PHP2Shell: Situs Kamu Aman? Cek Versi PHP-nya Sekarang!

Website berbasis PHP bisa tetap rentan meski plugin, tema, dan kode aplikasinya sudah aman. Penyebabnya adalah PHP2Shell, dua celah keamanan PHP 2026 yang memungkinkan penyerang menjalankan kode di server tanpa login. Artikel ini membahas apa itu PHP2Shell, dampaknya bagi website, cara cek versi PHP, serta langkah yang perlu kamu lakukan untuk melindungi situs.

Apa Itu PHP2Shell?

PHP2Shell adalah sebutan untuk dua kerentanan keamanan kritis pada inti PHP yang dapat memungkinkan penyerang menjalankan kode dari jarak jauh atau remote code execution (RCE) tanpa autentikasi. Kedua celah ini memiliki skor keparahan CVSS 9.2 dan tercatat sebagai CVE-2026-109618 serta CVE-2026-109619.

Nama PHP2Shell berasal dari istilah PHP to shell, yang menggambarkan risiko ketika sebuah permintaan ke website berujung pada eksekusi perintah di server. Masalahnya bukan terletak pada plugin atau tema tertentu, melainkan pada cara PHP mengelola memori. 

Artinya, aplikasi dengan kode yang relatif aman pun bisa terdampak jika dijalankan menggunakan versi PHP yang rentan.

Baca Juga: Cek Fitur PHP 8.5: Perlu Update Sekarang atau Nanti Saja?

Menurut php2shell.com, PHP digunakan oleh sekitar 70% website di dunia, termasuk WordPress, Drupal, dan MediaWiki. Luasnya penggunaan ini membuat celah pada inti PHP berpotensi berdampak besar.

Berikut ringkasan kedua CVE tersebut.

Dalam sistem keamanan, Common Vulnerabilities and Exposures (CVE) adalah sistem identifikasi kerentanan yang membantu tim teknis mengenali dan melacak celah keamanan tertentu. Dua ID tersebut memudahkan pengelola website mencari informasi dan memastikan pembaruan yang sesuai sudah diterapkan.

Baca Juga: Apple Tak Mau Buru-buru: Pelajaran iPhone Duo buat Developer

Kenapa PHP2Shell Ramai Dibahas?

PHP2Shell menjadi perhatian developer hingga pemilik website karena celah ini berada di inti PHP, berdampak pada berbagai aplikasi, dan informasinya sempat beredar sebelum patch resmi tersedia.

Berdasarkan pengumuman keamanan PHP, kronologinya berlangsung cepat:

• 20 Oktober 2026: Informasi tentang dua kerentanan kritis mulai beredar sebelum pengungkapan resmi.
• 21 Oktober 2026: Tim PHP mempercepat jadwal rilis pembaruan keamanan untuk merespons situasi tersebut.
• 21 Oktober 2026: Versi PHP yang telah diperbaiki dirilis, yaitu PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35.

Ada tiga hal yang membuat situasi ini perlu diperhatikan:

• Pertama, karena kerentanan berada di inti PHP, memperbarui CMS atau plugin saja tidak menyelesaikan masalah. 
• Kedua, informasi yang bocor sebelum patch tersedia berpotensi memberi waktu bagi penyerang untuk mempelajari celah tersebut. 
• Ketiga, PHP 8.1 dan versi yang lebih lama tidak tercakup dalam rilis perbaikan reguler yang disebutkan di atas.

Bagaimana Cara Kerja Serangan PHP2Shell?

Untuk memahami cara kerja PHP2Shell, bayangkan serangan ini sebagai rangkaian kejadian. Hacker memicu gangguan pada PHP, lalu memanfaatkan bug yang muncul untuk menjalankan kode berbahaya di server. Berikut lima tahap sederhananya.

1. Hacker mengunggah file yang dirancang khusus

Serangan dimulai ketika hacker mengirim file upload yang sengaja dibuat untuk memicu kondisi tertentu pada PHP. File ini bukan sekadar file biasa, melainkan pemicu dari rangkaian serangan PHP2Shell.

