Tim pengembang PHP resmi merilis pembaruan keamanan darurat untuk mengatasi dua celah kritis PHP2Shell yang mengancam website di seluruh dunia. Pengelola website diminta segera memperbarui PHP untuk mencegah potensi serangan peretas.
Patch tersebut dirilis pada Rabu (21/10/2026) untuk memperbaiki dua kerentanan yang teridentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619. Keduanya memiliki skor keparahan CVSS 9,2 dari skala 10.
Kedua celah memungkinkan serangan remote code execution (RCE), yakni peretas berpotensi menjalankan kode berbahaya dari jarak jauh tanpa memerlukan akun maupun kata sandi.
Melalui situs resminya, tim PHP menegaskan bahwa pembaruan perangkat lunak menjadi langkah utama untuk mengatasi ancaman tersebut.
"Tidak ada mitigasi yang sepenuhnya mengatasi kerentanan ini. Melakukan pembaruan adalah satu-satunya pilihan yang aman," demikian pernyataan tim pengembang PHP, dikutip Kamis (22/10/2026).
Dilansir dari BleepingComputer, kerentanan PHP2Shell memengaruhi instalasi PHP yang melayani permintaan web, termasuk PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, dan LiteSpeed.
Tim PHP menyebut risiko tertinggi berada pada konfigurasi Apache mod_php. Dalam demonstrasi eksploitasi, permintaan tanpa autentikasi dapat memicu serangan bahkan sebelum kode aplikasi website dijalankan.
Daftar Versi PHP yang Sudah Aman dari PHP2Shell
Tim PHP telah menyediakan empat versi pembaruan untuk menutup kedua kerentanan tersebut.
Berikut daftar versi PHP yang sudah mendapatkan perbaikan keamanan PHP2Shell:
| Versi PHP | Versi dengan Patch |
| PHP 8.5 | PHP 8.5.12 |
| PHP 8.4 | PHP 8.4.27 |
| PHP 8.3 | PHP 8.3.36 |
| PHP 8.2 | PHP 8.2.35 |
Pengelola website yang menggunakan versi lebih lama dalam masing-masing cabang tersebut disarankan segera memasang pembaruan.
Sementara itu, PHP 8.1 dan versi sebelumnya sudah tidak lagi mendapatkan pembaruan keamanan reguler dari proyek PHP.
Namun, beberapa distributor Linux dan penyedia dukungan jangka panjang (LTS) mungkin menyediakan patch khusus yang diterapkan pada versi lama. Karena itu, administrator perlu memeriksa informasi dari vendor sebelum menentukan apakah sistem mereka masih rentan.
Tim PHP juga menyediakan perbaikan kode sumber terbatas untuk PHP 7.4, 8.0, dan 8.1 guna membantu pengguna yang membangun PHP sendiri atau tidak memiliki akses ke penyedia LTS.
Khusus PHP 8.2, dukungan keamanan dijadwalkan berakhir pada 31 Desember 2026. Pengguna disarankan mulai merencanakan migrasi ke versi yang masih didukung.
Simak Video "Video: Japan Airlines Diserang Hacker, Penerbangan Terganggu"
(afr/afr)