Majalengka — Tim PHP merilis pembaruan darurat pada 21 Oktober 2026 pukul 14.00 UTC (21.00 WIB) untuk dua celah keamanan kritis yang dijuluki PHP2Shell. Keduanya memungkinkan penyerang yang sama sekali belum punya akun menjalankan kode sendiri di server web. Yang membuat situasi ini mendesak: perusahaan keamanan watchTowr melaporkan sudah melihat upaya eksploitasi aktif terhadap kedua celah tersebut pada 14.19 UTC di hari yang sama, hanya sekitar 20 menit setelah patch tersedia.

Bagi pengelola situs pemerintahan desa, sekolah, dan UMKM, ini bukan berita yang bisa ditunda. Celahnya ada di mesin PHP-nya, bukan di kode aplikasi. Artinya, situs sederhana sekalipun tetap bisa diserang selama versi PHP di servernya belum diperbarui.

Apa yang sebenarnya terjadi

Ada dua kerentanan yang oleh tim PHP dinilai setara 9,2 dari 10 (CVSS v4.0):

• CVE-2026-109618 — eksekusi kode lewat korupsi saat kondisi kehabisan memori (out-of-memory). Penanganan OOM bisa menghentikan PHP ketika data internal permintaan baru terisi sebagian, lalu pembersihan request menganggap data tidak valid itu sebagai sah.
• CVE-2026-109619 — eksekusi kode lewat stale global state. Status internal milik satu permintaan bisa bertahan setelah memori di belakangnya dibebaskan, lalu permintaan berikutnya yang ditangani worker yang sama memakai sisa data tersebut sebelum proses inisialisasi normal meresetnya.

Celah ini bukan temuan baru semalam. Kode penyebabnya sudah ada di PHP lebih dari satu dekade dan memengaruhi hampir semua versi sejak PHP 5.4. Tim peneliti dari Wiz, Calif, dan tim Codex Security OpenAI yang menemukannya, dengan bantuan model AI untuk mengubah kelemahan lama itu menjadi eksploit yang benar-benar bekerja.

Kenapa ini berbeda dari celah WordPress biasa

Pada celah plugin atau tema, memperbarui aplikasi biasanya cukup. Di sini tidak. Karena yang rentan adalah runtime PHP, memperbarui WordPress, Laravel, atau CodeIgniter tidak memperbaiki apa pun — yang harus diganti adalah paket PHP di server, image container, atau versi PHP yang disediakan penyedia hosting.

Semua cara PHP melayani permintaan web masuk dalam cakupan: PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Tim PHP menyebut risiko tertinggi ada pada mod_php, karena satu permintaan tanpa autentikasi sudah cukup memicu serangan sebelum kode aplikasi dijalankan. Selain eksekusi kode, penyerang juga bisa membaca memori proses worker — di dalamnya bisa ada kata sandi, token login, API key, dan sertifikat milik permintaan lain.

Versi yang wajib dipasang

• PHP 8.5 → 8.5.12 atau lebih baru
• PHP 8.4 → 8.4.27 atau lebih baru
• PHP 8.3 → 8.3.36 atau lebih baru
• PHP 8.2 → 8.2.35 atau lebih baru (PHP 8.2 sendiri berakhir dukungannya 31 Desember 2026)

PHP 8.1 dan versi lebih lama tidak lagi mendapat pembaruan resmi. PHP menyediakan backport sumber untuk 7.4, 8.0, dan 8.1, tetapi untuk produksi jangka panjang jalan yang paling aman adalah naik ke cabang yang masih didukung.

Cara update di server Linux (Ubuntu/Debian)

Cek dulu versi yang benar-benar melayani web, bukan hanya versi CLI:

1. Jalankan php -v untuk melihat versi CLI, lalu /usr/sbin/php-fpm8.3 -v (sesuaikan nomornya) untuk versi FPM.
2. Perbarui daftar paket: sudo apt update.
3. Pasang versi terbaru: sudo apt install --only-upgrade 'php8.3-*'.
4. Muat ulang layanan: sudo systemctl restart php8.3-fpm. Jika memakai mod_php, muat ulang Apache: sudo systemctl restart apache2.
5. Verifikasi ulang dengan php -v dan buka satu situs untuk memastikan tidak ada error 500.
6. Jika memakai container, tarik image PHP baru lalu deploy ulang — bukan sekadar memuat ulang container lama.

Satu catatan penting: distribusi Linux dan vendor LTS sudah menerima patch lebih dulu, jadi paket aman bisa tampak membawa nomor versi lama. Periksa changelog paket untuk memastikan CVE-2026-109618 dan CVE-2026-109619 sudah tercantum, jangan hanya melihat angka versinya.

Kalau belum bisa update hari ini

Tim PHP menegaskan hanya pembaruan yang benar-benar menutup celah. Langkah berikut hanya mengurangi paparan pada jalur serangan tertentu:

• Untuk CVE-2026-109618: set memory_limit=-1 lewat php_admin_value di konfigurasi pool FPM atau Apache agar tidak bisa ditimpa aplikasi, dan kecilkan post_max_size (8M bila tanpa unggah berkas, 32M bila perlu unggah).
• Untuk CVE-2026-109619: set session.upload_progress.enabled=0, lalu muat ulang semua worker. Di PHP 8.5 tambahkan fatal_error_backtraces=0.
• Batasi ukuran request di level web server atau proxy, dan jangan mengandalkan RLIMIT_AS/RLIMIT_DATA sebagai pengganti.

Konfigurasi ini tidak membuat server aman. Pengembang inti PHP, Gina Peter Banyard, bahkan menyatakan sebelum rilis bahwa satu-satunya mitigasi adalah menambal atau menaikkan versi PHP.

Tanda server mungkin sudah ditembus

Bila Anda baru menambal sekarang, ada baiknya memeriksa jejak berikut: permintaan multipart tidak wajar yang diikuti error batas memori atau HTTP 500 berulang, cookie PHPSESSID di respons yang ukurannya aneh besar, serta proses PHP yang berhenti sendiri tanpa penjelasan. Pada 21 Oktober, Cloudflare melaporkan serangan awal dan penyerang yang mengubah payload untuk menghindari aturan firewall mereka. Beberapa organisasi memilih mematikan layanan sementara sebagai kehati-hatian, termasuk BambooHR, sementara di Belanda situs MijnOverheid, DigiD, dan sejumlah sistem pendidikan sempat offline menurut laporan penyiar NOS.

Yang kami lakukan di server eaSYstem

Di server produksi kami, PHP 8.3 dan 8.4 sudah berada di 8.3.36 dan 8.4.27 — versi yang sudah menambal kedua celah — dan worker FPM sudah dimuat ulang agar proses lama tidak lagi melayani permintaan. Sisa pekerjaan kami adalah situs-situs lama yang masih berjalan di PHP 7.4: cabang itu sudah tidak didukung dan hanya bisa ditambal lewat backport, sehingga prioritasnya migrasi ke PHP 8.3. Untuk klien yang situsnya kami kelola, pembaruan runtime dilakukan dari sisi server, bukan dari panel aplikasi.

Kalau tim Anda mengelola server sendiri, jadikan malam ini batas waktunya. Cek versi, perbarui paket, muat ulang worker, lalu pastikan angkanya benar-benar berubah. Celah di mesin PHP tidak menunggu situsnya ramai dulu baru dieksploitasi.

Sumber: Pengumuman keamanan PHP, 21 Oktober 2026; The Hacker News — PHP Issues Emergency Patches for Two Critical PHP2Shell RCE Flaws; watchTowr — PHP2Shell Rapid Reaction; php2shell.com.