Jakarta, CNBC Indonesia - Tim pengembang PHP resmi merilis pembaruan keamanan darurat untuk menutup celah kritis yang dikenal sebagai PHP2Shell. Kerentanan ini memungkinkan peretas menjalankan kode berbahaya dari jarak jauh tanpa kata sandi maupun akun, sehingga pengelola situs web diminta segera memasang perbaikan, dikutip Kamis (22/10/2026).
Dua kerentanan yang diberi kode CVE-2026-109618 dan CVE-2026-109619 memiliki tingkat keparahan 9,2 dari skala 10. Keduanya memungkinkan pelaku menyerang server secara langsung, bahkan sebelum kode halaman web dijalankan. Konfigurasi Apache mod_php dinilai paling berisiko, karena permintaan sederhana tanpa izin apa pun sudah dapat memicu serangan.
"Tidak ada langkah pencegahan lain yang sepenuhnya aman. Memperbarui adalah satu-satunya pilihan," tegas tim pengembang PHP dalam pernyataan resminya.
Pembaruan telah dirilis untuk empat cabang versi utama. Pastikan sistem Anda menggunakan setidaknya nomor versi berikut:
PHP 8.1 dan versi di bawahnya sudah tidak mendapatkan pembaruan rutin. Namun perbaikan kode sumber telah disediakan untuk PHP 7.4, 8.0, dan 8.1 guna membantu pengguna yang membangun sistem sendiri. Pengguna disarankan segera merencanakan migrasi ke versi yang masih didukung. Dukungan untuk PHP 8.2 sendiri dijadwalkan berakhir pada 31 Desember 2026.
Pengguna yang tidak mengelola server sendiri sebaiknya menghubungi penyedia layanan hosting. Tanyakan apakah perbaikan sudah diterapkan dan nomor versi yang aktif. Jika panel menyediakan pilihan versi, pilih versi yang sudah aman setelah memastikan kesesuaian dengan website.
Penting diketahui bahwa firewall atau sistem penyaringan trafik dapat mengurangi risiko, tetapi tidak dapat menggantikan pembaruan resmi. Satu-satunya cara terjamin aman adalah memasang pembaruan langsung pada perangkat lunak tersebut.
