Peretas Incar Celah PHP2Shell, Jutaan Website Berbasis PHP Terancam

PHP2Shell adalah nama untuk dua celah keamanan kritis di PHP, bahasa pemrograman yang menurut W3Techs menjalankan sekitar 70% dari seluruh website di dunia pada Agustus 2026, atau setara ratusan juta website. Celah ini bisa memungkinkan penyerang menjalankan perintah di server tanpa perlu login, dan PHP sudah merilis perbaikannya pada 21 Oktober 2026. Kalau website kamu berjalan di PHP, termasuk WordPress, langkah utamanya adalah memastikan hosting sudah memakai versi PHP yang diperbaiki: 8.5.12, 8.4.27, 8.3.36, 8.2.35, atau yang lebih baru.

Artikel ini menjelaskan PHP2Shell dalam bahasa awam, siapa yang terdampak, cara mengecek versi PHP website, dan langkah yang bisa kamu ambil hari ini. Isinya kami susun dari laporan peneliti keamanan, Cloudflare, dan media keamanan pada 21 sampai 22 Oktober 2026. Situasinya masih bergerak, jadi kami menandai mana yang sudah pasti dan mana yang masih laporan.

Apa Itu PHP2Shell?

PHP2Shell adalah nama populer untuk dua kerentanan: CVE-2026-109618 dan CVE-2026-109619. Pengembang PHP menilai keduanya 9,2 dari 10 pada skala CVSS v4.0, yang masuk kategori kritis. Perusahaan keamanan watchTowr menilainya lebih tinggi lagi, yaitu 10,0. Peneliti dari Wiz, Calif, dan OpenAI menemukan dan melaporkannya.

Kata "shell" merujuk pada akses perintah ke server. Kalau serangan berhasil, penyerang bisa menjalankan perintah sesuka hati di server itu, yang disebut remote code execution. Menurut Imperva, hal ini bisa terjadi tanpa login dan tanpa tindakan apa pun dari pemilik atau pengunjung website.

Secara sederhana, kedua celah ini berakar pada cara PHP menangani kondisi darurat saat memproses satu permintaan, misalnya ketika memori habis atau terjadi error fatal. Pada kondisi itu sebagian data internal PHP bisa tertinggal setengah jadi, atau masih menunjuk ke memori yang sudah dilepas, lalu dipakai lagi. Ini penyederhanaan dari laporan Help Net Security, Cloudflare, dan Imperva.

Hal yang membuatnya serius: celahnya ada di PHP itu sendiri, bukan di aplikasi seperti WordPress atau kode buatan developer. Website dengan kode yang rapi tetap terpapar kalau PHP di servernya belum diperbarui. Menurut Help Net Security, sebuah exploit yang berfungsi sudah menunjukkan bahwa satu permintaan tanpa login bisa memicu serangan sebelum kode aplikasi dijalankan.

Apakah Website Kamu Terdampak PHP2Shell?

Website kamu terdampak kalau servernya menjalankan PHP yang belum diperbaiki. Menurut Wiz, versi yang terdampak berentang dari PHP 5.4 sampai PHP 8. Help Net Security menyebut semua cara menjalankan PHP ikut terdampak, termasuk PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Server dengan mod_php menghadapi bahaya terbesar.

Website yang umumnya berjalan di PHP antara lain WordPress, WooCommerce, Laravel, dan toko online berbasis Magento. Website yang sama sekali tidak memakai PHP tidak terdampak oleh celah ini, karena celahnya ada di runtime PHP.

Apakah PHP2Shell Sudah Dieksploitasi?

Percobaan serangan sudah terpantau, tetapi kami belum menemukan angka korban yang bisa diverifikasi. Detail celah ini bocor pada 20 Oktober 2026, sebelum perbaikan resmi dirilis. Cloudflare melaporkan melihat lalu lintas serangan ke pelanggannya selama masa bocor itu. watchTowr melaporkan "active exploitation attempts" pada 21 Oktober pukul 14.19 UTC, setelah perbaikan keluar.

Sebagai pembanding, teks rilis PHP sendiri tidak melaporkan eksploitasi, dan SOCRadar mencatat CISA belum memasukkan kedua CVE ke katalog kerentanan yang dieksploitasi per 21 Oktober. Cloudflare juga tidak menyebut jumlah serangan atau bahwa ada yang berhasil dibobol. Jadi kalimat yang aman adalah: percobaan serangan terjadi, dan skalanya belum jelas.

