NADIKABAR.COM — Tim pengembang PHP resmi merilis pembaruan keamanan darurat untuk mengatasi dua celah kritis PHP2Shell yang mengancam website di seluruh dunia. Pengelola website diminta segera memperbarui PHP untuk mencegah potensi serangan peretas.
Patch tersebut dirilis pada Rabu (21/10/2026) untuk memperbaiki dua kerentanan yang teridentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619. Keduanya memiliki skor keparahan CVSS 9,2 dari skala 10.
Kedua celah memungkinkan serangan remote code execution (RCE), yakni peretas berpotensi menjalankan kode berbahaya dari jarak jauh tanpa memerlukan akun maupun kata sandi.
Melalui situs resminya, tim PHP menegaskan bahwa pembaruan perangkat lunak menjadi langkah utama untuk mengatasi ancaman tersebut.
"Tidak ada mitigasi yang sepenuhnya mengatasi kerentanan ini. Melakukan pembaruan adalah satu-satunya pilihan yang aman," demikian pernyataan tim pengembang PHP, dikutip Kamis (22/10/2026).
Dilansir dari BleepingComputer, kerentanan PHP2Shell memengaruhi instalasi PHP yang melayani permintaan web, termasuk PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, dan LiteSpeed.
Tim PHP menyebut risiko tertinggi berada pada konfigurasi Apache mod_php. Dalam demonstrasi eksploitasi, permintaan tanpa autentikasi dapat memicu serangan bahkan sebelum kode aplikasi website dijalankan.
Tim PHP telah menyediakan empat versi pembaruan untuk menutup kedua kerentanan tersebut.
Berikut daftar versi PHP yang sudah mendapatkan perbaikan keamanan PHP2Shell:
Pengelola website yang menggunakan versi lebih lama dalam masing-masing cabang tersebut disarankan segera memasang pembaruan.
