Daftar Isi
Selampung.com – Celah keamanan kritis bernama PHP2Shell menjadi perhatian pengelola situs web di Indonesia karena dapat memungkinkan peretas mengambil alih server tanpa perlu masuk menggunakan akun resmi. Kerentanan ini perlu diwaspadai, terutama pada server yang masih menjalankan versi PHP lama dan belum mendapatkan pembaruan keamanan.
Pakar keamanan siber Vaksincom, Alfons Tanujaya, menilai PHP2Shell merupakan ancaman serius, tetapi tidak tepat jika langsung dianggap dapat memicu krisis internet nasional. Pernyataan tersebut disampaikan kepada detikInet pada Kamis (22/10/2026), menyusul munculnya laporan mengenai dua celah kritis pada mesin PHP yang digunakan untuk menjalankan banyak aplikasi web.
Menurut Alfons, tantangan di Indonesia terletak pada kemungkinan masih banyaknya server yang menggunakan PHP versi lama. Ia menyebut pengalamannya menangani situs web menunjukkan bahwa PHP versi 5 dan 7 masih ditemukan di sejumlah server.
Kondisi ini menjadi perhatian karena memperbarui sistem manajemen konten seperti WordPress beserta pluginnya saja belum tentu menutup celah PHP2Shell. Pembaruan juga harus dilakukan pada lingkungan PHP yang berjalan di server.
Apa Itu Celah Keamanan PHP2Shell?
PHP2Shell merupakan sebutan untuk dua kerentanan keamanan kritis pada mesin pemroses PHP, yaitu CVE-2026-109618 dan CVE-2026-109619. Keduanya berkaitan dengan kesalahan pengelolaan memori yang dapat membuka jalan bagi eksekusi kode dari jarak jauh atau remote code execution (RCE).
PHP banyak digunakan untuk membangun dan menjalankan situs web, termasuk aplikasi berbasis WordPress, Drupal, dan Joomla. Karena itu, kerentanan pada lingkungan PHP dapat berdampak pada berbagai aplikasi yang bergantung pada teknologi tersebut.
Ancaman utama PHP2Shell adalah kemungkinan penyerang menjalankan perintah pada server yang rentan tanpa harus terlebih dahulu memiliki akun atau kata sandi yang sah. Bergantung pada konfigurasi dan hak akses proses yang berhasil dieksploitasi, dampaknya dapat mencakup pengambilalihan sistem, pemasangan perangkat lunak berbahaya, hingga akses terhadap informasi sensitif.
Kerentanan ini bukan berarti seluruh situs yang menggunakan PHP pasti telah diretas. Risiko bergantung pada versi yang digunakan, konfigurasi server, ketersediaan perbaikan keamanan, dan apakah sistem tersebut berhasil diserang.
Tim keamanan PHP mengumumkan pembaruan untuk memperbaiki kedua kerentanan pada 21 Oktober 2026. Pengelola server yang terdampak diminta segera memasang versi yang telah diperbaiki.
Memperbarui WordPress Saja Tidak Cukup
Alfons mengingatkan bahwa pengelola situs tidak boleh hanya berfokus pada pembaruan WordPress atau plugin. PHP2Shell berada pada lapisan mesin PHP di server, sehingga pembaruan aplikasi web tidak otomatis memperbaiki kerentanan tersebut.
Dalam praktiknya, sebuah situs dapat menggunakan WordPress versi terbaru tetapi tetap berjalan di lingkungan PHP yang rentan. Jika mesin PHP belum diperbarui atau belum memperoleh perbaikan yang sesuai, risiko pada lapisan tersebut masih dapat bertahan.
Situasi ini menjadi tantangan bagi pengelola situs yang menggunakan layanan hosting, server virtual, maupun infrastruktur yang dikelola sendiri. Tidak semua pengguna memiliki akses langsung untuk memperbarui mesin PHP, sehingga koordinasi dengan penyedia hosting atau administrator server mungkin diperlukan.
Untuk situs yang menggunakan PHP melalui Apache mod_php, tim PHP menyebut risiko lebih tinggi karena eksploitasi telah berhasil didemonstrasikan dalam konfigurasi tertentu tanpa harus melewati kode aplikasi terlebih dahulu. Lingkungan PHP-FPM dan beberapa implementasi lainnya juga perlu diperiksa sesuai versi dan konfigurasi masing-masing.
Karena itu, pemeriksaan keamanan perlu mencakup seluruh komponen yang menjalankan PHP, termasuk instalasi tersembunyi, container, produk pihak ketiga, serta layanan web yang memakai mesin PHP.
PHP Versi Lama Menjadi Tantangan
Menurut Alfons, salah satu persoalan yang perlu diperhatikan adalah penggunaan PHP versi lama yang masih bertahan pada sebagian server. Ia menyebut sekitar 59 persen instalasi PHP di dunia menggunakan versi yang tidak lagi memperoleh perbaikan resmi, berdasarkan statistik global yang dirujuknya.
