php2shell: Dua Celah Kritis PHP, Cara Cek dan Update Server

Tim keamanan PHP merilis patch untuk dua celah kritis yang dijuluki php2shell pada 21 Oktober 2026, sekitar pukul 14:00 UTC (kira-kira 21.00 WIB). Celah kritis php2shell tercatat sebagai CVE-2026-109618 dan CVE-2026-109619. Keduanya bisa dimanfaatkan penyerang dari jarak jauh, tanpa login, untuk menjalankan kode di server (Remote Code Execution/RCE). Kalau Anda mengelola website, hosting, atau situs WordPress, artikel ini membantu Anda mengecek apakah server terdampak dan apa yang perlu dilakukan.

Apa itu php2shell dan bagaimana kronologinya

Kedua celah ada di runtime PHP itu sendiri, bukan di plugin atau tema.

• CVE-2026-109618: berkaitan dengan penanganan kehabisan memori (out-of-memory) yang menyebabkan korupsi memori.
• CVE-2026-109619: kerentanan use-after-free setelah error fatal di satu request. Dampaknya bisa terbawa ke request berikutnya di proses PHP yang sama.

Garis waktu menurut sumber:

• 17 Oktober: Tenable menyebut percobaan eksploitasi pertama sudah terdeteksi. Ini klaim yang belum diverifikasi langsung dari sumber Amazon.
• 20 Oktober: ID CVE beredar di Hacker News dan media sosial. Tim PHP lalu mengumumkan rilis keamanan dijadwalkan 21 Oktober pukul 14:00 UTC. Menurut PHP Foundation, seperti dikutip Tenable, rilis semula dijadwalkan 22 Oktober dan dimajukan sehari setelah ID bocor.
• 21 Oktober, 03:02 UTC: Cloudflare mengaktifkan proteksi WAF default untuk pelanggan gratis dan berbayar.
• 21 Oktober, 14:00 UTC: patch dan advisori PHP resmi dirilis.

Penelitian ini diungkap oleh Calif.io, Wiz, OpenAI, dan Quarkslab, menurut Cloudflare.

Versi PHP mana yang terdampak

Ini bagian terpenting. Cocokkan versi PHP Anda dengan tabel berikut.

Cloudflare menyebut jalur kode yang terdampak paling awal ada di PHP 5.4.0. Soal PHP 8.1, CSIRT Kubu Raya menekankan bahwa versi ini dan yang lebih lama sudah EOL, sedangkan Tenable menyoroti adanya backport minimal. Keduanya tidak bertentangan, tetapi untuk detail pastinya, rujuk advisori resmi PHP.

Mengapa ini serius

RCE tanpa autentikasi berarti penyerang tidak perlu akun atau password. Dengan skor CVSS v4.0 sebesar 9,2 (angka dari Tenable dan Kubu Raya), celah ini masuk kategori kritis. Sumber lain, Telkom CSIRT, menulis angka 9. PHP Foundation juga menyebut ID yang beredar sebelum rilis sempat membawa skor 10.0 yang keliru. Jadi pegang angka 9,2.

Cloudflare menyebut sekitar 70% website memakai PHP dan WordPress serta Magento berpotensi terdampak. Angka itu belum kami verifikasi. Judul TechTarget menyebut 22 juta server terekspos. Itu angka eksposur, bukan jumlah server yang sudah diserang.

Yang dikatakan pihak terkait

Cloudflare menegaskan memperbarui kode atau plugin saja tidak memperbaiki celah ini, karena masalahnya ada di PHP. Perusahaan itu menambahkan FrankenPHP dan LiteSpeed sebagai runtime yang juga terdampak, di samping PHP-FPM, Apache mod_php, dan php-cgi.

Tenable menulis php2shell sudah 'broadly exploited in the wild'. Klaim ini bersumber dari Amazon Threat Intelligence, bukan dari PHP, dan belum kami verifikasi langsung. Ubuntu melaporkan perbaikan sudah tersedia untuk distribusinya.

Reaksi dan yang belum pasti

CSIRT dari Telkom dan Kubu Raya sudah menerbitkan advisori untuk publik Indonesia. Artikel Telset.id yang berjudul 'bocor sebelum patch' ditulis sebelum rilis, jadi sudah tidak akurat: patch sekarang tersedia.

Sudah dikonfirmasi: kedua CVE, versi terdampak, dan rilis patch 21 Oktober.

Belum terkonfirmasi: skala serangan nyata di lapangan dan dampak spesifik di Indonesia. Sumber kami belum melaporkan kasus kebocoran di Indonesia.

Langkah yang bisa Anda lakukan sekarang

1. Cek versi PHP. Di server, perintah umum seperti php -v bisa dipakai (ini pengetahuan umum, bukan dari sumber). Di shared hosting, lihat panel hosting atau tanyakan penyedia.
2. Update ke 8.5.12, 8.4.27, 8.3.36, atau 8.2.35 sesuai versi Anda.
3. Terapkan ke semua runtime (PHP-FPM, Apache mod_php, php-cgi), lalu restart layanan terkait.
4. Pakai hosting terkelola? Minta penyedia menerapkan patch.
5. Belum bisa update? Menurut advisori PHP via Tenable: pasang memory_limit=-1 yang tidak bisa di-override aplikasi (untuk CVE-2026-109618), serta session.upload_progress.enabled=0 dan, di PHP 8.5, fatal_error_backtraces=0 (untuk CVE-2026-109619). Restart semua worker PHP. Ini bukan perbaikan lengkap.
6. Lapisan tambahan: batasi akses jaringan atau isolasi layanan yang terhubung internet, aktifkan WAF, dan batasi ukuran serta jenis upload. Semua ini tidak menggantikan patch.

Peringatan: jika Anda masih di PHP 8.1 atau lebih lama, rencanakan upgrade ke versi yang didukung.

Apa yang perlu dipantau

Pantau advisori resmi PHP, pengumuman penyedia hosting Anda, dan perkembangan laporan eksploitasi. Jika angka atau klaim baru muncul, pastikan sumbernya jelas.

Kesimpulan

php2shell adalah ancaman nyata bagi server PHP yang belum diperbarui, dan patch sudah ada. Cek versi PHP Anda hari ini, update atau minta hosting memperbaruinya, dan jangan mengandalkan update plugin saja.