Ragam – Dua celah keamanan kritis ditemukan pada PHP, bahasa pemrograman yang digunakan secara luas untuk menjalankan website dan aplikasi internet.
Kerentanan yang dijuluki PHP2Shell tersebut berpotensi memungkinkan peretas mengambil alih proses pada server yang rentan tanpa harus memiliki akun atau melakukan login.
Tim pengembang PHP merilis pembaruan keamanan darurat pada Rabu (21/10/2026) untuk mengatasi dua kerentanan yang diidentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619.
Baca Juga:
Kedua celah tersebut memiliki tingkat keparahan 9,2 dari skala 10 berdasarkan Common Vulnerability Scoring System (CVSS) versi 4.0, sehingga masuk kategori kritis.
Ancaman tersebut menjadi perhatian dunia karena PHP merupakan salah satu teknologi utama yang digunakan untuk membangun website, termasuk platform WordPress, Drupal, Joomla, Magento, serta berbagai aplikasi berbasis framework Laravel.
Menurut perusahaan infrastruktur internet Cloudflare, PHP digunakan oleh hampir 70 persen website di dunia.
Baca Juga:
Besarnya penggunaan tersebut membuat kerentanan pada komponen inti PHP berpotensi berdampak luas apabila pengelola server tidak segera memasang pembaruan.
Dalam pengumuman keamanan resmi yang dipublikasikan melalui PHP.net, tim pengembang PHP mengingatkan bahwa kedua celah tersebut dapat dimanfaatkan untuk menjalankan kode berbahaya dari jarak jauh tanpa autentikasi.
“All PHP users are strongly encouraged to update immediately,” demikian peringatan PHP Security Team dalam pengumuman resmi pada Rabu (21/10/2026).
Baca Juga:
Pernyataan tersebut merupakan imbauan kepada seluruh pengguna PHP agar segera melakukan pembaruan untuk mengurangi risiko eksploitasi.
Kerentanan PHP2Shell tergolong berbahaya karena ditemukan pada sistem pengelolaan memori di dalam PHP, bukan semata-mata pada kode website atau aplikasi tertentu.
CVE-2026-109618 berkaitan dengan kesalahan penanganan kondisi kehabisan memori atau out of memory.
Baca Juga:
Dalam keadaan tertentu, PHP dapat memproses data internal yang belum terinisialisasi dengan benar.
Sementara itu, CVE-2026-109619 berkaitan dengan penggunaan kembali referensi memori yang sebelumnya telah dibebaskan.
Kondisi tersebut dapat menyebabkan proses PHP mengakses bagian memori yang tidak lagi valid.
Baca Juga:
Penyerang berpotensi memanfaatkan kelemahan tersebut melalui permintaan HTTP yang dirancang secara khusus untuk memicu kesalahan penanganan memori.
Jika serangan berhasil, peretas dapat menjalankan kode dengan hak akses proses PHP yang terdampak.
Kondisi ini berpotensi membuka akses terhadap data sensitif, mengganggu pelayanan digital, hingga membahayakan aplikasi yang berjalan pada server.
Baca Juga:
Dalam peringatan resminya, tim keamanan PHP menyebut instalasi yang menerima permintaan web perlu mendapat perhatian, termasuk PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed.
Ancaman PHP2Shell tidak hanya menjadi persoalan teoretis.
Percobaan serangan terhadap kerentanan tersebut dilaporkan meningkat tajam setelah informasi mengenai celah keamanan dipublikasikan.
Baca Juga:
Perusahaan keamanan dan infrastruktur internet Cloudflare mendeteksi lonjakan percobaan eksploitasi dalam waktu singkat.
CEO Cloudflare, Matthew Prince, melalui akun X miliknya mengungkapkan bahwa perusahaan telah mendeteksi ribuan percobaan eksploitasi bahkan sebelum pengumuman resmi dilakukan.
“That jumped to tens of thousands in the 45 minutes post announcement, hundreds of thousands within two hours, and millions now,” ungkap Matthew Prince, sebagaimana diberitakan Infosecurity Magazine, Kamis (22/10/2026).
Baca Juga:
Pernyataan tersebut menjelaskan bahwa percobaan eksploitasi meningkat menjadi puluhan ribu dalam 45 menit setelah pengumuman, ratusan ribu dalam dua jam, hingga mencapai jutaan percobaan.
Meski demikian, jumlah percobaan eksploitasi tersebut tidak dapat disamakan dengan jumlah website yang berhasil diretas.
Cloudflare juga telah menerapkan sejumlah aturan perlindungan melalui teknologi Web Application Firewall (WAF) untuk mengurangi risiko eksploitasi terhadap pelanggan.
Baca Juga:
Namun, perusahaan tetap meminta administrator server menerapkan pembaruan PHP karena perlindungan WAF bukan pengganti perbaikan keamanan pada perangkat lunak yang rentan.
Temuan lain yang menarik perhatian adalah pengakuan The PHP Foundation bahwa indikasi awal salah satu kelemahan keamanan tersebut sebenarnya telah ditemukan sejak 2024.
Dalam pernyataan resminya pada Rabu (21/10/2026), organisasi tersebut mengakui proses penanganan kerentanan sempat mengalami hambatan akibat sulitnya menentukan solusi teknis yang tidak merusak kompatibilitas dengan ekosistem PHP.
