PHP2Shell: Dua Celah Kritis PHP 9,2 Ancam Keamanan Website, Ini Langkah Mitigasinya

23 Oktober 2026 — Dua celah keamanan kritis pada inti PHP yang dikenal sebagai PHP2Shell sedang menjadi perhatian pengelola website. Kerentanan CVE-2026-109618 dan CVE-2026-109619 dilaporkan memiliki skor CVSS 9,2 dari 10 dan berpotensi membuka peluang eksekusi kode jarak jauh tanpa autentikasi pada konfigurasi yang rentan. Karena klaim kerentanan dan nomor versi dapat berubah, administrator harus memeriksa advisori resmi PHP serta vendor hosting sebelum mengambil keputusan.

PHP adalah runtime sisi server yang digunakan oleh banyak website dan aplikasi web, termasuk WordPress. Jika masalah berada di runtime, pembaruan tema atau plugin saja tidak akan memperbaiki versi PHP yang rentan. Namun, keberadaan sebuah advisori tidak berarti semua website PHP sudah diretas; dampak bergantung pada versi, konfigurasi, dan paparan layanan.

Apa yang perlu diketahui tentang PHP2Shell?

Istilah PHP2Shell merujuk pada laporan dua kerentanan di lingkungan runtime PHP. Deskripsi teknis yang menyertainya membahas masalah pengelolaan memori dalam kondisi tertentu, termasuk penanganan kehabisan memori dan penggunaan status internal yang sudah tidak valid. Kategori seperti korupsi memori atau use-after-free dapat berbahaya karena, dalam kondisi yang dapat dieksploitasi, bisa menyebabkan crash atau kemungkinan eksekusi kode.

Detail eksploitasi, tingkat keterpaparan, dan versi terdampak harus dicocokkan dengan advisori primer. Jangan menganggap setiap instalasi memiliki risiko yang sama hanya berdasarkan nama kerentanan atau judul berita.

Bagaimana dampaknya terhadap website?

Jika kerentanan dapat dieksploitasi pada server yang digunakan, dampaknya bergantung pada hak akses proses PHP dan pembatasan lingkungan. Risiko potensial mencakup gangguan layanan, akses ke data yang dapat dibaca proses, perubahan berkas, atau kompromi aplikasi. Hal ini tidak otomatis berarti penyerang dapat mengambil alih seluruh server, tetapi tetap memerlukan penilaian serius.

Administrator perlu mengidentifikasi cara PHP dijalankan, misalnya PHP-FPM, CGI, modul server web, atau implementasi yang disediakan hosting. Penyedia hosting terkelola mungkin menerapkan patch pada tingkat sistem tanpa mengharuskan pemilik WordPress mengganti versi secara manual; konfirmasi langsung diperlukan.

Periksa versi dan status patch

Jangan menyalin nomor versi perbaikan dari artikel lain tanpa memeriksa sumber resmi. Buka advisori keamanan PHP dan catatan rilis untuk cabang yang digunakan, lalu bandingkan dengan versi runtime yang benar-benar melayani website. Versi pada terminal dapat berbeda dari versi PHP-FPM yang dipakai domain.

• Periksa panel hosting. Pastikan versi PHP untuk domain dan pool yang aktif diketahui.
• Periksa advisori resmi. Cocokkan CVE, cabang versi, dan status perbaikan pada situs proyek PHP atau vendor distribusi.
• Minta konfirmasi penyedia hosting. Tanyakan apakah patch telah diterapkan, termasuk jika vendor menggunakan backport keamanan.
• Uji setelah pembaruan. Periksa halaman utama, login, formulir, unggahan, cron, serta plugin penting di lingkungan yang aman.

Mitigasi sementara dengan hati-hati

Jika patch belum tersedia, ikuti mitigasi yang secara eksplisit direkomendasikan oleh advisori resmi dan penyedia hosting. Beberapa mitigasi mungkin hanya mengurangi satu jalur serangan, bukan menutup seluruh kerentanan. Jangan mengubah pengaturan PHP produksi secara membabi buta atau mengandalkan ini_set() untuk mengubah konfigurasi yang hanya dapat ditetapkan di tingkat server.

Jika diperlukan, batasi paparan layanan melalui kontrol server atau jaringan yang dikelola administrator. Perubahan darurat perlu diuji, didokumentasikan, dan memiliki rencana rollback. Mitigasi sementara bukan pengganti patch keamanan yang telah diverifikasi.

Periksa tanda kompromi setelah patch

Memasang pembaruan menutup kerentanan yang diperbaiki, tetapi tidak otomatis menghapus perubahan berbahaya yang mungkin terjadi sebelumnya. Tinjau log akses dan error, file PHP baru atau berubah tanpa alasan, akun administrator, tugas terjadwal, plugin yang tidak dikenal, serta penggunaan sumber daya yang tidak biasa. Bandingkan file penting dengan paket resmi atau cadangan tepercaya.

Jika ada indikasi kompromi, simpan log untuk investigasi, batasi akses yang berisiko, ganti kredensial dari perangkat yang bersih, dan minta bantuan penyedia hosting atau tenaga keamanan. Hindari menghapus bukti sebelum penyebabnya dipahami.

Langkah khusus untuk WordPress

WordPress tidak memiliki satu versi PHP yang berlaku untuk semua instalasi; runtime ditentukan oleh konfigurasi hosting. Periksa Kesehatan Situs atau panel hosting, pastikan tema dan plugin diperbarui, dan simpan cadangan yang dapat dipulihkan sebelum perubahan besar. Jangan menganggap pembaruan WordPress saja sudah menambal runtime PHP.

Sesudah patch, verifikasi halaman yang penting dan pantau log beberapa waktu. Jika hosting dikelola pihak ketiga, minta bukti versi atau status patch yang aktif untuk domain, bukan sekadar jawaban bahwa server telah diperbarui.

Kesimpulan

Respons yang tepat terhadap laporan PHP2Shell adalah memverifikasi advisori primer, memastikan versi runtime yang melayani website, menerapkan patch yang sesuai, lalu memeriksa tanda kompromi. Nomor CVE dan versi perbaikan perlu dikonfirmasi dari sumber resmi karena informasi keamanan dapat berubah. Untuk pemilik WordPress, koordinasi dengan penyedia hosting sama pentingnya dengan memperbarui aplikasi, tema, dan plugin.