PHP2Shell: Saat Situs Lama Jadi Pintu Masuk Penjahat Siber

Banyak orang mengira situs web itu seperti papan nama toko: sekali dipasang, ya sudah, tinggal dipakai bertahun-tahun. Kenyataannya, situs web lebih mirip kendaraan. Ia perlu diservis rutin. Kalau dibiarkan, suatu hari remnya bisa blong di jalan menurun.

Pekan ini dunia teknologi diingatkan dengan keras soal itu. Pada 21 Oktober 2026, tim pengembang PHP mengumumkan dua celah keamanan kritis yang diberi nama PHP2Shell (kode resmi CVE-2026-109618 dan CVE-2026-109619). Skor keparahannya 9,2 dari 10.

PHP itu apa, dan kenapa ini urusan kita semua?

PHP adalah bahasa pemrograman yang menjalankan sebagian sangat besar situs web di dunia. Situs berita, toko online, sistem sekolah, aplikasi koperasi, sampai portal layanan publik, banyak yang dibangun dengan PHP. WordPress, yang dipakai jutaan blog dan situs usaha, juga berjalan di atas PHP.

Jadi ketika ada celah di PHP itu sendiri, yang terdampak bukan satu aplikasi saja, tetapi hampir semua server yang menjalankan PHP untuk melayani pengunjung.

Seberapa bahaya PHP2Shell?

Sederhananya, celah ini memungkinkan penyerang menjalankan perintah di server dari jarak jauh, tanpa perlu login. Ibaratnya, pencuri tidak perlu kunci rumah. Ia cukup mengetuk pintu dengan cara tertentu, lalu pintunya terbuka sendiri.

Kalau server sudah dikuasai, penyerang bisa:

membaca isi database, termasuk data pelanggan, transaksi, atau rekening;
mengubah atau menghapus data;
memasang program jahat, misalnya untuk mencuri data diam-diam atau menyerang situs lain.

Yang membuat situasi ini mendesak, celah ini sudah dieksploitasi di internet. Peneliti keamanan watchTowr melaporkan serangan nyata. Menurut Help Net Security, jaringan perangkap (honeypot) milik Amazon bahkan mencatat percobaan serangan pada 17 Oktober 2026, empat hari sebelum celah ini diumumkan ke publik.

Siapa yang paling berisiko?

Tim PHP sudah merilis perbaikan untuk versi yang masih mereka dukung, yaitu PHP 8.2.35, 8.3.36, 8.4.27, dan 8.5.12. Situs yang rutin diperbarui tinggal memasang versi tersebut.

Masalahnya ada di situs yang memakai PHP versi lama. Contohnya PHP 7.4, yang dukungan resminya sudah berakhir pada November 2022. Untuk versi seperti ini, tidak ada rilis resmi. Yang tersedia hanya tambalan kode sumber minimal yang harus dirakit sendiri, atau paket dari penyedia pihak ketiga. Untuk PHP 7.3 ke bawah, menurut watchTowr, tidak ada perbaikan sama sekali. Satu-satunya jalan adalah naik versi.

Di sinilah banyak usaha dan instansi di Indonesia terjebak. Aplikasi yang dibuat lima atau tujuh tahun lalu sering dibangun dengan kerangka (framework) yang hanya bisa berjalan di PHP lama. Mau naik versi PHP, aplikasinya tidak jalan. Tidak naik versi, servernya terbuka untuk dibobol. Ini yang disebut utang teknis: masalah kecil yang ditunda bertahun-tahun, lalu datang menagih sekaligus.

Situs apa saja yang bisa terdampak?

Karena celahnya ada di mesin PHP, bukan di aplikasinya, situs apa pun yang berjalan di atas PHP bisa ikut terdampak selama PHP di servernya belum diperbarui. Serangannya bahkan terjadi sebelum aplikasi sempat memeriksa login, jadi kata sandi admin yang kuat pun tidak menolong.

Peneliti sudah menunjukkan serangan tanpa login pada aplikasi yang sangat populer ini:

WordPress, yang dipakai untuk blog pribadi, situs company profile, portal berita, dan banyak situs sekolah;
Drupal dan Joomla, yang banyak dipakai untuk situs instansi, kampus, dan organisasi;
Magento, platform toko online, dan Nextcloud, layanan penyimpanan berkas mirip Google Drive yang dipasang sendiri. Dua aplikasi ini dilaporkan oleh peneliti Calif lewat media keamanan.

Di sekitar kita, aplikasi lain yang juga berjalan di atas PHP antara lain:

toko online berbasis WooCommerce, PrestaShop, atau OpenCart;
jurnal ilmiah kampus yang memakai OJS (Open Journal Systems);
kelas daring sekolah dan kampus yang memakai Moodle;
katalog perpustakaan yang memakai SLiMS;
aplikasi buatan sendiri milik koperasi, klinik, sekolah, atau kantor yang dibuat dengan CodeIgniter atau Laravel.

