PHP2Shell: Udah update PHP atau belum?
Mengelola aplikasi PHP? Luangkan waktu sebentar untuk mengecek versi PHP dan status pembaruannya. PHP2Shell merujuk pada dua celah keamanan serius di inti PHP, CVE-2026-109618 dan CVE-2026-109619. Perbaikannya sudah tersedia, dan CISA memasukkan kedua CVE itu ke katalog Known Exploited Vulnerabilities pada 26 Oktober 2026.
Yang perlu Anda lakukan sekarang bukan menebak apakah berita serangan tertentu menyangkut organisasi Anda. Cari tahu di mana saja PHP berjalan, cek apakah vendor sudah menyediakan perbaikan, lalu pastikan pembaruan itu benar-benar sudah dipasang.
1. Di mana saja PHP berjalan di sistem Anda?
PHP2Shell adalah nama untuk dua celah keamanan serius di inti PHP: CVE-2026-109618 dan CVE-2026-109619. Mulailah dengan mencatat semua tempat PHP berjalan, lalu cek apakah vendor sudah merilis perbaikan dan pastikan versi yang diperbaiki benar-benar dipakai. CISA memasukkan kedua CVE ke katalog Known Exploited Vulnerabilities pada 26 Oktober 2026. Jadi, jangan hanya cek server utama—periksa juga kontainer, lingkungan uji, dan perangkat yang dikelola vendor.
Jangan berhenti di server produksi utama. Cek juga server aplikasi, kontainer dan image-nya, lingkungan uji (staging), tugas terjadwal, komputer pengembangan, serta PHP yang disertakan di dalam appliance atau produk vendor lain.
Khusus perangkat jaringan, pembaruan PHP biasanya ditangani pembuat appliance, bukan lewat pembaruan sistem operasi biasa. Jika Anda memakai layanan hosting atau vendor yang mengelola sistem untuk Anda, tanyakan langsung apakah PHP2Shell sudah ditangani.
2. Bagaimana memastikan vendor sudah memperbaiki PHP2Shell?
Cara paling aman memastikan PHP2Shell sudah ditangani adalah mengecek paket dari pihak yang menyediakan PHP untuk sistem Anda. PHP merilis versi keamanan 8.2.35, 8.3.36, 8.4.27, dan 8.5.12 pada 21 Oktober 2026. Namun, penyedia Linux, hosting, kontainer, dan appliance bisa punya jadwal serta nomor versi sendiri. Karena itu, cocokkan instalasi dengan advisori vendor, bukan sekadar melihat nomor versi.
PHP merilis versi keamanan berikut pada 21 Oktober 2026:
PHP 8.2.35 — pemberitahuan rilis resmi
PHP 8.3.36 — pemberitahuan rilis resmi
PHP 8.4.27 — pemberitahuan rilis resmi
PHP 8.5.12 — pemberitahuan rilis resmi
Untuk detailnya, baca advisori PHP untuk CVE-2026-109618 dan advisori untuk CVE-2026-109619. Jika PHP Anda berasal dari distribusi Linux, layanan hosting, image kontainer, atau appliance, cek juga buletin keamanan dari penyedia tersebut.
Nomor versi bisa membingungkan. Vendor mungkin memasukkan perbaikan ke versi yang terlihat lebih lama (disebut backport), jadi nomor lama belum tentu berarti paket masih rentan. Sebaliknya, melihat satu versi PHP yang baru juga belum membuktikan bahwa semua sistem Anda sudah diperbarui.
Jika vendor belum menyediakan paket perbaikan, mengubah pengaturan aplikasi saja tidak menyelesaikan celah di inti PHP. Tanyakan status keamanan dan jalur pembaruan yang mereka dukung. Jika versi PHP Anda sudah tidak didukung, prioritaskan pindah ke versi yang masih mendapat pembaruan keamanan.
3. Bagaimana memasang dan memastikan patch sudah aktif?
Pasang paket perbaikan atau firmware yang disediakan vendor lewat proses pembaruan yang biasa Anda gunakan. Setelah itu, ikuti petunjuk vendor untuk memulai ulang layanan atau mengganti kontainer. Lalu cek versi PHP yang benar-benar dipakai aplikasi di setiap lingkungan—termasuk worker dan tugas terjadwal. Simpan advisori atau catatan paket sebagai bukti bahwa pembaruan sudah terpasang.
Gunakan cara pembaruan yang direkomendasikan vendor untuk memasang paket atau firmware yang sudah diperbaiki. Jika diminta, mulai ulang layanan atau ganti kontainer agar proses yang masih berjalan ikut memakai versi PHP terbaru.
Setelah itu, cek versi PHP yang benar-benar menjalankan aplikasi di setiap lingkungan. Jangan hanya memeriksa terminal pengembang atau instalasi command-line yang terpisah dari aplikasi. Pastikan juga worker, tugas terjadwal, image kontainer yang baru dibangun, dan server yang sudah diperbarui semuanya tercakup.
Catat paket atau advisori yang menunjukkan perbaikan sudah terpasang. Jika ada sistem yang belum bisa diperbarui, tandai sebagai risiko yang belum selesai dan batasi akses sesuai prosedur organisasi sambil meminta bantuan vendor.
4. Mengapa pembaruan ini perlu diprioritaskan?
Pembaruan ini perlu diprioritaskan karena CISA memasukkan kedua CVE PHP2Shell ke katalog Known Exploited Vulnerabilities pada 26 Oktober 2026. Artinya, eksploitasi atas celah ini sudah diketahui. Advisori PHP dan catatan NVD menjelaskan masing-masing kerentanan, tetapi status KEV tidak membuktikan setiap detail insiden, jumlah korban, siapa pelakunya, atau klaim penggunaan AI dalam laporan kampanye tertentu.
Kedua CVE ini merujuk pada celah yang berbeda di inti PHP. Baca advisori PHP untuk CVE-2026-109618 dan CVE-2026-109619, serta catatan NVD untuk CVE-2026-109618 dan CVE-2026-109619.
Seberapa pasti laporan kampanye PHP2Shell?
Dream Research melaporkan kampanye yang disebut telah membobol 25 server, termasuk sistem di lingkungan yang terkait dengan pemerintah AS. Laporan itu juga menyebut keterkaitan dengan China dan penggunaan AI. Namun, dari sumber yang ditinjau, rincian tersebut masih merupakan klaim Dream Research, belum dikonfirmasi secara independen oleh korban bernama atau penyelidikan lain. Apa pun itu, pembaruan PHP tetap perlu dilakukan.
Status KEV menunjukkan bahwa kerentanan tersebut diketahui telah dieksploitasi. Namun, itu tidak mengonfirmasi jumlah korban atau siapa pelaku yang disebut dalam laporan Dream Research. Anda tak perlu memastikan benar-tidaknya semua detail berita kampanye sebelum memperbarui sistem sendiri.