Kalau website atau aplikasi kamu jalan di PHP, ada kabar yang perlu segera diperhatikan. Tim keamanan PHP baru merilis patch untuk dua kerentanan kritis yang disebut PHP2Shell. Skornya 9.2 dari 10 — masuk kategori critical.
Yang membuat ini serius: celahnya ada di inti PHP sendiri, bukan di aplikasi WordPress, Laravel, atau framework lain. Artinya, meski kode aplikasimu bersih, server tetap bisa diserang kalau runtime PHP-nya belum di-update.
Apa yang terjadi sebenarnya?
Dua CVE yang terkait adalah CVE-2026-109618 dan CVE-2026-109619. Keduanya memungkinkan penyerang menjalankan kode di server tanpa perlu login. Di beberapa setup, terutama Apache dengan mod_php, serangan bisa terjadi bahkan sebelum kode aplikasi sempat dijalankan.
Salah satu bug terkait cara PHP menangani situasi kehabisan memori saat memproses request. Yang lain terkait state internal yang tertinggal antar request di worker yang sama. Kombinasi keduanya bisa dimanfaatkan untuk remote code execution.
Detailnya sempat bocor sebelum jadwal rilis resmi, dan exploit sudah beredar. Beberapa pihak melaporkan ada upaya eksploitasi di internet.
Siapa yang terdampak?
Hampir semua instalasi PHP yang melayani request web: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed, dan sejenisnya. Risiko paling tinggi dilaporkan pada Apache dengan mod_php.
Karena celahnya di engine PHP, aplikasi populer seperti WordPress, Drupal, Magento, Joomla, Laravel, dan banyak lagi ikut terpapar selama runtime-nya belum di-patch.
Versi PHP yang sudah aman
Update resmi sudah keluar pada 21 Oktober 2026. Versi yang sudah dipatch:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
PHP 8.1 ke bawah sudah End-of-Life. PHP project menyediakan source backport terbatas untuk 7.4, 8.0, dan 8.1, tapi rekomendasi utamanya tetap migrasi ke branch yang masih didukung. Beberapa distribusi Linux dan vendor LTS juga merilis paket yang sudah di-patch — cek provider atau hosting kamu.
Apa yang harus dilakukan sekarang
Prioritas nomor satu: update runtime PHP ke salah satu versi aman di atas, lalu restart service (php-fpm, apache, dll). Ini satu-satunya perbaikan yang lengkap.
Sambil menunggu update, beberapa mitigasi sementara bisa mengurangi risiko (misalnya menonaktifkan session.upload_progress), tapi tidak menggantikan patch. Jangan andalkan mitigasi sementara terlalu lama.
Kalau kamu memakai managed hosting atau colocation, tanyakan ke provider apakah PHP sudah di-update. Infrastruktur yang dikelola dengan baik biasanya merespons cepat terhadap patch keamanan kritis seperti ini.
Intinya sederhana: jangan tunda. Celah ini ada di fondasi, bukan di lapisan aplikasi. Semakin cepat runtime-nya di-update, semakin kecil peluang server jadi target.
