Ancaman PHP2Shell melibatkan dua celah keamanan, yakni CVE-2026-109618 dan CVE-2026-109619, dengan skor keparahan CVSS 9,2 dari maksimal 10.
Kerentanan tersebut berpotensi memungkinkan serangan remote code execution (RCE), yakni menjalankan kode berbahaya dari jarak jauh tanpa autentikasi. Jika berhasil dieksploitasi, penyerang dapat mengancam data dan layanan pada server terdampak.
Server pemerintah dan perusahaan menjadi sorotan karena masing-masing mencatat 96,7% kecocokan versi PHP berstatus EOL berdasarkan pemindaian Vaksincom.
Pada sektor pemerintah (.go.id), sebanyak 1.621 dari 1.677 kecocokan versi PHP yang teridentifikasi menggunakan versi usang. Versi terbanyak adalah PHP 5.6.40, yang dukungan resminya telah berakhir sejak 2018.
Kondisi serupa terjadi pada perusahaan (.co.id). Sebanyak 4.495 dari 4.650 kecocokan versi PHP menggunakan versi EOL.
Sementara itu, penggunaan PHP EOL di perguruan tinggi (.ac.id) mencapai 88,7%, sedangkan sekolah (.sch.id) sebesar 69,9%.
