Celah Kritis PHP “PHP2Shell”: Penyerang Bisa Kuasai Server Tanpa Login — Pengelola Website Unit Diminta Segera Perbarui

Bandar Lampung — Tim pengembang PHP menerbitkan perbaikan keamanan darurat pada 21 Oktober 2026 untuk dua celah berbahaya yang memungkinkan penyerang dari internet mengambil alih server website. Peneliti keamanan menamainya PHP2Shell.

Hampir seluruh website unit kerja di lingkungan Universitas Lampung berjalan di atas PHP. Karena itu UPA TIK meminta seluruh pengelola website unit memeriksa versi PHP server masing-masing dan segera memperbaruinya.

Apa yang terjadi

Ada dua celah sekaligus, keduanya diberi nilai bahaya 9,2 dari maksimal 10 oleh tim keamanan PHP sendiri:

• CVE-2026-109618 — kerusakan memori saat server kehabisan memori
• CVE-2026-109619 — sisa data lama yang tertinggal di memori antar-permintaan

Dalam bahasa sederhana: penyerang dapat mengirim permintaan yang disusun khusus ke website Anda, lalu menjalankan perintah di dalam server — tanpa perlu nama pengguna, tanpa perlu kata sandi, dan tanpa perlu menjadi anggota sistem apa pun.

Bila berhasil, penyerang memperoleh hak yang sama dengan proses website Anda. Dari situ ia dapat mengubah isi halaman, membaca basis data, menanam pintu belakang, atau memakai server Anda untuk menyerang pihak lain.

Versi mana yang aman

Perbaikan hanya tersedia untuk empat cabang PHP yang masih didukung. Periksa versi Anda pada tabel berikut:

Perlu ditegaskan: PHP 8.1 ke bawah sudah berakhir masa dukungannya. Tidak akan pernah terbit tambalan resmi untuk versi tersebut. Bila server Anda masih memakainya, satu-satunya jalan adalah menaikkan versi — bukan menunggu perbaikan.

Cara memeriksa versi PHP Anda

Lewat terminal server:

php -v

Bila website Anda memakai WordPress dan Anda tidak punya akses terminal, buka wp-admin → Tools → Site Health → Info → Server. Versi PHP tercantum di sana.

Pengguna cPanel dapat melihatnya pada menu Select PHP Version, dan pengguna Plesk pada PHP Settings.

Yang perlu dikerjakan sekarang

1. Daftar dulu semua yang memakai PHP. Bukan hanya website utama: termasuk aplikasi pendukung, panel kendali, dan sistem bawaan vendor yang membawa PHP sendiri.
2. Perbarui ke versi aman pada tabel di atas. Dahulukan yang dapat diakses langsung dari internet.
3. Bila belum dapat diperbarui hari ini, kurangi risikonya: perkecil batas ukuran unggahan (post_max_size), pasang pembatas ukuran permintaan di sisi depan server, dan matikan session.upload_progress.enabled bila tidak dipakai. Ini mengurangi, bukan menutup.
4. Bila memakai PHP yang sudah berakhir dukungan, turunkan layanan itu dari internet sampai dapat diperbarui, atau letakkan di balik VPN maupun penyaring aplikasi web.
5. Perhatikan kejanggalan. Curigai bila proses PHP tiba-tiba menjalankan program lain, muncul berkas baru di direktori website, ada tugas terjadwal yang tidak Anda buat, atau akun administrator bertambah.

Status di UPA TIK

Server WordPress UPA TIK telah diperbarui ke PHP 8.2.35 pada 22 Oktober 2026 pukul 06.14 WIB, yaitu versi yang sudah memuat kedua perbaikan. Pemeriksaan setelah pembaruan menunjukkan layanan berjalan normal.

Perlu diketahui pula: pemeriksaan kami menunjukkan server-server di lingkungan Unila tidak menampilkan versi PHP pada header HTTP-nya. Itu praktik yang baik, karena menyulitkan penyerang memilih sasaran. Namun konsekuensinya, UPA TIK tidak dapat mengetahui versi PHP unit Anda dari luar — pemeriksaan harus dilakukan sendiri oleh masing-masing pengelola.

Seberapa mendesak

Kabar soal ini masih berkembang dan keterangannya belum sepenuhnya seragam. Judul pembaruan pada pemberitaan The Hacker News menyebut percobaan serangan sudah mulai bermunculan, sementara keterangan rinci di tubuh berita yang sama masih mencatat belum ada laporan serangan per 21 Oktober, dan kedua celah belum masuk daftar kerentanan yang diketahui dieksploitasi milik CISA. Tingkat kesulitan serangannya dinilai tinggi.

Pertentangan keterangan itu sendiri adalah alasan untuk tidak menunda. Ketika sebuah celah sudah diumumkan dan tambalannya terbit, perbedaan antara “belum ada serangan” dan “sudah mulai ada” biasanya hanya soal berapa jam.

Meski begitu, penundaan tidak dianjurkan. Pada kasus serupa tahun 2024 — celah PHP bernomor CVE-2024-4577 — percobaan serangan terpantau dalam waktu kurang dari 24 jam setelah celahnya diumumkan. Rincian teknis yang kini sudah terbuka mempermudah pihak lain menyusun alat serangan.

Bagikan ke tim Anda

Bantuan

Pengelola website unit kerja yang memerlukan bantuan pemeriksaan atau pembaruan dapat menghubungi UPA TIK Universitas Lampung. Temuan atau kejanggalan pada website unit dapat dilaporkan melalui kanal CSIRT Unila.

Sumber: advisory resmi PHP GHSA-w8hw-w9fx-j79w dan GHSA-6wmf-4rv5-p3rp, serta pemberitaan The Hacker News, 21 Oktober 2026.