2. PHP kehabisan memori (OOM)

File tersebut memicu kondisi out of memory (OOM), yaitu ketika PHP kehabisan memori yang tersedia. Kondisi ini mengganggu proses yang sedang berjalan dan menjadi pemicu tahap berikutnya.

3. PHP keluar dari proses menggunakan longjmp()

Saat terjadi OOM, PHP mencoba keluar dari proses yang sedang berjalan menggunakan fungsi longjmp(). Masalahnya, proses keluar yang tidak ditangani dengan benar dapat memicu bug pada mekanisme internal PHP.

4. Data yang belum selesai diproses menjadi tidak konsisten

Akibat bug tersebut, data yang masih dalam proses bisa berada dalam kondisi rusak atau tidak konsisten, tetapi tetap diperlakukan seolah-olah valid. Kondisi inilah yang kemudian dapat dimanfaatkan dalam serangan.

5. Hacker berpotensi menjalankan kode dari jarak jauh (RCE)

Dengan memanfaatkan kondisi tersebut, hacker dapat berupaya menjalankan kode berbahaya dari jarak jauh atau RCE. Jika berhasil, serangan ini bisa mengancam keamanan server dan data yang tersimpan di dalamnya.

Intinya: PHP2Shell bukan sekadar masalah file upload. Rangkaian ini melibatkan kondisi kehabisan memori dan bug pada PHP yang berpotensi membuka jalan bagi eksekusi kode berbahaya. 

Karena itu, memeriksa versi PHP dan memasang pembaruan keamanan yang sesuai menjadi langkah penting untuk mengurangi risiko.

Apa Dampaknya bagi Pengelola Website Berbasis PHP?

Jika berhasil dieksploitasi, PHP2Shell tidak hanya menyebabkan error di website secara tampilan. Dampaknya dapat menjalar ke data, server, dan operasional bisnis.

• Pengambilalihan server: Penyerang berpotensi menjalankan kode dengan hak akses proses web, mengubah halaman website, atau memasang webshell.
• Kebocoran data sensitif: Informasi dalam database, file konfigurasi .env, password, token, dan API key dapat terancam.
• Kebocoran memori: Data dari permintaan lain yang ditangani proses PHP berpotensi terbaca, bahkan tanpa selalu berujung pada RCE.
• Gangguan layanan: Error berulang atau eksploitasi tertentu dapat menyebabkan worker PHP gagal bekerja sehingga website terganggu.

Risiko ini relevan bagi website WordPress, Drupal, Joomla, Laravel, Magento, MediaWiki, Moodle, dan Nextcloud jika dijalankan pada lingkungan PHP yang rentan. Namun, hal tersebut tidak berarti semua instalasi aplikasi tersebut pasti sudah disusupi.

Penting untuk dipahami bahwa memperbarui WordPress, tema, atau plugin tidak sama dengan memperbarui PHP. Ketiganya berada pada lapisan berbeda. Karena itu, keamanan website perlu diperiksa mulai dari aplikasi hingga lingkungan server yang menjalankannya.

Apakah Website Kamu Terdampak? Cek Versi PHP Sekarang

Langkah pertama adalah mengetahui versi PHP yang digunakan website. Berikut acuan versi perbaikan pertama yang disebutkan dalam pengumuman keamanan PHP2Shell.

Kamu bisa cek versi PHP melalui beberapa cara berikut:

1. Panel hosting: Buka panel hosting dan cari menu pengaturan versi PHP, misalnya MultiPHP Manager di cPanel.
2. WordPress: Masuk ke menu Tools atau Peralatan, pilih Site Health, lalu periksa informasi server.
3. Terminal server: Jika memiliki akses SSH, jalankan perintah php -v untuk melihat versi PHP CLI.

Perlu diingat, hasil php -v belum tentu sama dengan versi PHP yang melayani website. Server dapat memiliki beberapa instalasi PHP dengan konfigurasi berbeda. 

Jika menggunakan phpinfo() untuk pemeriksaan melalui browser, hapus file tersebut setelah selesai karena informasinya dapat membantu pihak lain memetakan konfigurasi server.

Setelah mengetahui versinya, jangan berhenti pada nomor yang terlihat. Pastikan juga penyedia hosting atau vendor server telah memasukkan patch keamanan PHP2Shell yang sesuai.