Sebuah proof-of-concept untuk salah satu CVE juga sudah beredar publik di GitHub tak lama setelah detailnya bocor. Sebagai bagian riset untuk artikel ini, kami mencobanya sendiri di lingkungan uji, dan sejauh ini belum berhasil memicu RCE. PoC itu ditulis dengan Python, bukan PHP, dan disebutkan hanya menyasar PHP 8.5. Kami tidak membagikan kode atau langkah mencobanya di sini. Pengalaman ini bukan bukti ilmiah, tetapi selaras dengan catatan Huntress bahwa menjalankan serangan tetap membutuhkan kondisi tertentu, bukan sekadar menyalin dan menjalankan skrip yang beredar.

Bagaimana Cara Mengecek Versi PHP Website Kamu?

Cara tercepat adalah melihat versi PHP di panel hosting atau di dalam WordPress. Kalau istilah website, domain, dan hosting masih terasa asing, penjelasannya ada di artikel apa itu website. Kami sendiri membangun JadiWeb di atas Njin, bukan PHP, jadi langkah berikut kami tulis dari dokumentasi umum penyedia hosting dan WordPress, bukan dari pengalaman memakainya sehari-hari.

Panel hosting: banyak penyedia hosting menampilkan versi PHP di menu pengaturan PHP. Di cPanel, menunya biasanya bernama Select PHP Version atau MultiPHP Manager.
WordPress: buka Alat, lalu Kesehatan Situs, lalu tab Info, dan lihat bagian Server.
VPS atau akses terminal: jalankan perintah di bawah. Versi PHP untuk web server bisa berbeda dari versi yang dipakai di terminal, jadi periksa keduanya.

php -v
php-fpm -v

Setelah tahu versinya, bandingkan dengan versi yang sudah diperbaiki: 8.5.12, 8.4.27, 8.3.36, atau 8.2.35. Banyak hosting bersama hanya menampilkan cabangnya, misalnya "8.3", tanpa nomor tambalan di belakangnya. Kalau itu yang kamu lihat, tanyakan langsung ke penyedia hosting apakah server sudah memakai tambalan terbaru.

Apa yang Harus Dilakukan Sekarang?

Satu-satunya cara yang melindungi sepenuhnya adalah memperbarui PHP. Menurut The Hacker News, tim PHP menyatakan hanya pembaruan yang melindungi server sepenuhnya. Langkah praktisnya:

Tanyakan ke penyedia hosting. Contoh pertanyaan: "Apakah server saya sudah memakai PHP 8.3.36 atau versi terbaru yang memperbaiki CVE-2026-109618 dan CVE-2026-109619?" Help Net Security mencatat distribusi Linux dan vendor LTS sudah mendapat tambalan lebih awal, jadi banyak penyedia hosting seharusnya bisa memperbarui dengan cepat.
Buat cadangan. Simpan salinan file dan database sebelum ada perubahan versi PHP.
Uji dulu kalau berpindah cabang. Pindah dari, misalnya, PHP 8.1 ke 8.3 bisa membuat plugin atau tema lama bermasalah. Kalau memungkinkan, coba di salinan website lebih dulu.
Pasang lapisan tambahan. Cloudflare menyatakan sejak 21 Oktober 2026 pukul 03.02 UTC, pelanggan dengan WAF gratis maupun berbayar dilindungi secara bawaan dari serangan PHP2Shell yang dikenal. Menurut penilaian kami, ini mengurangi risiko selama menunggu, tetapi bukan pengganti pembaruan PHP.
Cek ulang versi dan awasi website. Setelah pembaruan, pastikan versinya sudah berubah, lalu perhatikan tanda-tanda di bagian bawah artikel ini.

Satu peringatan: jangan mengandalkan mematikan fitur session upload progress. The Hacker News melaporkan fitur itu terlibat dalam satu jalur serangan untuk CVE-2026-109619, tetapi mematikannya tidak berpengaruh pada CVE-2026-109618.

Bagaimana Kalau Hosting Memakai PHP 8.1 atau Lebih Lama?

