Celah Kritis PHP Berisiko Dieksploitasi yang Perlu Segera Dipatch

PHP2Shell adalah sebutan populer untuk dua celah keamanan kritis di inti bahasa pemrograman PHP. Celah ini memungkinkan penyerang tanpa login menjalankan kode di server. Menurut peneliti Wiz, celah ini juga bisa membocorkan isi memori server. Patch resmi sudah dirilis pada 21 Oktober 2026, jadi setiap pengelola situs berbasis PHP perlu memeriksa versinya sekarang.

Artikel ini merangkum apa yang terjadi, siapa yang terdampak, dan langkah yang perlu diambil. Status yang dibahas adalah per 23 Oktober 2026.

Apa Itu PHP2Shell?

PHP2Shell merujuk pada dua kerentanan: CVE-2026-109618 dan CVE-2026-109619. Situs php.net mencantumkan keduanya sebagai kerentanan kritis dengan skor CVSS v4.0 sebesar 9.2.

Nama "PHP2Shell" bukan nama resmi dari proyek PHP. Nama itu dibuat peneliti keamanan, lalu dipakai luas oleh media dan lembaga seperti BSSN dan CISA.

Keduanya adalah bug keamanan memori. Bug muncul saat PHP menangani kesalahan fatal, terutama ketika kehabisan memori, sewaktu memproses request.

• CVE-2026-109618: memori bisa rusak ketika PHP kehabisan memori di tengah menyiapkan data request.

• CVE-2026-109619: data internal dari satu request masih tertinggal, lalu dipakai request berikutnya di worker yang sama setelah memorinya dibebaskan (use-after-free).

Penyerang cukup mengirim request HTTP yang dirancang khusus. Tidak perlu login dan tidak perlu klik dari pengguna. Menurut php.net, risiko tertinggi ada pada instalasi yang memakai mod_php.

Mengapa Dampaknya Begitu Luas?

Bayangkan website sebagai restoran. Aplikasi adalah menunya, sedangkan PHP adalah dapur beserta kokinya. Menu bisa saja sempurna, tetapi dapur yang pintu belakangnya bisa didorong orang asing tetap berbahaya.

Bug di sebuah aplikasi hanya mengenai pengguna aplikasi itu. Bug di PHP mengenai semua aplikasi yang berjalan di atasnya: WordPress, Drupal, Joomla, Laravel, sampai sistem buatan sendiri. Karena itu tidak ada patch di level aplikasi. Yang harus diperbarui adalah PHP-nya.

Menurut W3Techs, PHP dipakai sekitar 69% situs yang bahasa server-nya terdeteksi (data 21 Oktober 2026). Angka ini sering diringkas menjadi "70% internet". Padahal itu pangsa pasar PHP, bukan jumlah situs yang rentan atau diretas.

Di sisi lain, sekitar sepertiga situs PHP masih memakai PHP 7 atau 5, yang sudah tidak didukung.

Kronologi Singkat

Bagaimana Situasinya per 23 Oktober 2026?

• Situs dimatikan sebagai pencegahan. Menurut laporan Reuters yang dikutip media internasional, sejumlah situs pemerintah di Jerman, Prancis, Belgia, Belanda, Finlandia, dan Ceko dimatikan. Situs di Inggris, Jepang, Nepal, dan Australia juga dilaporkan offline.

• Upaya serangan meningkat. Amazon dan Cloudflare melaporkan lonjakan upaya eksploitasi setelah pengumuman. Cloudflare juga mencatat penyerang mengubah payload untuk mengakali aturan WAF.

• Belum ada kebocoran data terkonfirmasi. Dari sumber publik yang kami tinjau, belum ada peretasan atau kebocoran data akibat PHP2Shell yang dikonfirmasi. Belum ada pula insiden terkonfirmasi di Indonesia atau Asia Tenggara.

Perlu dibedakan antara ada upaya serangan dan serangan berhasil. Sejauh ini yang terkonfirmasi adalah upaya. Situasi bisa berubah, jadi pantau kanal resmi BSSN dan php.net.

Versi PHP yang Aman

Untuk cabang EOL, tim PHP hanya menyediakan source backport minimal. Sebagian vendor hosting dan distro menyediakan build tambalan sendiri. Solusi jangka panjangnya tetap migrasi ke versi yang masih didukung.

Paket distro seperti Debian, Ubuntu, atau RHEL yang sudah ditambal sering tetap menampilkan nomor versi lama. Jadi verifikasi lewat changelog paket, bukan hanya dari nomor versi.

