PHP2Shell Diserang Sebelum Diumumkan, Ini Risiko bagi Website

Kerentanan keamanan tidak selalu menunggu sampai diumumkan secara resmi untuk mulai menarik perhatian penyerang. Kasus PHP2Shell menjadi pengingat bahwa sebuah server bisa menghadapi risiko bahkan ketika informasi teknis mengenai celah tersebut belum tersedia secara luas.

Dalam laporan yang diterbitkan pada 22 Oktober 2026, The Hacker News mengungkap bahwa tim Amazon Threat Intelligence mendeteksi percobaan eksploitasi terhadap sistem honeypot MadPot pada 17 Oktober. Aktivitas tersebut terjadi empat hari sebelum pengungkapan publik yang semula dijadwalkan pada 21 Oktober.

Temuan ini menimbulkan pertanyaan penting bagi pemilik website: seberapa siap server mereka menghadapi celah keamanan yang dapat dimanfaatkan sebelum atau segera setelah informasi teknisnya beredar?

Apa Itu PHP2Shell?

PHP2Shell merupakan sebutan untuk dua kerentanan pada inti PHP yang dilacak sebagai CVE-2026-109618 dan CVE-2026-109619. Keduanya memiliki skor CVSS 9,2, sehingga masuk kategori kerentanan dengan tingkat keparahan kritis.

Risiko utamanya adalah kemungkinan remote code execution atau RCE, yaitu kondisi ketika penyerang dapat menjalankan kode dari jarak jauh pada server yang rentan. Dalam skenario tertentu, serangan dapat dilakukan tanpa perlu masuk ke akun pengguna terlebih dahulu.

Karena masalahnya berada pada runtime PHP, risiko tidak terbatas pada satu CMS, tema, atau plugin tertentu. Website yang menggunakan WordPress, framework PHP, maupun aplikasi khusus tetap perlu memperhatikan versi PHP yang berjalan di servernya.

Percobaan Eksploitasi Terdeteksi Sebelum Pengungkapan

Amazon melaporkan bahwa percobaan pada 17 Oktober berasal dari alamat IP yang dikaitkan dengan jaringan anonimisasi komersial. Aktivitas tersebut terlihat pada MadPot, sistem honeypot yang dirancang untuk mengamati dan menganalisis aktivitas ancaman siber.

Menurut Amazon, penggunaan infrastruktur anonim ketika kerentanan masih berada dalam masa embargo mengindikasikan kemungkinan keterlibatan pelaku ancaman. Namun, bagaimana pihak tersebut memperoleh informasi eksploitasi sebelum pengungkapan resmi masih belum diketahui.

Amazon juga mencatat beberapa percobaan lain pada 21 Oktober, ketika detail kerentanan dan perbaikan mulai tersedia. Variasi payload serta penggunaan infrastruktur yang berbeda mengindikasikan bahwa aktivitas tersebut mungkin melibatkan lebih dari satu pelaku.

Penting untuk membedakan percobaan eksploitasi dari insiden yang berhasil. Laporan ini menunjukkan adanya upaya serangan, tetapi tidak dengan sendirinya membuktikan bahwa server tertentu telah berhasil dibobol.

Mengapa Kerentanan Ini Perlu Diperhatikan?

PHP digunakan pada berbagai jenis website, mulai dari blog hingga toko online dan aplikasi bisnis. Jika kerentanan berada pada inti bahasa yang menangani permintaan web, memperbarui plugin atau tema saja tidak cukup untuk menutup masalah tersebut.

Risiko juga dapat muncul pada endpoint yang terlihat sederhana, karena paparan bergantung pada runtime PHP dan konfigurasi server yang terdampak, bukan hanya pada seberapa rumit aplikasi yang dijalankan.

Hal lain yang membuat PHP2Shell mengkhawatirkan adalah keterbatasan jejak yang dapat terlihat pada sebagian skenario eksploitasi. Karena itu, tidak adanya peringatan yang jelas pada dashboard bukan jaminan bahwa sebuah server aman.