Tim PHP tidak lagi mendukung PHP 8.1 ke bawah, jadi tidak ada rilis resmi biasa untuknya. Help Net Security menyebut tiga jalur. Pertama, beberapa distribusi dan vendor LTS menawarkan tambalan sendiri, jadi kamu perlu menghubungi vendornya. Kedua, kamu bisa pindah ke versi PHP yang masih didukung. Ketiga, khusus untuk administrator yang membangun PHP dari kode sumber, tim PHP merilis backport minimal untuk PHP 7.4, 8.0, dan 8.1.

Badan keamanan siber Inggris, NCSC, menyarankan organisasi mempertimbangkan mematikan sistem yang tidak bisa segera diperbaiki. Untuk website kecil, itu berarti pertimbangkan menonaktifkan sementara website yang tidak bisa diperbarui, terutama kalau menyimpan data pelanggan.

Kalau memilih pindah versi, perhatikan umur dukungannya. Menurut Brandefense yang merujuk php.net, PHP 8.2 berhenti mendapat perbaikan keamanan pada 31 Desember 2026, sedangkan PHP 8.3 sampai 31 Desember 2027.

Bagaimana Mengenali Website yang Sudah Dibobol?

Belum ada tanda khusus PHP2Shell yang dikonfirmasi. Huntress menulis bahwa tidak ada indikator kompromi yang terkonfirmasi saat laporannya dibuat, dan hal itu bisa berubah. Karena itu, pakai tanda umum website yang dibobol:

File PHP baru di folder website yang tidak pernah kamu atau developermu buat.
Akun admin baru yang tidak dikenal.
Halaman berubah, muncul iklan atau tautan aneh, atau pengunjung dialihkan ke situs lain.
Peringatan dari penyedia hosting, atau pemakaian sumber daya server yang melonjak tanpa sebab.

Untuk administrator server, Huntress menyarankan memantau proses web server yang menjalankan shell atau alat unduhan, karena itu bukan perilaku normal sebuah web server. Kalau kamu curiga, hubungi penyedia hosting, simpan log, ganti kata sandi, dan pulihkan dari cadangan yang bersih.

Pertanyaan yang Sering Muncul

Apakah WordPress terdampak PHP2Shell?

WordPress berjalan di PHP, jadi website WordPress terdampak kalau PHP di servernya belum diperbaiki. Memperbarui WordPress atau plugin saja tidak menutup celahnya, karena celah berada di PHP, bukan di WordPress.

Apakah website tanpa PHP terdampak?

Tidak oleh celah ini. Server JadiWeb sendiri tidak menjalankan PHP sama sekali, sehingga tidak terdampak langsung. Pelajaran umum dari kasus ini: bahasa dan runtime di server termasuk bagian dari risiko sebuah website, dan pemiliknya perlu tahu versi yang berjalan.

Apakah website harus dimatikan sekarang?

Tidak untuk semua website. Kalau hosting sudah memakai versi yang diperbaiki, tidak perlu. Mematikan sementara baru layak dipertimbangkan kalau website memakai PHP yang tidak bisa diperbarui dan menyimpan data sensitif, mengikuti saran NCSC di atas.

Apakah memasang Cloudflare sudah cukup?

Tidak cukup untuk jangka panjang. Aturan WAF Cloudflare menutup vektor serangan yang sudah dikenal, sedangkan tim PHP menyatakan pembaruan adalah satu-satunya perlindungan penuh. Anggap WAF sebagai lapisan tambahan sambil menunggu hosting memperbarui PHP.

Batasan Artikel Ini

Kami menyusun artikel ini pada 22 Oktober 2026 dari laporan media keamanan dan perusahaan keamanan, bukan dari membaca rilis php.net secara langsung.
Skor 10,0 dari watchTowr kami ambil dari Wikipedia. Status eksploitasi bisa berubah cepat dan sumber-sumber saat ini belum seragam.
Penjelasan cara kerja celah sengaja disederhanakan. Detail teknisnya ada di laporan Imperva, Cloudflare, dan Wiz.
Percobaan PoC yang kami sebutkan adalah pengalaman satu kali di lingkungan uji kami sendiri, belum berhasil, dan bukan pengujian keamanan formal.
Langkah mengecek versi di panel hosting dan WordPress ditulis dari dokumentasi umum, bukan dari pengalaman memakai PHP sehari-hari, karena JadiWeb dibangun di atas Njin.
Pernyataan bahwa server JadiWeb tidak menjalankan PHP adalah informasi internal kami, bukan hasil audit pihak ketiga.

Sumber

Semua sumber diakses pada 22 Oktober 2026.