PHP2Shell: Dua Celah Keamanan Kritis PHP (CVE-2026-109618 dan CVE-2026-109619)

PHP2Shell menjadi perhatian di dunia keamanan siber setelah dua kerentanan kritis pada PHP diumumkan pada 21 Oktober 2026. Kedua celah tersebut terdaftar sebagai CVE-2026-109618 dan CVE-2026-109619. Jika berhasil dieksploitasi, kerentanan ini dapat memungkinkan penyerang menjalankan kode dari jarak jauh atau mengakses data sensitif dari memori proses PHP.

Risiko ini penting diperhatikan oleh pengelola server, developer, administrator website, serta pemilik situs berbasis PHP, termasuk website yang menggunakan sistem manajemen konten seperti WordPress. Karena itu, pemeriksaan versi PHP dan pemasangan pembaruan keamanan perlu menjadi prioritas.

Apa Itu PHP2Shell?

PHP2Shell adalah sebutan untuk dua kerentanan keamanan kritis pada runtime PHP, yaitu komponen yang menjalankan kode PHP di server. Kedua celah ini berkaitan dengan pengelolaan memori dan kondisi internal PHP ketika pemrosesan permintaan berakhir secara tidak normal.

Ancaman utamanya adalah remote code execution (RCE), yaitu kondisi ketika penyerang dapat menjalankan kode pada sistem target dari jarak jauh. Menurut advisori keamanan yang diterbitkan PHP dan analisis lembaga keamanan, kedua kerentanan memiliki skor CVSS versi 4.0 sebesar 9,2.

Artinya, PHP2Shell bukan sekadar masalah pada tampilan website atau kesalahan kode aplikasi biasa. Kerentanan berada pada runtime PHP sehingga pembaruan aplikasi saja belum tentu mengatasi akar masalahnya.

Dua Kerentanan PHP2Shell yang Perlu Diketahui

1. CVE-2026-109618: Kerusakan Memori saat Kehabisan Memori

CVE-2026-109618 berkaitan dengan penanganan kondisi out of memory (OOM), yaitu ketika PHP tidak dapat memenuhi kebutuhan alokasi memori. Dalam kondisi tertentu, proses penghentian operasi dapat meninggalkan data internal yang belum terinisialisasi dengan benar.

Ketika proses pembersihan permintaan berjalan, data yang tidak valid tersebut berpotensi digunakan seolah-olah masih benar. Kondisi ini dapat membuka jalan bagi eksekusi kode jarak jauh apabila rangkaian kondisi eksploitasi yang diperlukan terpenuhi.

2. CVE-2026-109619: Kondisi Internal PHP yang Kedaluwarsa

CVE-2026-109619 berhubungan dengan stale global state, yaitu keadaan ketika sebagian data internal PHP masih menunjuk ke memori milik permintaan sebelumnya, meskipun memori tersebut sudah dilepaskan.

Jika operasi berikutnya menggunakan referensi memori yang sudah tidak valid sebelum kondisi internal diinisialisasi ulang, penyerang berpotensi memanfaatkan keadaan tersebut untuk menjalankan kode dari jarak jauh. Dampak akhirnya bergantung pada kondisi runtime, konfigurasi, dan lingkungan server yang terdampak.

Siapa yang Berisiko Terdampak PHP2Shell?

Kerentanan ini perlu diperhatikan oleh organisasi dan individu yang menjalankan layanan web menggunakan versi PHP terdampak. Risiko tidak hanya berkaitan dengan aplikasi yang dibuat sendiri, tetapi juga dapat melibatkan produk atau CMS yang menggunakan runtime PHP di server.

• Website WordPress: administrator perlu memeriksa versi PHP yang digunakan hosting, bukan hanya memperbarui WordPress dan plugin.
• Website berbasis PHP lainnya: aplikasi seperti Drupal, Joomla, dan aplikasi PHP khusus perlu diperiksa sesuai runtime yang menjalankannya.
• Server web: pengelola perlu menginventarisasi seluruh lingkungan PHP, termasuk PHP-FPM, FastCGI, dan instalasi PHP yang berjalan di container.
• Versi PHP lama: versi yang sudah tidak didukung tetap berisiko dan mungkin memerlukan migrasi ke versi yang masih mendapat pembaruan keamanan.

Keberadaan aplikasi yang memerlukan login tidak otomatis menghilangkan risiko. Kerentanan ini berada pada lapisan pemrosesan PHP, sehingga permintaan berbahaya dalam kondisi tertentu dapat diproses sebelum logika autentikasi aplikasi dijalankan.

