Jika situs web atau toko online perusahaan Anda berjalan di WordPress, Magento, Laravel, atau sistem lain berbasis PHP, mintalah penyedia hosting atau tim teknis Anda hari ini juga untuk memperbarui PHP ke versi 8.5.12, 8.4.27, 8.3.36, atau 8.2.35, lalu memulai ulang server. Proyek PHP merilis versi-versi ini pada 21 Oktober 2026 untuk menutup dua celah kritis bernama PHP2Shell, masing-masing bernilai 9.2 dari 10, yang memungkinkan penyerang menjalankan perintah di server Anda tanpa kata sandi apa pun. Otoritas Keamanan Siber Nasional Arab Saudi (NCA) pada hari yang sama mengeluarkan peringatan tingkat «kritis» yang menganjurkan pembaruan, dan perusahaan keamanan melihat upaya eksploitasi beberapa jam sebelum perbaikan diumumkan.

Apa yang sebenarnya terjadi?

Kedua celah itu adalah CVE-2026-109618 dan CVE-2026-109619, dan keduanya berada di bahasa PHP itu sendiri, bukan di plugin atau tema. Inilah perbedaan utamanya: dalam artikel kami sebelumnya tentang perbaikan WordPress yang menjadi peta bagi penyerang, kesalahannya ada di perangkat lunak yang berjalan di atas PHP. Kali ini kesalahannya ada di fondasi tempat semua perangkat lunak itu berdiri. Jadi WordPress yang sudah diperbarui atau plugin yang sedikit tidak melindungi Anda.

Menurut peringatan keamanan pertama dari PHP, celah pertama muncul ketika sebuah permintaan kehabisan memori saat sedang disiapkan, sehingga PHP meninggalkan data yang baru setengah diinisialisasi lalu menganggapnya valid. Menurut peringatan kedua, celah lainnya membiarkan data dari permintaan sebelumnya tetap tertinggal setelah dibebaskan, dan permintaan berikutnya pada proses yang sama memakainya. Hasilnya sama dalam kedua kasus: satu permintaan web yang dirancang dengan cermat sudah cukup untuk menjalankan perintah di server.

Wiz Research menemukan celah ini dengan bantuan model AI. Laporannya menyebutkan tim menemukannya pada 19 Agustus 2026, melaporkannya ke tim PHP pada 24 Agustus, dan bahwa setiap versi PHP sejak 5.4 terdampak setidaknya oleh salah satunya. Wiz memperkirakan sekitar 70% situs web berjalan di PHP.

Apakah situs saya terdampak?

Kemungkinan besar ya, jika situs Anda berjalan di PHP dan versinya lebih lama dari yang disebutkan di atas. Wiz menunjukkan eksekusi kode jarak jauh tanpa autentikasi pada WordPress, Drupal, dan Joomla dengan pengaturan bawaan. Sansec memperluas daftarnya dalam analisisnya menjadi 11 platform, termasuk Magento 2.4.9, WordPress 7.1.2, Laravel 13.11, Symfony 8.1, phpMyAdmin, Nextcloud, dan WHMCS.

Untuk mengetahui versi PHP Anda, buka panel hosting (cPanel, Plesk, atau sejenisnya) dan cari «PHP Version», atau tanyakan kepada tim Anda. Perhatikan dua hal:

  • Versi 8.1 dan yang lebih lama sudah tidak didukung dan tidak akan mendapat perbaikan. Menurut tabel versi PHP yang didukung, cabang yang didukung saat ini hanya 8.2, 8.3, 8.4, dan 8.5.
  • Cabang 8.2 sendiri kehilangan dukungan keamanan pada 31 Desember 2026, dua setengah bulan lagi. Jika Anda memperbarui sekarang, pindahlah ke 8.4 atau 8.5 agar tidak perlu meningkatkan versi lagi dalam waktu dekat.

Yang harus dilakukan hari ini: lima langkah

  1. Temukan semua tempat PHP berjalan. Situs web, toko, panel admin, dan sistem internal atau portal pelanggan mana pun. Banyak perusahaan lupa pada situs lama yang masih online.
  2. Perbarui ke versi yang sudah diperbaiki. 8.5.12, 8.4.27, 8.3.36, atau 8.2.35. Pada shared hosting, tanyakan secara tertulis kepada penyedia Anda: apakah pembaruan 21 Oktober sudah diterapkan?
  3. Mulai ulang PHP setelah memperbarui. Peringatan PHP menyebutkan bahwa proses yang belum dimulai ulang tetap memakai kode lama, jadi mengunduh pembaruan saja tidak cukup.
  4. Jika situs Anda masih di 8.1 atau lebih lama, rencanakan peningkatan versi minggu ini dan uji dulu di salinan staging, karena beberapa plugin lama mungkin tidak berfungsi.
  5. Periksa log. Wiz menyarankan mencari permintaan unggah yang tidak biasa yang diikuti galat kehabisan memori, galat HTTP 500 berulang, atau cookie sesi (PHPSESSID) yang terlalu besar atau rusak.

Jika Anda tidak bisa memperbarui hari ini

Peringatan PHP menyarankan langkah sementara yang mengurangi risiko tetapi tidak menggantikan pembaruan: matikan session.upload_progress.enabled dengan mengaturnya ke 0 lalu mulai ulang semua proses, dan pada versi 8.5 atur fatal_error_backtraces ke 0. Jika situs Anda tidak pernah menerima unggahan berkas, Anda juga dapat memblokir permintaan multipart di server depan.

Jika situs Anda berada di belakang Cloudflare, perusahaan itu menyatakan di blognya bahwa mereka menerapkan aturan firewall untuk celah ini sejak pukul 3:02 UTC pada 21 Oktober, sekitar 9 jam sebelum pengungkapan, di semua paket termasuk yang gratis. Namun Cloudflare sendiri menganjurkan tetap memperbarui PHP meskipun ada perlindungan ini, karena penyerang terus mengubah serangan mereka.

Pandangan Origami

Celah ini mengingatkan bahwa keamanan situs tidak berhenti pada pembaruan WordPress dan pluginnya. Di bawah setiap situs ada bahasa pemrograman, server, dan pengaturan, dan semuanya perlu dipantau. Yang sering kami lihat di perusahaan adalah situs yang dibuat bertahun-tahun lalu, lalu tidak ada lagi yang tahu versi PHP yang dipakainya atau siapa yang punya akses untuk memperbaruinya. Jika itu kondisi Anda, pertanyaannya bukan lagi «perlukah kita memperbarui?» melainkan «siapa yang memperbaruinya hari ini?». Di Origami, kami membangun situs dan sistem serta memantau pembaruannya sejak hari pertama. Jika Anda ingin situs Anda diperiksa atau PHP ditingkatkan tanpa gangguan, hubungi kami.

Sumber