PHP Merilis Patch Darurat untuk Tutup Dua Celah PHP2Shell

Pengelola website yang menggunakan PHP menghadapi ancaman eksekusi kode berbahaya dari jarak jauh akibat dua kerentanan kritis yang dikenal sebagai PHP2Shell. Tim pengembang PHP merilis pembaruan keamanan darurat pada Rabu (21/10/2026) untuk menutup celah tersebut, yang dapat dieksploitasi tanpa akun maupun kata sandi.

Dilansir dari Detik iNET, kedua kerentanan itu tercatat dengan nomor CVE-2026-109618 dan CVE-2026-109619. Masing-masing memiliki skor keparahan CVSS 9,2 dari skala 10, sehingga pengelola sistem perlu memastikan server mereka menggunakan versi PHP yang telah diperbaiki.

Kerentanan tersebut berdampak pada sejumlah konfigurasi PHP yang melayani permintaan web, termasuk PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Menurut laporan BleepingComputer, konfigurasi Apache mod_php memiliki risiko tinggi karena permintaan tanpa autentikasi dapat memicu eksploitasi sebelum kode aplikasi website dijalankan.

Tim pengembang PHP menegaskan bahwa pembaruan perangkat lunak merupakan langkah perlindungan utama karena tidak tersedia mitigasi yang sepenuhnya mengatasi kedua celah tersebut.

"Tidak ada mitigasi yang sepenuhnya mengatasi kerentanan ini. Melakukan pembaruan adalah satu-satunya pilihan yang aman," demikian pernyataan tim pengembang PHP yang dikutip pada Kamis (22/10/2026).

Tim PHP menyediakan perbaikan untuk empat cabang versi yang masih tercantum dalam daftar pembaruan keamanan. Versi yang telah diperbaiki meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35.

Pengguna versi lama pada setiap cabang tersebut disarankan memasang pembaruan yang sesuai. Sementara itu, PHP 8.1 dan versi sebelumnya tidak lagi menerima pembaruan keamanan reguler dari proyek PHP.

Meski demikian, sejumlah distributor Linux dan penyedia dukungan jangka panjang atau LTS mungkin menyediakan patch khusus untuk versi lama. Tim PHP juga menyediakan perbaikan kode sumber terbatas untuk PHP 7.4, 8.0, dan 8.1 bagi pengguna yang membangun PHP sendiri atau tidak memiliki akses ke dukungan LTS.

Dukungan keamanan PHP 8.2 dijadwalkan berakhir pada 31 Desember 2026. Pengguna cabang tersebut perlu mempertimbangkan migrasi ke versi yang masih memperoleh dukungan keamanan.

Administrator dapat memeriksa versi PHP melalui panel hosting, seperti MultiPHP Manager atau Select PHP Version pada cPanel, maupun melalui terminal server. Namun, versi PHP pada lingkungan command line belum tentu sama dengan versi yang digunakan untuk menjalankan website.

Sebelum memperbarui sistem, pengelola disarankan mencadangkan berkas dan basis data, memeriksa kompatibilitas aplikasi, CMS, plugin, serta framework, kemudian memasang versi yang telah diperbaiki. Setelah pembaruan, layanan PHP dan server web perlu diperiksa untuk memastikan komponen yang aktif sudah menggunakan versi aman.

Pada layanan shared hosting, pengguna umumnya tidak memiliki akses untuk memperbarui komponen PHP di tingkat server. Mereka perlu mengonfirmasi kepada penyedia hosting mengenai versi PHP yang aktif, status perbaikan CVE-2026-109618 dan CVE-2026-109619, serta ketersediaan patch khusus dari vendor.

Laporan The Hacker News menyebut penggunaan web application firewall atau WAF dapat membantu mengurangi risiko eksploitasi, tetapi tidak menggantikan pembaruan resmi. Pengelola website tetap perlu memastikan perbaikan keamanan telah diterapkan pada komponen PHP yang melayani permintaan dari internet.