Tekvora — Badan keamanan siber Amerika Serikat CISA memasukkan dua kerentanan PHP yang dikenal sebagai PHP2Shell ke katalog Known Exploited Vulnerabilities, menurut laporan BleepingComputer pada 27 Oktober 2026. Dua identitasnya adalah CVE-2026-109618 dan CVE-2026-109619. Katalog KEV digunakan untuk menandai celah yang memiliki bukti eksploitasi nyata, bukan sekadar kelemahan teoretis. Perubahan status ini penting bagi pengelola website karena PHP menjadi komponen server yang banyak dipakai berbagai aplikasi. Memperbarui CMS saja tidak selalu cukup jika versi runtime PHP di server masih rentan.
Apa yang diketahui tentang celah
Dua masalah PHP2Shell dapat membuka peluang eksekusi kode jarak jauh pada sistem yang belum diperbarui, dengan kondisi eksploitasi yang dilaporkan memiliki kompleksitas tinggi. Tim keamanan PHP merilis patch pada 21 Oktober, setelah sebelumnya meminta administrator bersiap memasang pembaruan secepatnya. Sebelum patch tersedia, beberapa pihak mendeteksi percobaan eksploitasi, meski tidak seluruhnya berhasil. Bukti eksploitasi nyata kemudian dilaporkan melalui pengamatan honeypot terhadap instalasi Apache mod_php tertentu. Karena detail teknis dan kondisi terdampak bisa berubah, administrator harus merujuk advisori resmi PHP dan penyedia hosting, bukan mengandalkan daftar versi yang beredar di media sosial.
Tenggat CISA bukan tenggat semua situs
CISA memerintahkan lembaga federal sipil Amerika Serikat yang berada dalam cakupan ketentuan terkait untuk menyelesaikan mitigasi paling lambat Kamis setelah pembaruan katalog. Kewajiban formal tersebut tidak otomatis berlaku untuk semua perusahaan di negara lain, tetapi menjadi sinyal prioritas risiko yang berguna. Pengelola situs di Indonesia tetap perlu menilai apakah server memakai versi PHP terdampak dan apakah pembaruan tersedia melalui panel hosting atau pengelola infrastruktur. Bila memakai layanan terkelola, tanyakan kepada penyedia siapa yang bertanggung jawab memasang patch pada runtime dan kapan tindakan dilakukan.
Urutan tindakan yang disarankan
Pertama, inventarisasi versi PHP pada server produksi, staging, dan mesin pengembangan yang dapat diakses jaringan. Kedua, buat cadangan yang dapat dipulihkan dan uji kompatibilitas aplikasi dengan rilis PHP yang telah ditambal. Ketiga, terapkan patch sesuai petunjuk resmi lalu verifikasi versi runtime yang benar-benar dipakai web server; versi PHP pada terminal belum tentu sama dengan yang melayani website. Keempat, tinjau log akses, aktivitas tidak biasa, serta perubahan berkas yang tidak dikenal. Firewall aplikasi dapat menjadi lapisan tambahan, tetapi tidak boleh dianggap pengganti pembaruan inti.
Mengapa pengguna WordPress perlu peduli
WordPress dan banyak aplikasi lain berjalan di atas PHP, sehingga keamanan situs merupakan gabungan pembaruan aplikasi, plugin, tema, runtime, dan konfigurasi server. Administrator yang hanya menekan tombol update WordPress bisa saja melewatkan tanggung jawab pada lapisan hosting. Jangan memasang patch dari tautan tidak resmi atau menjalankan skrip acak yang mengklaim mampu memperbaiki PHP2Shell. Gunakan rilis vendor, catat waktu pemeliharaan, dan lakukan pemantauan setelah perubahan. Kecepatan penting, tetapi proses yang dapat diaudit juga membantu memastikan perbaikan benar-benar diterapkan.
Memastikan patch sampai ke runtime yang benar
Pada server yang menjalankan beberapa versi PHP, panel administrasi dapat menampilkan versi berbeda dari proses yang melayani situs. Setelah pembaruan, verifikasi konfigurasi web server, PHP-FPM atau modul terkait, lalu uji aplikasi penting di lingkungan staging. Tinjau dependensi yang mungkin belum mendukung versi baru dan hindari menunda seluruh patch hanya karena satu plugin bermasalah; koordinasikan solusi dengan penyedia atau pengembang. Log keamanan juga perlu diperiksa untuk melihat percobaan akses mencurigakan sebelum dan sesudah pembaruan. Jika ditemukan indikasi kompromi, memasang patch saja tidak cukup: kredensial, berkas, dan aktivitas server harus diinvestigasi. Dokumentasikan tindakan dan hasil verifikasi agar pengelola berikutnya mengetahui status sebenarnya. Penanganan kerentanan aktif membutuhkan gabungan pemeliharaan, pemantauan, dan kesiapan pemulihan.
Gambar ilustrasi: Kevin Ache / Unsplash, bukan dokumentasi insiden.
Sumber rujukan: https://www.bleepingcomputer.com/news/security/cisa-confirms-php2shell-vulnerabilities-now-exploited-in-attacks/.