Baca Juga:
“We won’t pretend otherwise: the delay was a structural failure,” tulis The PHP Foundation melalui situs resminya.
Pernyataan tersebut berarti organisasi itu mengakui keterlambatan penanganan sebagai kegagalan struktural.
The PHP Foundation menjelaskan bahwa sejumlah alternatif perbaikan sempat dipertimbangkan, tetapi masing-masing memiliki konsekuensi terhadap kompatibilitas, performa, atau dukungan ekstensi pihak ketiga.
Baca Juga:
Pada saat kelemahan awal ditemukan, peneliti juga belum berhasil mengidentifikasi jalur eksploitasi yang dapat digunakan untuk menjalankan kode secara langsung.
Risiko sebenarnya baru semakin jelas setelah penelitian lanjutan yang melibatkan sejumlah pihak, termasuk Calif, Wiz, OpenAI, dan peneliti keamanan lainnya pada 2026.
Organisasi tersebut menyatakan telah mulai memperbaiki mekanisme pengambilan keputusan dan memperkuat sumber daya tim keamanan agar persoalan serupa dapat ditangani lebih cepat.
Baca Juga:
Penemuan PHP2Shell memicu respons cepat dari sejumlah pemerintah dan perusahaan teknologi di berbagai negara.
Reuters melaporkan sejumlah website pemerintah di Eropa dan wilayah lain sempat dinonaktifkan pada Rabu (21/10/2026) sebagai langkah pencegahan sambil menunggu penerapan pembaruan keamanan.
Langkah tersebut dilakukan karena administrator khawatir sistem yang belum diperbarui dapat menjadi sasaran eksploitasi.
Baca Juga:
Badan keamanan siber di berbagai negara juga meminta organisasi mengidentifikasi instalasi PHP yang terdampak dan segera memasang pembaruan.
Di Amerika Serikat, Cybersecurity and Infrastructure Security Agency (CISA) mengingatkan bahwa celah keamanan tersebut dapat menjadi ancaman bagi organisasi yang membiarkan sistemnya tanpa perbaikan.
Meski ada laporan percobaan eksploitasi yang meningkat, hal tersebut belum membuktikan bahwa seluruh server yang menjalankan PHP telah menjadi korban peretasan.
Baca Juga:
Dampak PHP2Shell berpotensi menjangkau berbagai sektor, termasuk portal berita, website pemerintahan, perguruan tinggi, rumah sakit, perusahaan, hingga toko daring yang menggunakan PHP.
Website berbasis WordPress dan Laravel juga perlu mendapat perhatian karena kedua platform tersebut bergantung pada PHP sebagai bahasa pemrograman sisi server.
Namun, kerentanan ini bukan berarti terdapat kesalahan pada WordPress atau Laravel secara langsung.
Baca Juga:
Sumber persoalannya berada pada komponen inti PHP yang menjalankan aplikasi.
Karena itu, memperbarui plugin WordPress, tema website, maupun dependensi Laravel saja tidak cukup untuk menutup kedua celah keamanan tersebut.
Pengelola website perlu memastikan versi PHP pada server telah menerima patch keamanan.
Baca Juga:
Bagi pengguna layanan shared hosting, pembaruan PHP umumnya berkaitan dengan pengelolaan server oleh penyedia hosting.
Pengguna disarankan memastikan kepada penyedia layanan bahwa patch PHP2Shell telah diterapkan.
Sementara itu, administrator VPS dan dedicated server perlu memeriksa versi PHP yang digunakan dan melakukan pembaruan sesuai sistem operasi serta paket yang tersedia.
Baca Juga:
Untuk mengatasi ancaman tersebut, pengembang PHP telah merilis empat versi pembaruan keamanan, yakni PHP 8.2.35, PHP 8.3.36, PHP 8.4.27, dan PHP 8.5.12.
Pengguna disarankan memasang versi yang telah memperoleh perbaikan atau pembaruan lebih baru yang memuat patch serupa.
Adapun pengguna PHP 8.1 dan versi lebih lama perlu memastikan tersedianya patch dari distributor sistem operasi atau penyedia dukungan jangka panjang karena versi tersebut tidak lagi memperoleh dukungan keamanan reguler langsung dari proyek PHP.
Baca Juga:
Pada sistem Linux tertentu, pengelola distribusi juga menyediakan pembaruan keamanan melalui mekanisme backport, sehingga nomor versi paket tidak selalu sama dengan nomor versi PHP yang diumumkan secara resmi.
Dengan demikian, pemeriksaan harus dilakukan terhadap status pembaruan keamanan paket, bukan sekadar membandingkan angka versi.
Tim pengembang PHP menegaskan bahwa pembaruan perangkat lunak merupakan langkah utama untuk menutup kerentanan tersebut secara menyeluruh.
Baca Juga:
Di tengah meningkatnya percobaan eksploitasi, administrator website disarankan segera memeriksa keamanan server, memasang patch, dan memantau aktivitas mencurigakan pada sistem.
Langkah tersebut penting untuk mengurangi risiko peretasan maupun kebocoran data, terutama pada website yang menyimpan informasi sensitif dan menyediakan layanan publik.
Baca Juga:
