WordPress Ingatkan Pengguna Soal Celah Kritis PHP2Shell

Pengelola website berbasis WordPress perlu segera memeriksa keamanan PHP pada server mereka menyusul peringatan mengenai dua kerentanan kritis PHP2Shell. Celah yang dapat memungkinkan penyerang mengambil alih server tanpa akun maupun kata sandi ini menjadi perhatian setelah WordPress.org menerbitkan pengumuman keamanan pada Rabu (21/10/2026), dilansir dari Detik iNET.

Kedua kerentanan tersebut tercatat dengan identitas CVE-2026-109618 dan CVE-2026-109619. Berdasarkan sistem penilaian CVSS 4.0, masing-masing memiliki tingkat keparahan 9,2 dari skala 10.

Ancaman ini tidak terbatas pada WordPress, melainkan mencakup server yang menjalankan aplikasi PHP tanpa perbaikan keamanan yang sesuai. Pengguna PHP versi lama, terutama versi sebelum 8.2 yang sudah tidak menerima pembaruan keamanan dari proyek PHP, perlu memberi perhatian khusus.

Dalam pengumuman bertajuk Critical PHP Security Release, WordPress.org meminta pemilik website segera menangani kerentanan tersebut.

"Mengingat tingkat keparahan masalah ini, pemilik situs dianjurkan segera memperbarui instalasi PHP mereka," ujar WordPress.org dalam pengumuman resminya.

WordPress.org juga menjelaskan bahwa celah tersebut berasal dari lingkungan PHP, bukan dari sistem manajemen konten WordPress. Karena itu, pembaruan inti WordPress maupun komponen tambahannya tidak secara langsung menyelesaikan masalah keamanan pada server.

"Kerentanan ini tidak spesifik pada WordPress dan memengaruhi server apa pun yang menjalankan aplikasi PHP. Tidak diperlukan atau direncanakan pembaruan WordPress untuk masalah ini," jelas WordPress.org.

Pengembang PHP telah menyediakan perbaikan keamanan melalui versi 8.2.35, 8.3.36, 8.4.27, dan 8.5.12. Namun, nomor versi bukan satu-satunya indikator status keamanan karena penyedia sistem operasi dan layanan hosting dapat menerapkan perbaikan melalui mekanisme backport.

Melalui mekanisme tersebut, penyedia layanan dapat memasukkan perbaikan keamanan ke paket PHP yang mereka distribusikan tanpa mengubah nomor versi utama. Oleh sebab itu, pengelola server perlu memastikan status patch berdasarkan informasi dari penyedia sistem operasi atau hosting masing-masing.

Pemeriksaan versi PHP dapat dilakukan melalui dashboard administrator WordPress. Pengguna perlu membuka menu Perkakas, memilih Kesehatan Situs, masuk ke tab Info, lalu memeriksa bagian Server untuk menemukan informasi versi PHP.

Jika status pembaruan belum jelas, pengguna shared hosting dapat menghubungi penyedia layanan untuk memastikan patch telah diterapkan. Sementara itu, pengelola VPS atau server mandiri perlu memeriksa dan memasang pembaruan sesuai konfigurasi server mereka.

Sebelum melakukan peningkatan versi PHP, pengelola website disarankan mencadangkan data serta memeriksa kompatibilitas tema dan plugin. Untuk server yang belum dapat menerima patch, penghentian sementara layanan dapat dipertimbangkan sebagai langkah mitigasi, sedangkan penggunaan Web Application Firewall dapat membantu mengurangi risiko tanpa menggantikan kebutuhan pembaruan keamanan.