Angka tersebut merupakan statistik global yang disampaikan Alfons, bukan data khusus Indonesia. Ia juga menegaskan belum memiliki data terukur mengenai jumlah server di Indonesia yang terdampak PHP2Shell.
Tim PHP telah merilis versi perbaikan untuk sejumlah cabang yang masih didukung. Versi yang diumumkan memperbaiki dua kerentanan tersebut adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35.
Sementara itu, PHP 8.1 dan versi yang lebih lama tidak lagi memperoleh pembaruan langsung dari proyek PHP. Meski demikian, beberapa distribusi Linux dan penyedia layanan dengan dukungan jangka panjang dapat menyediakan perbaikan yang di-backport ke paket mereka. Pengelola server perlu memeriksa informasi keamanan dari penyedia masing-masing.
Jika versi yang digunakan tidak lagi didukung, migrasi ke versi PHP yang masih menerima pembaruan keamanan menjadi langkah yang perlu direncanakan. Proses tersebut harus disertai pengujian kompatibilitas aplikasi agar perubahan versi tidak menyebabkan gangguan layanan.
Kode Eksploitasi Beredar, Pengelola Situs Diminta Segera Bertindak
Alfons memperingatkan bahwa kode eksploitasi PHP2Shell telah beredar dan menyampaikan bahwa serangan telah dilancarkan. Situasi ini membuat pengelola situs perlu menganggap pemeriksaan serta pemasangan pembaruan sebagai kebutuhan mendesak, bukan pekerjaan pemeliharaan yang dapat ditunda.
Namun, status eksploitasi perlu dibaca berdasarkan waktu dan sumber pelaporan. Peringatan Canadian Centre for Cyber Security pada 21 Oktober 2026 menyebut lembaga tersebut belum mengidentifikasi eksploitasi aktif berdasarkan informasi yang tersedia saat itu, meskipun kode proof of concept telah dilaporkan beredar dan situasi dapat berubah dengan cepat.
Perbedaan laporan tersebut tidak menghilangkan risiko teknis. Pengelola server tetap perlu memprioritaskan sistem yang terhubung langsung ke internet, khususnya aplikasi yang memproses masukan dari pengguna dan belum menerima patch keamanan.
Langkah pencegahan yang disarankan mencakup memperbarui PHP ke versi yang telah diperbaiki, memeriksa komponen pihak ketiga yang menyertakan PHP, serta meninjau log server dan aplikasi untuk menemukan aktivitas mencurigakan. Jika perbaikan belum dapat diterapkan segera, pembatasan sementara akses aplikasi dari jaringan publik dapat dipertimbangkan sesuai penilaian risiko.
Pengelola juga perlu memeriksa proses yang berjalan secara tidak wajar, berkas yang tidak dikenal, akun baru yang tidak diharapkan, atau koneksi keluar yang mencurigakan. Apabila ditemukan indikasi kompromi, penanganannya harus mencakup investigasi insiden dan pemulihan sistem, bukan hanya mengganti versi PHP.
Apa yang Perlu Dilakukan Pengelola Situs di Indonesia?
Bagi administrator server dan pemilik situs, langkah awal adalah mengidentifikasi versi PHP yang benar-benar digunakan pada lingkungan produksi. Informasi versi yang terlihat di panel hosting belum selalu cukup jika situs menggunakan beberapa runtime atau container berbeda.
Setelah itu, cocokkan versi tersebut dengan daftar pembaruan keamanan resmi. Jika server dikelola penyedia hosting, segera tanyakan status patch dan minta konfirmasi bahwa seluruh layanan yang relevan sudah diperbarui.
Pengelola situs juga sebaiknya memastikan cadangan data tersedia, membatasi akses administratif, dan memantau aktivitas server setelah pembaruan dilakukan. Jika terdapat dugaan serangan, simpan log terkait untuk keperluan penyelidikan dan jangan menganggap pemasangan patch otomatis menghapus jejak kompromi yang mungkin telah terjadi sebelumnya.
Bagi pengguna WordPress yang tidak mengelola server sendiri, langkah paling praktis adalah menghubungi penyedia hosting dan menanyakan versi PHP serta status perbaikannya. Memperbarui WordPress, tema, dan plugin tetap penting, tetapi perlu dilakukan bersamaan dengan pengamanan lingkungan server.
PHP2Shell menunjukkan bahwa keamanan situs tidak hanya bergantung pada aplikasi yang terlihat oleh pengguna. Mesin pemroses, konfigurasi server, dan komponen pendukung juga perlu dipelihara. Penanganan yang cepat dan pemeriksaan menyeluruh dapat membantu mengurangi kemungkinan kerentanan kritis dimanfaatkan oleh pihak tidak bertanggung jawab.