Untuk daftar kedua ini belum ada uji khusus yang dipublikasikan. Tetapi karena celahnya ada di PHP, risikonya sama: aman kalau PHP-nya sudah diperbarui, terancam kalau belum.

Jadi pertanyaannya bukan "apakah situs saya pakai WordPress?", melainkan "apakah PHP di server situs saya sudah diperbarui?". Kabar baiknya, beberapa penyedia besar sudah bergerak. WordPress.org menyatakan WordPress sendiri tidak perlu diperbarui, cukup PHP-nya. Automattic menyatakan WordPress.com dan layanan hosting miliknya sudah terlindungi. GoDaddy juga mengaku sudah menambal PHP di layanan hosting WordPress terkelolanya. Kalau situs Anda ada di hosting murah atau server yang dikelola sendiri, jangan berasumsi sudah aman. Tanyakan langsung.

Pola yang perlu diwaspadai

Server yang paling rawan terhadap celah seperti PHP2Shell biasanya memiliki pola yang mirip:

Server masih memakai PHP 7.4, yang tidak lagi mendapat tambalan resmi.
Aplikasinya dibangun dengan framework lama yang belum mendukung PHP 8, sehingga tidak bisa langsung dipindah ke versi PHP yang aman.
Puluhan paket server belum diperbarui, termasuk pembaruan keamanan untuk inti sistem operasi.
Ada halaman uji coba (debug) sisa pengembangan yang masih bisa dibuka siapa saja. Padahal halaman seperti ini sering membocorkan informasi sensitif.
Temuan lama belum ditindaklanjuti. Perbaikannya sudah disiapkan, tetapi tak kunjung dipasang di server.

Poin terakhir ini yang paling sering terjadi. Masalahnya bukan tidak tahu, tetapi tahu dan menunda. Celah seperti PHP2Shell membuat penundaan itu menjadi sangat mahal.

Langkah yang disarankan: darurat, segera, permanen

Bagi pemilik situs atau aplikasi, langkahnya bisa dibagi tiga tahap.

Darurat (dalam 24 jam)

Buat cadangan (snapshot) server sebelum mengubah apa pun.
Perbarui PHP ke versi yang sudah ditambal, atau pasang paket tambalan dari penyedia server.
Kalau belum bisa diperbarui, para peneliti menyarankan mitigasi sementara, misalnya mematikan fitur session upload progress di pengaturan PHP. Tetapi ingat, tim PHP menegaskan tidak ada perubahan pengaturan yang menutup celah ini sepenuhnya. Pusat keamanan siber Inggris (NCSC) bahkan menyarankan sistem yang belum bisa diperbaiki untuk dimatikan sementara dari internet.
Tutup halaman debug atau halaman uji coba yang tidak diperlukan.
Periksa tanda-tanda pembobolan: berkas baru yang mencurigakan, proses asing, atau catatan akses yang janggal.

Segera (dalam seminggu)

Pasang seluruh pembaruan keamanan server, lalu restart di luar jam operasional.
Pasang firewall agar hanya layanan yang memang diperlukan yang bisa diakses dari internet.

Permanen (beberapa minggu sampai bulan)

Perbarui aplikasi agar bisa berjalan di PHP versi yang masih didukung.
Untuk aplikasi yang sudah terlalu tua, pertimbangkan membangun ulang dengan framework modern yang rutin mendapat pembaruan keamanan, seperti Laravel. Ini memang butuh biaya dan waktu, tetapi jauh lebih murah daripada membereskan akibat data pelanggan bocor.

Pertanyaan yang bisa Anda ajukan ke pengelola situs

Anda tidak perlu menjadi ahli teknologi untuk menjaga aset digital usaha Anda. Cukup ajukan pertanyaan-pertanyaan ini ke vendor atau tim IT:

"Situs kita memakai PHP versi berapa? Apakah sudah aman dari PHP2Shell?"
"Kapan terakhir server kita diperbarui?"
"Apakah ada cadangan data, dan kapan terakhir dicoba dipulihkan?"
"Kalau server harus dipindah besok, apakah aplikasinya bisa langsung jalan di server baru?"
"Apa rencana kita supaya tidak terjebak di versi usang lagi?"

Kalau jawabannya ragu-ragu atau "nanti dicek", itu tanda Anda perlu bertindak sekarang.

Penutup

PHP2Shell bukan celah pertama, dan pasti bukan yang terakhir. Setiap beberapa tahun selalu ada celah besar yang membuat dunia teknologi sibuk semalaman. Yang membedakan korban dan yang selamat biasanya bukan kecanggihan, tetapi kebiasaan merawat: rutin memperbarui, tidak menunda temuan, dan berani meremajakan aplikasi yang sudah terlalu tua.

Situs web Anda memang bukan papan nama. Ia kendaraan yang membawa data pelanggan Anda setiap hari. Servislah sebelum remnya blong.