PHP2Shell: Langkah Aman bagi Pemilik Website
Dua kerentanan kritis pada PHP memicu perhatian pengelola server dan upaya eksploitasi. Jika Anda memiliki website, langkah pertama bukan panik: cari tahu siapa yang mengelola PHP dan minta konfirmasi pembaruan secara tertulis.
Apa yang diketahui tentang PHP2Shell?
Fakta: Pada 21 Oktober 2026, proyek PHP menerbitkan pembaruan keamanan untuk CVE-2026-109618 dan CVE-2026-109619, yang dikenal sebagai PHP2Shell. PHP memberi tingkat keparahan CVSS 4.0 sebesar 9,2. AWS melaporkan telemetri honeypot-nya merekam percobaan pada 17 Oktober—empat hari sebelum pengungkapan publik—namun AWS tidak dapat memastikan apakah percobaan itu akan berhasil pada sistem nyata. Perkembangan penting yang diberitakan pada 26 Oktober: peneliti Adel Karimi melaporkan 35 shell berhasil dijalankan pada tiga honeypot yang sengaja memakai konfigurasi rentan tertentu. Ini menunjukkan eksploitasi berhasil pada lingkungan umpan yang dikendalikan, bukan bukti kompromi massal pada website publik.
Dalam pembaruan 25 Oktober, Unit 42 menarik atribusi awal bahwa serangan terhadap lembaga pemerintah Eropa terkait PHP2Shell karena hubungan ke dua CVE tersebut tidak dapat dikonfirmasi. Karena itu, bedakan dengan tegas upaya pemindaian, keberhasilan pada honeypot/konfigurasi uji, dan kompromi terverifikasi terhadap korban nyata.
Catatan pembaruan hingga 26 Oktober: PHP juga mengungkap CVE-2026-115560 pada 23 Oktober, isu terpisah di area session upload progress dengan kondisi konfigurasi/aplikasi tertentu. PHP kemudian menerbitkan ulang paket Windows dengan Brotli 1.2.1 untuk memperbaiki CVE-2026-111497; catatan PHP menyebut jalur terkait cURL ketika dekompresi otomatis diaktifkan aplikasi. Keduanya bukan PHP2Shell. Tanyakan kepada penyedia apakah advisori lanjutan ini relevan; jangan menganggap artikel ini mencakup seluruh kerentanan PHP terkini.
Interpretasi — keyakinan tinggi: Ini alasan kuat bagi pengelola website berbasis PHP untuk memeriksa versi dan status patch, bukan bukti bahwa setiap website PHP Indonesia telah diserang atau diretas. Pengamatan honeypot AWS bukan hitungan korban Indonesia dan tidak membuktikan kompromi pada situs tertentu.
Apa yang sebaiknya dilakukan pemilik website?
- Jika memakai hosting terkelola: hubungi dukungan hosting lewat panel atau situs resmi. Tanyakan versi PHP yang aktif, apakah patch PHP2Shell telah diterapkan, kapan, dan apakah versi lama/EOL memerlukan migrasi.
- Jika mengelola VPS/server sendiri: identifikasi versi runtime yang benar-benar dipakai website (bukan hanya versi CLI), lalu ikuti paket keamanan resmi sistem operasi atau PHP. Uji kompatibilitas di staging dan siapkan backup.
- Periksa setelah pembaruan: pastikan layanan sehat, panel admin dan aplikasi berjalan, restart seluruh worker PHP-FPM/Apache atau ganti container sesuai arahan vendor, lalu pastikan runtime web (bukan hanya PHP CLI) sudah memakai paket yang diperbarui. Catat waktu pembaruan. WAF/firewall hanya lapisan tambahan, bukan pengganti patch.
- Jika pembaruan terlambat: minta jadwal tertulis dari penyedia; batasi akses yang tidak diperlukan dan eskalasi bila tak ada rencana jelas. Jangan memasang skrip “patch” dari pesan atau forum acak.
- Jika ada tanda kompromi: simpan log dan bukti, minta administrator/penyedia menginvestigasi, rotasi kredensial dari perangkat tepercaya, dan tinjau file serta akun admin yang berubah. Pemeriksaan versi saja tidak membuktikan server bersih.
Bukan pemilik server? Tetap bisa bertindak
Pengelola toko daring atau website UMKM biasanya tidak perlu memperbarui PHP sendiri. Tanyakan kepada vendor, agensi, atau hosting: “Apakah runtime PHP domain saya sudah menerima pembaruan keamanan terbaru, termasuk CVE-2026-109618, CVE-2026-109619, dan advisori terkait yang berlaku? Mohon konfirmasi versi/runtime, tanggal pembaruan, dan langkah jika versi saya tidak didukung.” Hindari mengirim kata sandi melalui email atau chat biasa.
Yang belum diketahui
Sumber yang ditinjau tidak menetapkan jumlah website Indonesia yang rentan atau mengonfirmasi kompromi massal terhadap korban nyata. Keberhasilan pada honeypot tidak mengukur keberhasilan pada konfigurasi website lain; AWS juga tidak memastikan hasil dari percobaan yang mereka amati. Status patch tiap situs bergantung pada versi, paket distribusi, konfigurasi, dan tindakan penyedia hosting. Pemilik situs perlu mendapat konfirmasi langsung dari pihak yang mengelola server.
Sumber: PHP.net — Security advisory: Critical remote code execution vulnerabilities, update now (21 Oktober 2026); AWS Security Blog — Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot (21 Oktober 2026); SecurityWeek — PHP2Shell Exploitation Moves From Probes to Working Shells (26 Oktober 2026); The Hacker News — PHP2Shell Exploitation Attempts Continue Amid Suspected N. Korea Global Scanning Activity (25 Oktober 2026); Red Hat — Advisori CVE-2026-109618, CVE-2026-109619, dan CVE-2026-115560.