Kalau beberapa hari ini kamu lihat developer dan admin website rame-rame buru-buru update server, ini alasannya: ada celah keamanan baru bernama PHP2Shell yang bikin siapa pun bisa ambil alih server PHP tanpa perlu login atau tahu password apa pun. Ini bukan isu kecil —” ini salah satu bug paling serius yang pernah ditemukan di PHP, bahasa pemrograman yang jadi tulang punggung sekitar 7 dari 10 website di dunia, termasuk WordPress, Drupal, Joomla, sampai panel hosting seperti cPanel dan Plesk.
Apa Itu PHP2Shell?
PHP2Shell adalah nama yang dipakai buat dua celah sekaligus: CVE-2026-109618 dan CVE-2026-109619. Keduanya dapat skor CVSS 9.2 dari skala 10 —” kategori kritis, nyaris skor tertinggi yang ada. Menurut The Hacker News, kedua celah ini memungkinkan penyerang yang bahkan tidak punya akun apa pun untuk menjalankan kode mereka sendiri di server korban, cukup dengan mengirim request HTTP yang sudah dirancang khusus.
Gimana Ceritanya Bisa Separah Ini?
Singkatnya, bug ini ada di fitur PHP yang melacak progres upload file (session.upload_progress). Kalau sebuah request terputus di tengah jalan —” misalnya karena server kehabisan memori —” PHP seharusnya membersihkan data sesi itu. Masalahnya, proses pembersihan ini bisa gagal dan menyisakan data "hantu" di memori server. Request berikutnya yang masuk ke worker PHP yang sama bisa memanfaatkan sisa data itu buat mengambil kendali program —” teknik yang di dunia keamanan disebut use-after-free. Menurut riset JFrog Security Research, serangan ini terjadi di level PHP itu sendiri —” bukan di kode aplikasi atau plugin yang kamu pasang —” jadi website kamu bisa kena walaupun kodingannya sudah rapi dan aman.
Yang Bikin Makin Mencurigakan: Ditemukan Lewat AI
Hal menarik (dan agak bikin merinding) dari kasus ini: menurut Help Net Security, bug ini sebenarnya sudah ada di PHP selama bertahun-tahun, tapi butuh rangkaian langkah yang sangat rumit untuk benar-benar dieksploitasi —” saking rumitnya, nyaris mustahil ditemukan manusia secara manual. Dua tim riset keamanan berbeda menemukannya secara independen dengan bantuan model AI canggih buat mengaudit source code PHP. Celah ini lalu bocor ke publik lebih cepat dari rencana rilis resmi, sehingga sempat ada jendela waktu tanpa patch sama sekali sebelum tambalan resmi keluar.
Versi PHP yang Kena
Yang bikin was-was, dampaknya luas banget. Versi yang kena termasuk:
PHP 5.4 sampai 8.1 —” semua versi ini sudah tidak lagi mendapat dukungan resmi, jadi tidak ada patch lengkap
PHP 8.2.x sebelum 8.2.35
PHP 8.3.x sebelum 8.3.36
PHP 8.4.x sebelum 8.4.27
PHP 8.5.x sebelum 8.5.12
Dengan kata lain: kalau server kamu menjalankan PHP versi berapa pun yang dirilis sebelum 21 Oktober 2026, kemungkinan besar website kamu rentan.
Kenapa Ini Bukan Cuma Masalah Teknis —” Ini Masalah Bisnis
Buat kamu yang punya atau mengelola website bisnis berbasis PHP (toko online, sistem booking, company profile, apa pun), ini bukan sekadar urusan tim IT. Kalau server kena eksploitasi, dampaknya bisa langsung ke operasional: data pelanggan bisa dicuri, website bisa disusupi malware atau dijadikan pintu masuk ke sistem lain, bahkan server bisa dipakai penyerang buat menyerang pihak lain tanpa kamu sadari.
Skalanya juga nggak kecil. Beberapa layanan besar dilaporkan ikut terdampak atau sempat down gara-gara insiden terkait celah ini, mulai dari forum komunitas sampai beberapa situs resmi pemerintah di sejumlah negara. Kalau nama-nama sebesar itu bisa kena, website bisnis kecil-menengah yang biasanya lebih jarang di-update jelas jauh lebih rentan.
Kalau website kamu jalan di shared hosting —” satu server dipakai banyak akun sekaligus, model yang paling umum dipakai UMKM dan bisnis kecil di Indonesia —” risikonya makin spesifik: karena bug ini ada di level PHP, bukan di kode website, satu worker PHP yang kena eksploitasi berpotensi membuka jalan buat menyerang akun-akun lain yang numpang di server yang sama.
Ini Bukan Ancaman Teoretis
Yang bikin ini mendesak: ini bukan "celah yang mungkin suatu saat dieksploitasi." Menurut pemantauan honeypot global watchTowr, percobaan eksploitasi nyata sudah terdeteksi berjalan di dunia nyata sejak 21 Oktober 2026 —” hari yang sama dengan rilis patch resminya. Artinya, dari saat celah ini bocor sampai patch keluar, ada jendela waktu di mana penyerang sudah mulai mencoba-coba menyerang server yang belum ditambal.
Yang Harus Kamu Lakukan Sekarang
Beberapa langkah konkret buat kamu yang punya website berbasis PHP:
1. Cek versi PHP kamu. Kalau kamu pakai VPS atau server sendiri, cek lewat php -v atau panel hosting. Kalau belum di versi 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 atau lebih baru, segera update.
2. Pakai shared hosting? Versi PHP biasanya dikontrol penyedia hosting, bukan kamu langsung. Cek panel hosting (cPanel/Plesk) buat lihat opsi versi PHP, atau langsung hubungi support hosting dan tanyakan apakah server sudah ditambal untuk CVE-2026-109618 dan CVE-2026-109619.
3. Belum bisa update PHP sekarang? Sebagai langkah sementara, admin server bisa mematikan fitur session.upload_progress di konfigurasi PHP untuk menutup salah satu jalur eksploitasi, lalu restart proses PHP-nya.
4. Pakai Cloudflare atau WAF lain? Beberapa penyedia WAF sudah merilis rule khusus untuk memblokir pola serangan PHP2Shell —” pastikan rule itu aktif di akun kamu.
5. Jangan tunda. Karena eksploitasi sudah berjalan aktif, setiap hari server kamu belum ditambal adalah hari di mana kamu jadi target yang mungkin dipindai otomatis oleh bot penyerang.
Website yang aman bukan cuma soal desain bagus dan loading cepat —” infrastruktur di baliknya juga harus rutin di-update. PHP2Shell jadi pengingat keras bahwa celah sekecil fitur upload file pun bisa berujung ke pengambilalihan server penuh kalau dibiarkan.
