Celah Keamanan PHP php2shell (CVE-2026-109618 & CVE-2026-109619): Cara Amankan Website

Celah keamanan PHP "php2shell" (CVE-2026-109618 & CVE-2026-109619) berbahaya bagi hampir semua website. Pahami risikonya dan langkah mengamankan website bisnis Anda.

Pada 21 Oktober 2026, tim PHP merilis perbaikan untuk dua celah kritis yang kemudian dijuluki php2shell oleh para peneliti keamanan. Keduanya memungkinkan penyerang menjalankan perintah di server tanpa perlu login, hanya dengan mengirim permintaan ke website. Karena PHP menjalankan mayoritas website di dunia — termasuk WordPress, Laravel, dan toko online — celah ini relevan untuk hampir semua pemilik website.

Artikel ini menjelaskan apa itu php2shell dengan bahasa sederhana, bagaimana mengecek apakah website Anda terdampak, dan langkah konkret untuk mengamankannya.

Apa Itu php2shell?

"php2shell" adalah julukan yang dipakai peneliti dan media keamanan untuk sepasang kerentanan di inti bahasa PHP; tim PHP sendiri menyebutnya dengan kode CVE. Istilah "shell" merujuk pada kemampuan menjalankan perintah di server — sesuatu yang seharusnya hanya bisa dilakukan oleh administrator. Kedua celah ini memberi jalan pintas dari "pengunjung biasa" menuju "kendali atas server", sehingga tim PHP memberi keduanya skor CVSS v4.0 9,2 dari 10 (Kritis).

Yang membuatnya serius: penyerang tidak perlu akun, kata sandi, atau plugin tertentu. Celah ada di fondasi PHP, bukan di tema atau ekstensi. Fitur "session upload progress" yang aktif secara bawaan menjadi salah satu pintu masuk yang sudah dikonfirmasi.

Celah ini juga bukan sekadar teori. Perusahaan riset keamanan watchTowr melaporkan bahwa keduanya sudah dieksploitasi di dunia nyata, dan lembaga keamanan siber Amerika Serikat (CISA) memasukkannya ke katalog Known Exploited Vulnerabilities pada 26 Oktober 2026. Artinya, website yang belum diperbarui berpotensi menjadi sasaran serangan otomatis.

Apakah Website Saya Terdampak?

Kemungkinan besar, ya — jika website Anda dibuat dengan PHP dan belum diperbarui sejak 21 Oktober 2026. Menurut tim PHP, semua instalasi PHP yang melayani permintaan web berisiko, termasuk PHP-FPM (yang umum dipakai bersama Nginx), Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Risiko tertinggi ada pada Apache dengan mod_php, karena serangan bisa terjadi sebelum kode aplikasi sempat berjalan. Tidak ada "versi lama yang kebetulan aman".

Versi PHP yang sudah diperbaiki adalah:

Jika website Anda masih memakai PHP 8.1 ke bawah, ini sekaligus peringatan untuk segera naik ke versi yang masih didukung — bukan hanya demi celah ini, tetapi untuk keamanan jangka panjang. Pengguna PHP 8.2 juga sebaiknya mulai merencanakan migrasi ke 8.3 atau lebih baru, karena dukungan 8.2 berakhir akhir tahun ini.

Langkah Mengamankan Website Anda

Untuk pemilik website (non-teknis)

1. Hubungi pengelola atau penyedia hosting Anda dan tanyakan dua hal: versi PHP yang dipakai sekarang, dan apakah sudah diperbarui ke versi perbaikan di atas.
2. Minta konfirmasi bahwa layanan web sudah di-restart setelah pembaruan. Tanpa restart, proses lama yang masih rentan bisa tetap berjalan.
3. Pastikan backup terbaru tersedia sebelum perubahan apa pun dilakukan.
4. Jika memakai hosting berbagi (shared hosting), cek panel (cPanel/Plesk) pada menu "Select PHP Version" — banyak penyedia sudah menyediakan versi yang dipatch.

Untuk developer dan administrator server

Perbarui ke versi perbaikan, lalu restart layanan PHP agar worker lama yang masih memuat kode rentan tidak lagi melayani permintaan:

• Debian/Ubuntu: perbarui paket php8.3 (atau versi Anda), lalu restart php8.3-fpm. Ubuntu sudah merilis paket perbaikan untuk semua rilis yang masih didukung.
• AlmaLinux/RHEL: jalankan pembaruan paket php — perbaikan di-backport, jadi periksa versi paket dengan rpm -q php-common, bukan hanya php -v.
• Verifikasi versi yang benar-benar berjalan cocok dengan versi perbaikan, dan pastikan proses master PHP-FPM mulai setelah waktu pembaruan.

Sebagai mitigasi sementara bila belum bisa langsung memperbarui, tim PHP menyarankan mengatur session.upload_progress.enabled = 0 di php.ini atau konfigurasi pool PHP-FPM, lalu me-restart semua worker. Di PHP 8.5, atur juga fatal_error_backtraces = 0. Tim PHP menegaskan tidak ada mitigasi yang benar-benar lengkap: pembaruan adalah satu-satunya pilihan yang aman.

Kenapa Pembaruan Rutin Itu Penting

php2shell adalah pengingat bahwa keamanan website bukan pekerjaan sekali jadi. Celah baru muncul secara berkala, dan jarak antara "detail bocor" dan "serangan massal" sering kali hanya hitungan hari. Website yang dikelola dengan baik — dengan PHP terbaru, pembaruan rutin, dan pemantauan — jauh lebih sulit ditembus daripada website yang dibiarkan.

Di Insan Cita Multimedia, setiap website yang kami kelola menjalankan versi PHP yang didukung dan memperoleh pembaruan keamanan secara berkala, sehingga celah seperti ini bisa ditutup cepat tanpa harus membuat Anda panik lebih dulu.

Penutup

php2shell (CVE-2026-109618 & CVE-2026-109619) adalah celah kritis yang memengaruhi hampir semua website berbasis PHP. Kabar baiknya, perbaikannya sudah tersedia dan langkahnya jelas: perbarui PHP ke versi yang dipatch, lalu restart layanan web. Jika Anda tidak yakin website Anda sudah aman, jangan menunda untuk memeriksanya.

Butuh bantuan memeriksa dan mengamankan website bisnis Anda? Lihat layanan Web Development & pemeliharaan kami atau konsultasikan via WhatsApp.

Pertanyaan yang Sering Diajukan

Keyword Target: php2shell, celah keamanan php, CVE-2026-109618, CVE-2026-109619, keamanan website, cara update php, jasa pemeliharaan website tasikmalaya.