AjiMartono.com – Dua celah keamanan kritis pada PHP, yang dijuluki PHP2Shell, memicu peringatan dari Badan Siber dan Sandi Negara (BSSN) dan Kementerian Komunikasi dan Digital (Komdigi). Penyerang dapat mengambil alih server dari jarak jauh tanpa perlu login. Pengelola website pun diminta segera memperbarui PHP.
Kedua celah itu tercatat sebagai CVE-2026-109618 dan CVE-2026-109619. Keduanya berkaitan dengan kesalahan pengelolaan memori yang membuka peluang eksekusi kode berbahaya dari jarak jauh (remote code execution/RCE). Detailnya dipublikasikan di situs resmi PHP pada 21 Oktober 2026.
CVE-2026-109618 terjadi pada penanganan kondisi kehabisan memori (out-of-memory) dan bisa dipicu lewat permintaan HTTP yang dirancang khusus, sehingga memori rusak (memory corruption). CVE-2026-109619 menyangkut pemakaian ulang status internal yang sudah tidak valid (stale global state).
Jika dimanfaatkan, celah ini dapat menyebabkan gangguan layanan, pengambilalihan sistem, hingga data diakses, diubah, atau dihapus. Dampaknya berpotensi luas. Menurut W3Techs, PHP dipakai sekitar 70 persen situs yang teknologi server-side-nya dapat diidentifikasi. PHP juga menjadi fondasi WordPress, Drupal, Joomla, dan MediaWiki.
Siapa yang terdampak: semua pihak yang memasang PHP untuk melayani permintaan web, termasuk PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed. PHP 8.1 dan versi lebih lama yang sudah end-of-life (EOL) juga berpotensi terdampak.
Versi yang sudah diperbaiki:
PHP 8.5 → 8.5.12, PHP 8.4 → 8.4.27, PHP 8.3 → 8.3.36, PHP 8.2 → 8.2.35.
Langkah yang diminta:
Pertama, periksa apakah sistem atau aplikasi sudah memakai versi PHP yang telah ditambal. Kedua, jika belum, segera perbarui, dengan prioritas server yang terhubung ke internet dan melayani publik. Ketiga, restart layanan terkait setelah pembaruan agar perbaikan berlaku. Keempat, bila belum bisa memperbarui, batasi akses jaringan ke sistem terdampak dan isolasi layanan yang terhubung langsung ke internet.
Komdigi melalui surat B-847/DT.01.10/10/2026 tertanggal 22 Oktober 2026 berstatus “sangat segera” meminta seluruh pengguna layanan PDN-1 dan Government Cloud menerapkan langkah ini. Rincian lengkap advisory BSSN tersedia di idsirtii.bssn.go.id.