Cara Mengatasi PHP2Shell: Langkah Mitigasi

Cara penanganan bergantung pada jenis hosting yang kamu gunakan. Namun, prinsip utamanya sama: memasang versi PHP yang telah diperbaiki merupakan mitigasi lengkap yang direkomendasikan. Pengaturan tambahan hanya membantu mengurangi risiko sementara dan tidak menggantikan patch.

Jika Menggunakan Shared Hosting

Pada shared hosting, PHP umumnya dikelola oleh penyedia hosting. Kamu mungkin bisa memilih versi PHP melalui panel, tetapi belum tentu memiliki akses untuk memasang patch sendiri.

Lakukan langkah berikut:

1. Periksa versi PHP melalui panel hosting. Jika masih menggunakan PHP 8.1 atau lebih lama, diskusikan rencana upgrade ke versi yang didukung. Uji kompatibilitas website setelah pergantian karena tema atau plugin lama mungkin tidak cocok.
2. Hubungi penyedia hosting dan tanyakan apakah paket PHP yang digunakan sudah mendapatkan patch untuk CVE-2026-109618 dan CVE-2026-109619. Memilih PHP 8.3 di panel belum tentu berarti menggunakan build 8.3.36.
3. Aktifkan perlindungan tambahan seperti Web Application Firewall (WAF) jika tersedia. WAF dapat membantu menyaring permintaan berbahaya, tetapi tidak menggantikan patch.
4. Backup file dan database di lokasi terpisah serta pantau file asing, akun admin baru, dan error server yang berulang.

Jangan mengandalkan perubahan .user.ini atau ini_set() sebagai solusi utama karena pengaturan tersebut belum tentu berlaku sebelum request diproses. Jika penyedia belum dapat memastikan status patch, minta penjelasan teknis dan pertimbangkan migrasi ke layanan yang mampu memenuhi kebutuhan keamanan website kamu.

Jika Mengelola VPS atau Server Sendiri

Pengguna VPS memiliki kontrol lebih besar, tetapi juga bertanggung jawab atas pembaruan dan konfigurasi server.lakukan langkah berikut untuk mengurangi risiko kerentanan PHP2Shell.

1. Cek versi PHP

Jalankan perintah ini di terminal server:

php -v

Cocokkan versi yang muncul dengan daftar versi PHP yang sudah mendapat patch keamanan.

2. Perbarui PHP

Upgrade ke versi yang telah diperbaiki untuk kerentanan terkait. Sebelum pembaruan, backup data dan uji kompatibilitas aplikasi agar layanan tetap berjalan normal.

3. Periksa konfigurasi server

Tinjau konfigurasi PHP dan fitur upload file pada aplikasi. Terapkan validasi file serta pembatasan akses sesuai kebutuhan, tetapi jangan mengandalkannya sebagai pengganti patch keamanan.

4. Restart dan verifikasi

Jika diperlukan, restart layanan terkait setelah pembaruan. Jalankan kembali php -v untuk memastikan versi PHP sudah sesuai.

5. Pantau log server

Periksa log server dan aplikasi untuk mendeteksi aktivitas mencurigakan. Jika ada indikasi serangan, lakukan investigasi lebih lanjut dan amankan sistem.

Pastikan kamu merujuk pengumuman resmi PHP untuk mengetahui versi patch yang tepat sebelum melakukan pembaruan.

Kesimpulan

PHP2Shell menunjukkan bahwa keamanan website tidak cukup dijaga dengan memperbarui plugin dan tema. Kamu juga perlu memastikan inti PHP telah mendapatkan patch keamanan yang sesuai. 

Mulailah dengan cek versi PHP, konfirmasi status pembaruan kepada penyedia hosting, dan segera tangani kerentanan yang ditemukan.

Jika membutuhkan kontrol lebih besar terhadap konfigurasi server, VPS Murah dari IDwebhost bisa menjadi pilihan untuk mendukung website personal brand, portofolio, maupun blog profesional. 

Dengan fleksibilitas pengelolaan server, kamu dapat menyesuaikan lingkungan website sesuai kebutuhan. Tetap pastikan pembaruan keamanan, backup, dan pemantauan server dilakukan secara rutin agar website lebih siap menghadapi risiko keamanan.