Mengenal PHP2Shell dan Celah Keamanan pada PHP

Melalui situs resminya, PHP Group (2026) mengumumkan dua celah keamanan pada 21 Oktober 2026, yaitu CVE-2026-109618 dan CVE-2026-109619. Keduanya berkaitan dengan kelemahan pengelolaan memori pada PHP yang dalam kondisi tertentu dapat dimanfaatkan untuk menjalankan kode dari jarak jauh tanpa autentikasi (remote code execution atau RCE). Tim pengembang juga telah menyediakan pembaruan keamanan dan meminta pengguna segera memperbarui instalasi PHP.

Apa itu PHP2Shell?

PHP2Shell merupakan nama yang digunakan untuk menyebut eksploitasi terhadap dua kerentanan tersebut. PHP sendiri adalah bahasa pemrograman yang digunakan untuk menjalankan berbagai website dan aplikasi web, termasuk WordPress, Joomla, dan Open Journal Systems (OJS).

Dalam laporan Wiz Research, Tzadik et al. (2026) menjelaskan bahwa PHP2Shell dapat memungkinkan penyerang menjalankan kode pada server tanpa harus memiliki akun pengguna. Kerentanan tersebut berada pada inti PHP, bukan pada kode aplikasi tertentu.

Website yang menggunakan PHP dengan versi rentan berpotensi terdampak meskipun aplikasi yang dijalankan berbeda. Namun, tidak semua website berbasis PHP otomatis dapat dieksploitasi karena risiko tersebut juga bergantung pada versi PHP dan konfigurasi server.

Pada Gambar 1 memperlihatkan hubungan antara web server, PHP, dan aplikasi berbasis PHP. Kerentanan PHP2Shell berada pada komponen PHP, sehingga berpotensi memengaruhi berbagai aplikasi yang menggunakan lingkungan PHP yang rentan.

Gambar 1. Hubungan web server, PHP, dan aplikasi berbasis PHP

Penemuan dan Pembaruan Keamanan

Menurut laporan Tzadik et al. (2026), Wiz Research menemukan kelemahan PHP2Shell melalui penelitian keamanan yang memanfaatkan bantuan kecerdasan buatan. Tim peneliti kemudian mendemonstrasikan kemungkinan eksploitasi pada lingkungan WordPress, Drupal, dan Joomla.

Berdasarkan temuan tersebut, PHP Group (2026) menyediakan pembaruan keamanan pada 21 Oktober 2026 melalui beberapa versi seperti yang terlihat pada Tabel 1.

Tabel 1. Versi PHP yang Mendapatkan Perbaikan Keamanan PHP2Shell

Cabang PHP	Versi Perbaikan
PHP 8.2	8.2.35
PHP 8.3	8.3.36
PHP 8.4	8.4.27
PHP 8.5	8.5.12

 Untuk PHP versi lama, status perbaikan perlu dikonfirmasi kepada penyedia hosting. Sebagian vendor menyediakan patch melalui mekanisme backport, yaitu penerapan perbaikan keamanan tanpa harus mengganti versi utama PHP (PHP Group, 2026).

Apa yang Perlu Dilakukan?

PHP Group (2026) menekankan pentingnya pembaruan PHP karena penyesuaian konfigurasi server tidak dapat sepenuhnya menggantikan patch keamanan. Administrator website perlu memeriksa versi PHP yang digunakan dan memastikan pembaruan telah diterapkan.

Bagi pengguna shared hosting, pemeriksaan dapat dilakukan melalui panel hosting dan konfirmasi kepada penyedia layanan. Langkah ini penting karena keamanan website tidak hanya bergantung pada aplikasi, tetapi juga pada lingkungan PHP yang menjalankannya.

Daftar Pustaka

PHP Group. (2026, October 21). Security advisory: Critical remote code execution vulnerabilities, update now. https://www.php.net/archive/2026.php

Tzadik, S., Tamari, S., Ohfeld, N., & Schwartz, T. (2026, October 21). PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet. Wiz. https://www.wiz.io/blog/php2shell-php-rce