Pengelola server di instansi pemerintah, desa, sekolah, dan UMKM punya alasan baru untuk buru-buru mengecek versi PHP di server masing-masing. Dua celah keamanan yang dijuluki PHP2Shell — terdaftar sebagai CVE-2026-109618 dan CVE-2026-109619 dengan skor CVSS 9,2 — memungkinkan penyerang menjalankan perintah (remote code execution) tanpa perlu login, hanya lewat permintaan HTTP yang dirancang khusus. Yang membuatnya berbahaya: celah ini ada di mesin PHP-nya sendiri, bukan di aplikasi. Memperbarui plugin WordPress atau memasang firewall aplikasi tidak menutup lubangnya.

Datadog dan peneliti lain menyebut celah ini bisa dieksploitasi pada konfigurasi PHP standar. Bitsight mencatat ada sekitar 37 juta sistem yang menghadap internet menjalankan PHP atau perangkat lunak berbasis PHP, sehingga permukaan serangannya sangat luas — termasuk ribuan situs pemerintah desa dan sekolah yang dibangun dengan PHP.

Indonesia Masuk Daftar Target Pemindaian

Laporan CYFIRMA mengungkap kampanye yang diduga terkait kelompok Lazarus (Korea Utara) sedang memindai infrastruktur PHP global dari 21 node yang sudah dibobol. Targetnya 216 host yang belum ditambal atau baru ditambal sebagian, tersebar di Amerika Serikat, Jepang, Korea Selatan, Thailand, Indonesia, Australia, Taiwan, India, Singapura, Uni Emirat Arab, Arab Saudi, dan Uni Eropa. Sektornya: pemerintah, lembaga keuangan, logistik, bandara dan penerbangan, manufaktur, serta platform transaksi online.

Pemindaiannya sengaja pelan dan volumenya kecil, dan node langsung diganti begitu terdeteksi diblokir. Artinya, alerting berbasis ambang batas trafik normal besar kemungkinan tidak menangkap aktivitas ini.

Dampak bila berhasil masuk sudah terlihat di Eropa. Unit 42 Palo Alto Networks melaporkan satu instansi pemerintah menjadi korban: dalam dua jam setelah eksploitasi awal, penyerang sudah mengakses hash password dan kunci autentikasi dua faktor, membangun terowongan NTLM relay ke Active Directory, lalu mencoba menaikkan hak akses menjadi Domain Admin. Perintah yang dijalankan dikelompokkan dengan penanda seperti ==SHELLUSER== dan ==PASSWD== — pola yang mengarah pada penggunaan platform AI agentik untuk fase setelah eksploitasi.

Versi PHP yang Sudah Ditambal

Perbaikan sudah tersedia. Pastikan server Anda berada di versi berikut atau lebih baru:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Perlu dicatat, PHP 7.4 dan 8.0/8.1 sudah habis masa dukungan resminya, sehingga tidak menerima tambalan ini. Server yang masih memakai versi tersebut harus dinaikkan ke 8.2 ke atas — atau, untuk sementara, diisolasi dari internet langsung.

Cara Cek dan Menambal, Langkah demi Langkah

1. Cek versi PHP. Lewat SSH jalankan php -v. Jika situs berjalan di belakang web server, buat file sementara berisi <?php phpinfo();, buka di browser, catat baris PHP Version, lalu hapus segera file tersebut.
2. Backup dulu. Salin database dan folder situs, atau minimal buat snapshot VPS. Upgrade PHP bisa memunculkan peringatan deprecated pada aplikasi lama.
3. Perbarui paket. Di Debian/Ubuntu: sudo apt update && sudo apt upgrade lalu cek ulang dengan php -v. Di AlmaLinux/RHEL: sudo dnf update php*. Jika memakai container, tarik image baru (misalnya php:8.3-apache) dan jalankan ulang.
4. Panel hosting. Di cPanel/DirectAdmin, ganti versi PHP domain ke rilis yang sudah ditambal lewat menu MultiPHP Manager atau Select PHP Version. Jangan biarkan domain memakai PHP 7.4 hanya karena aplikasinya masih jalan.
5. Uji aplikasi. Buka halaman login, form unggah berkas, dan proses simpan data. Perhatikan error log PHP dan Apache/nginx selama 24 jam pertama.
6. Kurangi permukaan serang. Jika aplikasi tidak memakai fitur progres unggah sesi, matikan session.upload_progress.enabled di php.ini. Eksploitasi PHP2Shell memanfaatkan perilaku unggah progres ini.

Tanda Server Sudah Dicoba Diserang

ReliaQuest berhasil mereproduksi celah ini di lab dan menemukan urutan kejadian yang bisa dipakai untuk deteksi di log:

• Ada permintaan POST yang menghasilkan HTTP 500;
• log PHP mencatat memory exhaustion dan heap corruption;
• worker Apache yang menangani permintaan tersebut crash.

Jika ketiganya muncul berdekatan, jangan dianggap sebagai bug biasa — perlakukan sebagai indikasi percobaan eksploitasi, lalu periksa apakah ada file PHP asing di direktori unggahan, proses mencurigakan, atau koneksi keluar ke alamat tak dikenal. Untuk pemeriksaan cepat, peneliti merilis pemindai gratis di phpguard.io.

Ada satu hal lagi yang perlu dipantau: PHP Foundation juga memperingatkan celah ketiga, CVE-2026-115560, yang belum ditambal dan baru akan masuk siklus rilis rutin. Celah itu hanya muncul pada kombinasi konfigurasi tidak lazim — aplikasi mengubah session.serialize_handler saat runtime — tetapi tetap alasan untuk tidak menunda pembaruan.

Yang Paling Penting untuk Pengelola TI Daerah

Firewall tidak menutup celah ini; hanya pembaruan PHP di host yang bisa. Karena itu, jadikan pengecekan versi PHP sebagai rutinitas bulanan, catat versi tiap server dalam satu daftar, dan tetapkan siapa yang bertanggung jawab menambal. Untuk situs desa dan sekolah yang dikelola penyedia pihak ketiga, tanyakan langsung: berapa versi PHP di server kami, dan sudah ditambal untuk CVE-2026-109618? Pertanyaan sederhana itu sering menjadi pembeda antara server yang aman dan yang masuk daftar target berikutnya.

Sumber: The Hacker News — PHP2Shell Exploitation Hits Government Entity, The Hacker News — PHP2Shell Exploit Attempts Hit Millions, Unit 42 Palo Alto Networks, ReliaQuest, CYFIRMA.