAF juga hanya penahan sementara. CISA (21 Oktober 2026) menyebut WAF dapat memberi sebagian perlindungan sampai sistem diperbarui, dan aturan WAF Cloudflare hanya melindungi trafik yang lewat Cloudflare.

Satu pengaturan sebaiknya tetap dipasang walaupun PHP sudah diperbarui. Dalam advisori lanjutan 23 Oktober 2026, php.net menyarankan session.upload_progress.enabled = 0 sampai rilis bugfix reguler berikutnya, karena masih ada satu jalur RCE yang kecil kemungkinannya. Jalur itu hanya muncul pada kombinasi tertentu: aplikasi memakai session.serialize_handler php_binary atau php_serialize, lalu menggantinya ke php lewat ini_set() sebelum session_start(). Aplikasi yang tidak pernah mengganti serialize handler saat berjalan boleh membiarkan fitur ini aktif.

Periksa tanda kompromi sejak 17 Oktober 2026

Karena percobaan serangan sudah terlihat sejak 17 Oktober 2026, update saja belum cukup. Periksa apakah server sempat disusupi. Patch menutup celah, tetapi tidak menghapus backdoor yang mungkin sudah tertanam.

• Proses PHP yang menjalankan shell atau mengunduh tool. CISA secara khusus meminta organisasi memantau worker PHP yang meluncurkan shell atau mengunduh tool.
• File PHP baru yang mencurigakan, terutama di folder upload (misalnya wp-content/uploads atau storage), yang seharusnya hanya berisi gambar dan dokumen.
• Akun admin baru di WordPress atau panel aplikasi yang tidak dikenali tim.
• Perubahan data atau konfigurasi yang tidak tercatat. Sistem dengan audit trail memudahkan penelusuran siapa mengubah apa dan kapan.

Bila menemukan tanda mencurigakan, libatkan tim IT atau konsultan keamanan sebelum membersihkan. Tenable mencatat bahwa restart menghapus jejak di memori worker, sehingga server yang jelas menunjukkan tanda penyusupan sebaiknya diamankan buktinya lebih dulu.

Pertanyaan yang sering diajukan

Apakah website WordPress saya terdampak php2shell?

Ya, bila server menjalankan PHP versi sebelum rilis 21 Oktober 2026. Celah ini ada di runtime PHP, bukan di WordPress, sehingga update plugin atau tema tidak menutupnya. Yang perlu diperbarui adalah PHP di server atau hosting.

Berapa skor CVSS php2shell yang benar?

Skor resminya CVSS v4.0 9.2 untuk kedua CVE, menurut php.net (Oktober 2026). Angka 10.0 yang sempat beredar sebelum rilis sudah dikoreksi PHP Foundation.

Apakah cukup memasang paket PHP baru tanpa restart?

Tidak. Proses PHP-FPM atau Apache yang sedang berjalan masih memakai kode lama sampai di-restart. Setelah update, restart layanannya dan pastikan versi baru muncul di phpinfo.

Website saya masih PHP 7.4, apa yang harus dilakukan?

Tidak ada rilis resmi untuk 7.4 sampai 8.1, hanya backport kode sumber. CISA menyarankan sistem seperti ini dimatikan sampai diperbarui, jadi rencanakan migrasi ke PHP yang masih didukung. Sementara itu, terapkan mitigasi dan tanyakan apakah hosting menyediakan backport.

Bila Anda belum yakin versi PHP mana yang melayani website atau aplikasi Anda, atau perlu bantuan menyusun rencana naik versi dari PHP lama, tim Anaverse, software house dan IT consultant di Pekanbaru, Riau, bisa membantu memeriksanya. Pelajari layanan konsultan IT dan pengembangan aplikasi kami atau hubungi kami untuk konsultasi.

Referensi

• PHP.net: Security release dan advisori CVE-2026-109618 & CVE-2026-109619 (21 Oktober 2026)
• The PHP Foundation: Today's PHP security release (21 Oktober 2026)
• CISA: Critical Vulnerabilities in PHP Require Immediate Patching (21 Oktober 2026)
• CISA: CISA Adds Two Known Exploited Vulnerabilities to Catalog (26 Oktober 2026)
• Tenable: php2shell FAQ (diperbarui 26 Oktober 2026)
• PHP.net: Supported Versions
• php-src GitHub: Issue #24488, regresi SimpleXML di 8.4.27 dan 8.5.12
• BleepingComputer: PHP ships emergency patches for critical PHP2Shell flaws (21 Oktober 2026)