Versi PHP Apa yang Harus Diperiksa?

Pengelola server perlu memeriksa versi PHP yang benar-benar melayani permintaan website, bukan hanya versi yang tercantum pada komputer lokal atau panel pengembangan.

Untuk cabang PHP yang didukung, rilis perbaikan yang dilaporkan mencakup PHP 8.2.35, 8.3.36, 8.4.27, dan 8.5.12. Pastikan kembali versi perbaikan yang sesuai dengan cabang yang digunakan melalui pengumuman keamanan resmi PHP dan penyedia hosting.

Jika website masih berjalan pada PHP 7 atau versi lama lainnya, jangan menganggapnya aman hanya karena tidak menerima pembaruan reguler. Versi yang sudah mencapai akhir masa dukungan mungkin tidak memperoleh perbaikan resmi, sehingga migrasi ke versi yang didukung menjadi prioritas.

Langkah Melindungi Website dari PHP2Shell

1. Periksa versi PHP pada server

Gunakan panel hosting, terminal, atau dokumentasi penyedia layanan untuk memastikan versi runtime yang aktif. Situs yang memakai beberapa container, worker, atau lingkungan staging perlu diperiksa satu per satu.

2. Pasang pembaruan keamanan

Perbarui PHP ke rilis yang telah diperbaiki dan sesuai dengan lingkungan server. Setelah pembaruan, restart layanan yang relevan, seperti Apache, PHP-FPM, atau worker PHP yang berjalan lama, mengikuti prosedur penyedia hosting.

3. Jangan hanya memperbarui CMS

Pembaruan WordPress, Laravel, atau plugin tidak otomatis memperbarui runtime PHP di server. Pastikan pembaruan benar-benar diterapkan pada komponen yang menjalankan kode PHP.

4. Tinjau log dan aktivitas proses

Perhatikan aktivitas tidak biasa, termasuk proses PHP yang mencoba menjalankan shell, mengunduh berkas, atau mengakses sumber daya yang tidak sesuai dengan fungsi aplikasi. Gunakan log dan pemantauan proses yang tersedia, tetapi jangan mengandalkan satu indikator saja.

5. Gunakan perlindungan tambahan sebagai lapisan sementara

Firewall aplikasi web atau WAF dapat membantu mengurangi sebagian lalu lintas berbahaya. Namun, perlindungan tersebut tidak menggantikan pembaruan PHP. Jika patch belum dapat dipasang, konsultasikan dengan administrator atau penyedia hosting mengenai pembatasan akses dan mitigasi yang sesuai.

Bagaimana Jika Website Menggunakan Blogger?

Pengguna Blogger yang menerbitkan artikel melalui layanan blogspot tidak mengelola runtime PHP untuk platform Blogger itu sendiri. Karena itu, kerentanan PHP2Shell pada server PHP tidak otomatis berarti blog Blogger ikut terdampak.

Namun, jika Anda menggunakan server PHP terpisah untuk API, landing page, safelink, aplikasi pendukung, atau subdomain tertentu, sistem tersebut perlu diperiksa sesuai teknologi yang benar-benar digunakan.

Untuk pemilik website yang juga mengelola infrastruktur sendiri, memahami dasar keamanan server dan memperbarui komponen secara rutin sama pentingnya dengan menjaga kualitas konten serta performa website.

Kesimpulan

Kasus PHP2Shell menunjukkan bahwa waktu antara ditemukannya kerentanan, bocornya informasi teknis, dan munculnya percobaan eksploitasi dapat menjadi sangat singkat. Deteksi sebelum pengungkapan publik juga memperlihatkan bahwa pengelola server tidak seharusnya menunggu munculnya laporan serangan terhadap website mereka sendiri.

Prioritaskan pemeriksaan versi PHP, pemasangan patch resmi, dan pemantauan aktivitas server. Jika Anda menggunakan hosting terkelola, tanyakan kepada penyedia layanan apakah runtime PHP yang digunakan sudah menerima perbaikan untuk CVE-2026-109618 dan CVE-2026-109619.