Langkah yang Perlu Dilakukan

Untuk pemilik dan pengelola situs

1. Inventaris semua runtime PHP. Mulai dari aplikasi utama, situs marketing, panel admin, phpMyAdmin, server staging, sampai image Docker dan layanan pihak ketiga yang membundel PHP.

2. Cek versi yang dipakai web server. Versi di command line bisa berbeda dengan versi PHP-FPM atau Apache.

3. Update PHP lalu restart semua worker. Untuk container, lakukan rebuild image.

4. Tangani versi EOL. Pasang build tambalan dari vendor, migrasi ke versi yang didukung, atau isolasi akses (misalnya lewat VPN atau IP allowlist) bila belum bisa dipatch.

5. Pasang mitigasi sementara bila patch tertunda. Contohnya session.upload_progress.enabled=0, batas ukuran body request yang rendah, dan aturan WAF. Langkah ini hanya mengurangi paparan, tidak membuat sistem aman.

6. Telusuri log mulai 17 Oktober. Cari request multipart tak wajar yang diikuti error kehabisan memori, HTTP 500 berulang, worker PHP yang sering crash, atau file PHP baru di direktori upload.

7. Rotasi secret bila ada kecurigaan. Termasuk password database, token API, dan kunci aplikasi, karena data tersebut bisa berada di memori worker PHP.

Cek versi PHP di server:

php -v
php-fpm -v

Untuk sekolah dan instansi pengguna layanan digital

Bila sistem Anda dikelola vendor, tanyakan hal berikut secara tertulis:

• Apakah PHP di semua lingkungan sudah dipatch, dan ke versi berapa?

• Apakah worker sudah di-restart setelah patch?

• Apakah log sejak 17 Oktober sudah diperiksa?

• Apakah ada indikasi akses tidak sah ke data?

Hal ini penting bagi sistem yang menyimpan data siswa. Menurut Pasal 46 UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi, pengendali data wajib memberi tahu subjek data dan lembaga paling lambat 3x24 jam bila terjadi kegagalan pelindungan data pribadi. Status rentan atau ada upaya serangan belum otomatis termasuk kegagalan pelindungan data. Kewajiban itu muncul bila ada indikasi data benar-benar terakses atau bocor.

FAQ

Apakah PHP2Shell berarti 70% internet sudah diretas?

Tidak. Angka 70% adalah pangsa pasar PHP menurut W3Techs, bukan jumlah situs yang diretas. Yang terkonfirmasi sejauh ini adalah upaya serangan, bukan peretasan massal.

Apakah situs WordPress saya terdampak?

Celahnya ada di PHP, bukan di WordPress. Artinya yang perlu diperbarui adalah versi PHP di server Anda. Bila memakai shared hosting, minta penyedia hosting memastikan statusnya.

Cukupkah memasang WAF saja?

Tidak. WAF hanya penahan sementara. Cloudflare sendiri mencatat penyerang mengubah payload untuk mengakali aturannya. Patch PHP tetap langkah utama.

Bagaimana jika situs saya memakai PHP 8.1 atau lebih lama?

Cabang ini tidak mendapat rilis resmi. Cari build tambalan dari vendor hosting atau distro Anda, isolasi akses sementara, lalu rencanakan migrasi ke versi yang masih didukung.

Bagaimana cara tahu apakah sebuah situs memakai PHP?

Dari luar, tandanya antara lain alamat halaman berakhiran .php, cookie bernama PHPSESSID, atau header X-Powered-By: PHP. Dari dalam, tim teknis bisa mengecek versi yang dipakai web server.

Kesimpulan

PHP2Shell adalah celah kritis di fondasi banyak situs, dan patch resminya sudah tersedia sejak 21 Oktober 2026. Sampai 23 Oktober belum ada kebocoran data yang dikonfirmasi publik, tetapi upaya serangan sudah terjadi sejak 17 Oktober.

Hari ini, periksa versi PHP yang benar-benar dipakai web server Anda. Update dan restart bila perlu, lalu telusuri log sejak 17 Oktober. Bila sistem Anda dikelola vendor, minta konfirmasi status patch secara tertulis.

Referensi

• PHP.net: News Archive 2026

• Wiz Research: PHP2Shell

• AWS Security Blog: Amazon Threat Intelligence dan PHP2Shell

• Cloudflare: perlindungan terhadap PHP2Shell

• CSA Singapura: Alert AL-2026-151

• Kompas Tekno: BSSN peringatkan celah PHP2Shell

• Red Hat: CVE-2026-109618

• W3Techs: statistik penggunaan PHP

• Pasal 46 UU No. 27 Tahun 2022