Celah Kritis PHP2Shell: Segera Update PHP Anda

Dua celah keamanan PHP berperingkat kritis, yang dijuluki PHP2Shell, memungkinkan penyerang menjalankan kode dari jarak jauh tanpa login. Tim PHP merilis tambalan darurat pada 21 Oktober 2026, dan Cloudflare melaporkan serangan sudah terjadi sebelum tambalan keluar. Karena PHP menjalankan sebagian besar situs web, termasuk WordPress dan Laravel, siapa pun yang mengelola server PHP perlu memperbarui sekarang.

Apa yang terjadi

Dua kerentanan tercatat sebagai CVE-2026-109618 dan CVE-2026-109619. Keduanya diberi skor 9,2 dari 10 pada CVSS v4.0 menurut pengumuman PHP. Beberapa laporan awal sempat menyebut skor 10,0, jadi angka ini bisa berbeda antar sumber.

Pengungkapan awalnya dijadwalkan 22 Oktober, tetapi rincian bocor lebih awal pada 20 Oktober. Tim PHP lalu mempercepat rilis darurat ke 21 Oktober 2026 pukul 14.00 UTC. Menurut BleepingComputer, para peneliti dari Calif, OpenAI, dan Wiz yang menemukan celah ini.

Patchstack mencatat bahwa per 21 Oktober sudah ada upaya pemindaian dan beberapa insiden eksploitasi aktif yang dilaporkan ke mitra keamanan. Cloudflare memasang aturan WAF darurat untuk semua pelanggan, termasuk paket gratis, tetapi menegaskan aturan itu bukan pengganti tambalan. Laporan media juga menyebut sejumlah situs di Eropa sempat offline, sebagian sebagai langkah berjaga-jaga, dan lembaga keamanan di AS, Inggris, Uni Eropa, Kanada, Australia, dan Jepang mendesak organisasi segera menambal.

Siapa yang terdampak

Cakupannya luas. BleepingComputer menyebut semua instalasi PHP yang melayani permintaan web terdampak, baik lewat PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, maupun LiteSpeed. Patchstack menambahkan bahwa setiap versi PHP sejak 5.4 rentan terhadap setidaknya satu dari dua celah ini. Aplikasi yang berjalan di atas PHP, seperti WordPress, Drupal, Magento, Joomla, dan Laravel, ikut berisiko karena celahnya ada di PHP itu sendiri, bukan di aplikasinya.

Risiko tertinggi ada pada Apache dengan mod_php. Pada konfigurasi itu, satu permintaan tanpa autentikasi sudah bisa memicu serangan sebelum kode aplikasi dijalankan. Sumber yang sama mencatat bahwa bahkan aplikasi "Hello World" ikut rentan.

Versi yang sudah diperbaiki adalah:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Untuk PHP 7.4, 8.0, dan 8.1, proyek PHP hanya menyediakan backport sumber karena versi 8.1 ke bawah tidak lagi menerima pembaruan resmi. Ini penting bagi banyak hosting dan sistem lama di Indonesia yang masih memakai versi tersebut.

Cara kerja celah keamanan PHP ini

Penjelasan berikut sengaja dibuat tingkat tinggi. Kedua celah berkaitan dengan cara PHP mengelola memori saat memproses permintaan web.

• CVE-2026-109618: saat PHP kehabisan memori, data internal permintaan bisa tertinggal dalam kondisi setengah terinisialisasi. Logika pembersihan kemudian memperlakukan data tidak valid itu seolah sah, sehingga memicu kerusakan memori dan berpotensi eksekusi kode dengan hak akses proses web.
• CVE-2026-109619: proses worker menyimpan state global yang sudah dibebaskan, lalu memakainya lagi pada permintaan berikutnya sebelum direset. Akibatnya terjadi use-after-free di heap, kebocoran isi memori, dan potensi eksekusi kode.

Eksekusi kode yang dimaksud berjalan sebagai pengguna proses web (misalnya www-data). Dari posisi itu penyerang bisa membaca berkas konfigurasi, mencuri kredensial database, atau menanam web shell. Karena itu insiden sering berlanjut menjadi pencurian data atau ransomware. Untuk latar belakangnya, baca Memahami Ransomware: Pengertian, Jenis, dan Strategi Pencegahan.

Yang perlu dilakukan sekarang

Satu-satunya perlindungan penuh adalah memperbarui PHP. Mitigasi sementara hanya mengurangi risiko dan tidak membuat server aman. Daftar berikut bisa dipakai sebagai urutan kerja:

• Inventarisasi semua server, container, dan hosting yang menjalankan PHP, termasuk yang jarang disentuh. Cek versi dengan php -v.
  
• Perbarui ke 8.5.12, 8.4.27, 8.3.36, atau 8.2.35. Untuk 8.1 ke bawah, pindah ke cabang yang masih didukung, atau pakai paket backport dari vendor distribusi Anda.
  
• Perbarui juga image Docker dan runtime yang membundel PHP, lalu deploy ulang. Memperbarui paket di host saja tidak mengubah container yang sedang berjalan.
  
• Restart PHP-FPM atau Apache setelah pembaruan, lalu pastikan versi baru benar-benar aktif.
  
• Selama menunggu pembaruan, terapkan mitigasi parsial: matikan session.upload_progress.enabled, batasi post_max_size, pasang batas memori lewat container atau cgroup, dan aktifkan aturan WAF dari penyedia Anda.
  
• Jika sistem tidak bisa ditambal cepat, pertimbangkan mengisolasinya dari internet. Menurut laporan, FBI dan NSA menyarankan langkah ini.
  
• Periksa log akses dan berkas mencurigakan di direktori web, terutama permintaan multipart dalam jumlah tidak wajar sejak 20 Oktober.
  
• Jika ada indikasi kompromi, ganti kredensial database dan API key, lalu lakukan pemulihan dari cadangan yang bersih.
  

Tim IT di perbankan dan layanan publik sebaiknya memasukkan ini sebagai insiden prioritas tinggi. Eksploitasi aktif, kebutuhan autentikasi nol, dan luasnya penggunaan PHP membuat jendela waktu untuk bertindak sangat sempit.

Sumber

• BleepingComputer: PHP ships emergency patches for critical PHP2Shell flaws
• BleepingComputer: PHP warns admins of two critical flaws, emergency patches coming tomorrow
• Patchstack: PHP major vulnerability alert (Oktober 2026)
• Kucoin News: PHP Patches Two Critical Vulnerabilities Amid Early Exploits
• WJLA: Critical PHP flaws put millions of websites at risk