NADIKABAR.COM — Tim pengembang PHP resmi merilis pembaruan keamanan darurat untuk mengatasi dua celah kritis PHP2Shell yang mengancam website di seluruh dunia. Pengelola website diminta segera memperbarui PHP untuk mencegah potensi serangan peretas.
Patch tersebut dirilis pada Rabu (21/10/2026) untuk memperbaiki dua kerentanan yang teridentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619. Keduanya memiliki skor keparahan CVSS 9,2 dari skala 10.
Kedua celah memungkinkan serangan remote code execution (RCE), yakni peretas berpotensi menjalankan kode berbahaya dari jarak jauh tanpa memerlukan akun maupun kata sandi.
Melalui situs resminya, tim PHP menegaskan bahwa pembaruan perangkat lunak menjadi langkah utama untuk mengatasi ancaman tersebut.
"Tidak ada mitigasi yang sepenuhnya mengatasi kerentanan ini. Melakukan pembaruan adalah satu-satunya pilihan yang aman," demikian pernyataan tim pengembang PHP, dikutip Kamis (22/10/2026).
Dilansir dari BleepingComputer, kerentanan PHP2Shell memengaruhi instalasi PHP yang melayani permintaan web, termasuk PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, dan LiteSpeed.
Tim PHP menyebut risiko tertinggi berada pada konfigurasi Apache mod_php. Dalam demonstrasi eksploitasi, permintaan tanpa autentikasi dapat memicu serangan bahkan sebelum kode aplikasi website dijalankan.
Tim PHP telah menyediakan empat versi pembaruan untuk menutup kedua kerentanan tersebut.
Berikut daftar versi PHP yang sudah mendapatkan perbaikan keamanan PHP2Shell:
Pengelola website yang menggunakan versi lebih lama dalam masing-masing cabang tersebut disarankan segera memasang pembaruan.
Sementara itu, PHP 8.1 dan versi sebelumnya sudah tidak lagi mendapatkan pembaruan keamanan reguler dari proyek PHP.
Namun, beberapa distributor Linux dan penyedia dukungan jangka panjang (LTS) mungkin menyediakan patch khusus yang diterapkan pada versi lama. Karena itu, administrator perlu memeriksa informasi dari vendor sebelum menentukan apakah sistem mereka masih rentan.
Tim PHP juga menyediakan perbaikan kode sumber terbatas untuk PHP 7.4, 8.0, dan 8.1 guna membantu pengguna yang membangun PHP sendiri atau tidak memiliki akses ke penyedia LTS.
Khusus PHP 8.2, dukungan keamanan dijadwalkan berakhir pada 31 Desember 2026. Pengguna disarankan mulai merencanakan migrasi ke versi yang masih didukung.
Pengelola website dapat memeriksa versi PHP melalui panel hosting atau akses terminal server.
Bagi pengguna cPanel, informasi versi PHP biasanya tersedia melalui menu MultiPHP Manager atau Select PHP Version, tergantung konfigurasi penyedia hosting.
Sementara itu, pengguna server mandiri dapat menjalankan perintah berikut melalui terminal:
Perintah tersebut akan menampilkan versi PHP yang digunakan pada lingkungan command line (CLI). Perlu diperhatikan, versi PHP untuk website bisa berbeda dengan versi yang muncul di terminal.
Setelah mengetahui versi yang digunakan, berikut langkah pembaruan yang disarankan:
Untuk website berbasis WordPress, Joomla, Drupal, maupun aplikasi PHP lainnya, administrator juga perlu memastikan tema, plugin, dan komponen pendukung kompatibel dengan versi PHP yang diperbarui.
Pengguna shared hosting biasanya tidak memiliki akses langsung untuk memperbarui seluruh komponen PHP pada server.
Karena itu, langkah pertama yang disarankan adalah menghubungi penyedia hosting untuk memastikan apakah patch PHP2Shell sudah diterapkan.
Pengguna dapat menanyakan versi PHP yang aktif, status perbaikan CVE-2026-109618 dan CVE-2026-109619, serta apakah penyedia hosting menggunakan patch khusus dari vendor.
Jika panel hosting menyediakan pilihan versi PHP, pengguna dapat memilih versi yang telah diperbaiki setelah memastikan kompatibilitas website.
Namun, mengganti versi melalui panel belum tentu menjamin seluruh komponen server telah diperbarui. Konfirmasi dari penyedia hosting tetap diperlukan.
The Hacker News melaporkan bahwa perlindungan tambahan melalui web application firewall (WAF) dapat membantu mengurangi risiko eksploitasi, tetapi tidak dapat menggantikan patch resmi.
Karena itu, administrator disarankan tidak hanya mengandalkan firewall atau perubahan konfigurasi sebagai perlindungan utama.
Pengelola website di Indonesia juga perlu segera memeriksa sistem masing-masing, terutama apabila menggunakan PHP untuk layanan yang dapat diakses melalui internet.
Pembaruan keamanan menjadi langkah penting untuk mengurangi risiko serangan PHP2Shell, sekaligus menjaga keamanan server dan data pengguna.
