Proyek PHP merilis perbaikan darurat pada 21 Oktober 2026 untuk dua celah eksekusi kode jarak jauh yang dijuluki PHP2Shell, yaitu CVE-2026-109618 dan CVE-2026-109619. Keduanya bisa dipicu tanpa login dan diberi skor CVSS v4 sebesar 9,2. Sejak itu serangan nyata sudah tercatat: peneliti watchTowr melihat eksploitasi lewat jaringan honeypot miliknya sejak hari rilis, dan CISA memasukkan CVE-2026-109618 ke katalog celah yang dieksploitasi pada 26 Oktober.
Apa yang terjadi dan siapa yang terdampak
CVE-2026-109618 muncul ketika PHP kehabisan memori di tengah pemrosesan permintaan, sehingga data permintaan yang baru terisi sebagian diperlakukan sebagai data valid saat pembersihan. CVE-2026-109619 terjadi karena status internal milik satu permintaan masih tersisa setelah memorinya dibebaskan, lalu dipakai permintaan berikutnya di worker yang sama. Menurut Help Net Security, semua instalasi PHP yang melayani permintaan web masuk cakupan, termasuk PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Pengaturan mod_php paling berisiko.
Pada 29 Oktober, The Record melaporkan GreyNoise mencatat setidaknya enam eksploitasi yang berhasil. Perusahaan keamanan Dream juga menyebut sebuah kampanye yang menurut mereka berasal dari pelaku asal China membobol 24 firewall Palo Alto Networks lewat PHP2Shell, lalu merangkainya dengan celah kernel Linux CVE-2026-46300. Atribusi itu masih klaim Dream; Unit 42 milik Palo Alto membenarkan temuan tersebut dan merilis versi perbaikan server web manajemen PAN-OS. Situs WordPress, Laravel, dan aplikasi PHP lain ikut berisiko karena semuanya berjalan di atas PHP. Soal WordPress, pengelola juga perlu memeriksa liputan kami tentang celah race condition inti WordPress.
Versi yang diperbaiki
Menurut analisis watchTowr, versi sebelum 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 terdampak di cabang masing-masing. PHP 7.4, 8.0, dan 8.1 tidak mendapat rilis resmi; pengguna cabang itu perlu paket dari distribusi atau vendor LTS, atau backport sumber minimal dari PHP. PHP 7.3 ke bawah, termasuk PHP 5, tidak punya perbaikan sama sekali dan harus pindah ke cabang yang masih didukung. PHP menyatakan tidak ada perubahan konfigurasi yang menutup celah ini sepenuhnya.
Langkah yang perlu Anda ambil
Periksa versi PHP di server dengan menjalankan php -v, lalu naik ke versi perbaikan untuk cabang Anda dan restart semua worker PHP agar proses lama tidak tetap berjalan. Dahulukan server yang terhubung ke internet. Di hosting bersama, tanyakan ke penyedia apakah paket PHP mereka sudah ditambal. Server yang belum bisa diperbarui sebaiknya dibatasi aksesnya dari internet; badan keamanan Inggris NCSC menyarankan mematikannya bila perlu. Cloudflare juga sudah memasang aturan WAF awal untuk vektor serangan yang dikenal, tersedia untuk semua pelanggan termasuk paket gratis, tetapi itu pelengkap dan bukan pengganti patch. Waspadai juga kode eksploit yang beredar di internet, karena peneliti memperingatkan sebagian berisi malware.
Bagi pengelola situs di Indonesia yang masih memakai PHP lama di server tanpa dukungan, risikonya paling nyata: tidak ada tambalan resmi, sementara serangan sudah berjalan.
Sumber: Help Net Security, watchTowr, dan The Record. Gambar: PHP.net.