Celah keamanan PHP "php2shell" (CVE-2026-109618 & CVE-2026-109619) berbahaya bagi hampir semua website. Pahami risikonya dan langkah mengamankan website bisnis Anda.
Pada 21 Oktober 2026, tim keamanan PHP merilis perbaikan untuk dua celah kritis yang dijuluki php2shell. Keduanya memungkinkan penyerang menjalankan perintah di server tanpa perlu login, hanya dengan mengirim permintaan ke website. Karena PHP menjalankan mayoritas website di dunia — termasuk WordPress, Laravel, dan toko online — celah ini relevan untuk hampir semua pemilik website.
Artikel ini menjelaskan apa itu php2shell dengan bahasa sederhana, bagaimana mengecek apakah website Anda terdampak, dan langkah konkret untuk mengamankannya.
Apa Itu php2shell?
"php2shell" adalah julukan untuk sepasang kerentanan di inti bahasa PHP. Istilah "shell" merujuk pada kemampuan menjalankan perintah di server — sesuatu yang seharusnya hanya bisa dilakukan oleh administrator. Kedua celah ini memberi jalan pintas dari "pengunjung biasa" menuju "kendali atas server", sehingga diberi tingkat keparahan 9,2 dari 10 (Kritis).
| Kode CVE | Inti masalah | Dampak |
|---|---|---|
| CVE-2026-109618 | PHP salah menangani kondisi kehabisan memori saat memproses permintaan, menyisakan data yang rusak. | Eksekusi kode jarak jauh |
| CVE-2026-109619 | Sisa data dari satu permintaan masih terbaca oleh permintaan berikutnya pada proses yang sama. | Kebocoran memori & eksekusi kode |
Yang membuatnya serius: penyerang tidak perlu akun, kata sandi, atau plugin tertentu. Celah ada di fondasi PHP, bukan di tema atau ekstensi. Fitur "session upload progress" yang aktif secara bawaan menjadi salah satu pintu masuk yang sudah dikonfirmasi.
Apakah Website Saya Terdampak?
Kemungkinan besar, ya — jika website Anda dibuat dengan PHP dan belum diperbarui sejak 21 Oktober 2026. Menurut tim PHP, semua instalasi yang melayani permintaan web berisiko, baik yang memakai Apache, Nginx dengan PHP-FPM, maupun LiteSpeed. Tidak ada "versi lama yang kebetulan aman".
Versi PHP yang sudah diperbaiki adalah:
| Jalur versi PHP | Versi perbaikan | Status |
|---|---|---|
| PHP 8.5 | 8.5.12 | Didukung |
| PHP 8.4 | 8.4.27 | Didukung |
| PHP 8.3 | 8.3.36 | Didukung |
| PHP 8.2 | 8.2.35 | Didukung |
| PHP 8.1 dan lebih lama | — | Sudah habis masa dukungan, tanpa perbaikan resmi |
Jika website Anda masih memakai PHP 8.1 ke bawah, ini sekaligus peringatan untuk segera naik ke versi yang masih didukung — bukan hanya demi celah ini, tetapi untuk keamanan jangka panjang.
Langkah Mengamankan Website Anda
Untuk pemilik website (non-teknis)
- Hubungi pengelola atau penyedia hosting Anda dan tanyakan dua hal: versi PHP yang dipakai sekarang, dan apakah sudah diperbarui ke versi perbaikan di atas.
- Minta konfirmasi bahwa layanan web sudah di-restart setelah pembaruan. Tanpa restart, proses lama yang masih rentan bisa tetap berjalan.
- Pastikan backup terbaru tersedia sebelum perubahan apa pun dilakukan.
- Jika memakai hosting berbagi (shared hosting), cek panel (cPanel/Plesk) pada menu "Select PHP Version" — banyak penyedia sudah menyediakan versi yang dipatch.
Untuk developer dan administrator server
Perbarui ke versi perbaikan, lalu wajib restart layanan PHP agar worker lama tidak lagi melayani permintaan:
- Debian/Ubuntu: perbarui paket
php8.3(atau versi Anda), lalu restartphp8.3-fpm. - AlmaLinux/RHEL: jalankan pembaruan paket
php— perbaikan di-backport, jadi periksa versi paket denganrpm -q php-common, bukan hanyaphp -v. - Verifikasi versi yang benar-benar berjalan cocok dengan versi perbaikan, dan pastikan proses master PHP-FPM mulai setelah waktu pembaruan.
Sebagai mitigasi sementara bila belum bisa langsung memperbarui, nonaktifkan fitur session upload progress melalui php.ini atau pool PHP-FPM (session.upload_progress.enabled = 0), dan batasi ukuran unggahan (post_max_size). Terapkan lewat konfigurasi server, bukan lewat ini_set() atau .user.ini. Mitigasi ini mengurangi risiko, tetapi bukan pengganti pembaruan.
Kenapa Pembaruan Rutin Itu Penting
php2shell adalah pengingat bahwa keamanan website bukan pekerjaan sekali jadi. Celah baru muncul secara berkala, dan jarak antara "detail bocor" dan "serangan massal" sering kali hanya hitungan hari. Website yang dikelola dengan baik — dengan PHP terbaru, pembaruan rutin, dan pemantauan — jauh lebih sulit ditembus daripada website yang dibiarkan.
Di Insan Cita Multimedia, setiap website yang kami kelola menjalankan versi PHP yang didukung dan memperoleh pembaruan keamanan secara berkala, sehingga celah seperti ini bisa ditutup cepat tanpa harus membuat Anda panik lebih dulu.
Penutup
php2shell (CVE-2026-109618 & CVE-2026-109619) adalah celah kritis yang memengaruhi hampir semua website berbasis PHP. Kabar baiknya, perbaikannya sudah tersedia dan langkahnya jelas: perbarui PHP ke versi yang dipatch, lalu restart layanan web. Jika Anda tidak yakin website Anda sudah aman, jangan menunda untuk memeriksanya.
Butuh bantuan memeriksa dan mengamankan website bisnis Anda? Lihat layanan Web Development & pemeliharaan kami atau konsultasikan via WhatsApp.
Pertanyaan yang Sering Diajukan
php -v di server atau melalui panel hosting. Pastikan versi yang berjalan termasuk salah satu versi perbaikan.Keyword Target: php2shell, celah keamanan php, CVE-2026-109618, CVE-2026-109619, keamanan website, cara update php, jasa pemeliharaan website tasikmalaya.