Versi PHP yang Perlu Diperiksa

Rilis perbaikan yang diumumkan untuk cabang PHP yang didukung mencakup versi berikut:

Versi sebelum rilis perbaikan tersebut pada cabang terkait termasuk dalam versi terdampak. PHP 8.1 dan versi lebih lama juga perlu mendapat perhatian karena sudah tidak berada dalam dukungan reguler. Pengguna distribusi server atau layanan hosting tertentu sebaiknya memeriksa advisori penyedia untuk mengetahui ketersediaan paket perbaikan yang sesuai.

Daftar versi di atas merujuk pada informasi keamanan yang tersedia per 22 Oktober 2026. Sebelum melakukan perubahan di lingkungan produksi, periksa pengumuman resmi PHP dan penyedia hosting untuk memastikan paket yang tepat.

Cara Mengurangi Risiko PHP2Shell

1. Periksa versi PHP yang digunakan

Identifikasi versi PHP yang benar-benar menjalankan website. Pada WordPress, informasi ini dapat diperiksa melalui menu Peralatan (Tools) > Kesehatan Situs (Site Health) > Info > Server, jika tersedia. Versi PHP pada terminal atau komputer lokal bisa berbeda dari versi yang digunakan server produksi.

2. Perbarui PHP ke versi yang sudah diperbaiki

Prioritaskan pembaruan ke rilis yang memuat perbaikan keamanan. Jika menggunakan hosting terkelola, hubungi penyedia hosting atau gunakan panel kontrol yang disediakan. Sebelum mengganti versi PHP, pastikan kompatibilitas tema, plugin, ekstensi, dan aplikasi serta lakukan pencadangan yang dapat dipulihkan.

3. Jika belum bisa memperbarui, lakukan mitigasi sementara

Jika pembaruan tidak dapat dilakukan segera, lakukan penilaian risiko dan pertimbangkan untuk membatasi akses ke server yang terdampak atau menonaktifkannya sementara hingga perbaikan diterapkan. Perlindungan WAF atau aturan pada reverse proxy dapat membantu memblokir sebagian permintaan berbahaya, tetapi tidak menggantikan pembaruan PHP.

4. Periksa indikasi aktivitas mencurigakan

Administrator server dapat meninjau log web dan PHP untuk mencari pola permintaan yang tidak biasa, kesalahan kehabisan memori, atau proses shell yang muncul tanpa alasan operasional yang jelas. Jika ditemukan indikasi kompromi, lakukan investigasi insiden, amankan log, periksa akun dan proses server, serta rotasi kredensial yang mungkin terpapar sesuai prosedur respons insiden.

Apakah Mematikan Fitur Tertentu Sudah Cukup?

Belum tentu. Menonaktifkan satu fitur PHP atau memasang aturan pemfilteran permintaan mungkin mengurangi sebagian jalur serangan, tetapi tidak dapat dianggap sebagai perbaikan menyeluruh untuk kedua kerentanan. Langkah mitigasi yang beredar perlu diverifikasi terhadap advisori resmi dan lingkungan yang digunakan.

Perbaikan yang direkomendasikan adalah menggunakan rilis PHP yang telah ditambal. Jika sistem belum dapat diperbarui, pengelola perlu menerapkan mitigasi sementara berdasarkan penilaian risiko dan arahan penyedia sistem.

Kesimpulan

PHP2Shell menyoroti pentingnya menjaga runtime PHP tetap diperbarui. Dua kerentanan yang terdaftar sebagai CVE-2026-109618 dan CVE-2026-109619 dapat membuka peluang eksekusi kode jarak jauh pada lingkungan yang rentan, dengan tingkat risiko yang dinilai kritis.

Pemilik website dan administrator server sebaiknya segera memeriksa versi PHP, memasang rilis perbaikan yang sesuai, serta meninjau aktivitas server jika terdapat indikasi serangan. Untuk website WordPress, pembaruan CMS dan plugin tetap penting, tetapi pemeriksaan versi PHP pada sisi hosting juga tidak boleh diabaikan.

Referensi

1. PHP — Pengumuman pembaruan keamanan 21 Oktober 2026
2. PHP GitHub Security Advisory — CVE-2026-109618
3. PHP GitHub Security Advisory — CVE-2026-109619
4. NHS England Digital — Critical Vulnerabilities in PHP (PHP2Shell)
5. Cloudflare — Perlindungan terhadap kerentanan PHP2Shell