PHP2Shell: Celah Kritis PHP yang Bikin Seisi Internet Waspada

Ada kabar yang bikin pengelola website di seluruh dunia deg-degan minggu ini: dua celah kritis ditemukan di inti PHP, bahasa pemrograman yang menjalankan sekitar 70% situs web di internet. Celah ini dijuluki PHP2Shell, dan yang bikin ngeri: penyerang bisa mengambil alih server tanpa perlu login sama sekali.

Pada 20 Oktober 2026, detail dua celah ini bocor ke publik lebih dulu — sehari sebelum jadwal pengumuman resmi. Tim keamanan PHP pun memajukan rilis tambalannya ke 21 Oktober 2026.

Dua celah itu berkode CVE-2026-109618 dan CVE-2026-109619. Yang pertama adalah kerusakan memori saat PHP kehabisan memori di tengah memproses permintaan; yang kedua adalah sisa data permintaan sebelumnya yang tertinggal di memori. Keduanya dinilai 9,2 dari 10 (kritis). Sempat beredar klaim skornya 10, tapi angka resmi dari PHP adalah 9,2.

Kebanyakan serangan web memanfaatkan celah di aplikasi, misalnya plugin yang ketinggalan update. PHP2Shell beda: celahnya ada di mesin PHP itu sendiri, lapisan di bawah aplikasi. Artinya, situs yang aplikasinya sudah diperbarui pun tetap bisa diserang, karena kode PHP yang rentan berjalan sebelum kode aplikasi sempat bekerja.

Penyerang cukup mengirim satu permintaan HTTP yang dirancang khusus, tanpa akun dan tanpa kata sandi. Kalau berhasil, ia bisa menjalankan perintah di server, bahkan membocorkan kata sandi, token, dan API key yang tersimpan di memori server. Risiko tertinggi ada pada server Apache dengan mod_php, tapi semua instalasi PHP yang melayani permintaan web ikut terdampak.

Cakupannya sangat luas: celah ini mengenai PHP dari versi 5.4 sampai 8.5.11. Karena PHP adalah fondasi WordPress, Drupal, Joomla, Laravel, dan Magento, firma keamanan OX memperkirakan sekitar 2 juta server yang terekspos di internet.

Bukti eksploitasi sudah beredar publik dan percobaan serangan sudah terdeteksi: Cloudflare dan honeypot watchTowr melaporkan aktivitas serangan sejak 21 Oktober, bahkan tim threat intelligence Amazon mencatat satu percobaan ke server umpan mereka sejak 17 Oktober.

Badan keamanan siber Amerika (CISA) sudah mengeluarkan peringatan keras dan memperbaruinya pada 23 Oktober. Di Indonesia, BSSN mengeluarkan peringatan resmi pada 22 Oktober untuk para pengelola website. Di Eropa dan Jepang, sejumlah situs pemerintah, rumah sakit, dan layanan bank sempat menonaktifkan layanannya sementara sebagai langkah pencegahan.

Perbaikannya: perbarui ke PHP 8.2.35, 8.3.36, 8.4.27, atau 8.5.12 (atau yang lebih baru). PHP 8.1 dan yang lebih lama tidak mendapat perbaikan resmi, dan PHP 8.2 akan habis masa dukungannya pada 31 Desember 2026.

Tim PHP sendiri menegaskan: memperbarui adalah satu-satunya pilihan yang benar-benar aman. Kalau belum bisa update, CISA menyarankan matikan dulu sistem berbasis PHP dari internet sampai bisa ditambal, atau pasang web application firewall (WAF) sebagai perlindungan sementara.

Lalu bagaimana dengan situs kami? Kami ikut memeriksa server sendiri pada 24 Oktober — dan ada kabar baik: server kami sama sekali tidak memakai PHP. Situs ini berjalan di atas file statis (HTML), jadi celah PHP2Shell tidak mengenai kami. Itu juga sebabnya, saat bot-bot iseng menyerang alamat seperti /phpinfo.php ke server kami beberapa hari terakhir, semuanya mentok 404.

Tapi justru karena itulah kami menulis ini: jutaan situs lain masih memakai PHP. Kalau kamu mengelola website, cek versi PHP-mu sekarang. Kalau kamu hanya pengunjung, tetap waspada kalau ada situs favoritmu yang mengumumkan insiden dalam beberapa minggu ke depan.