Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) baru saja mengeluarkan peringatan keamanan siber darurat mengenai ditemukannya kerentanan kritis pada runtime PHP yang memungkinkan penyerang mengeksekusi kode berbahaya dari jarak jauh (Remote Code Execution / RCE) tanpa perlu autentikasi. Kerentanan yang dijuluki oleh komunitas keamanan siber sebagai “php2shell” ini berpotensi membahayakan jutaan server web dan aplikasi berbasis PHP di seluruh dunia, termasuk website WordPress dan aplikasi bisnis online.
Sebagai pengelola website atau praktisi sistem hosting, mengabaikan peringatan ini adalah risiko besar. Penyerang dapat mengambil alih kontrol server secara penuh, mencuri database, menyisipkan malware backdoor, hingga menggunakan server Anda sebagai bagian dari botnet serangan siber.
Apa Itu Kerentanan Kritis PHP (php2shell) dan Mengapa Sangat Berbahaya?
Kerentanan ini (diidentifikasi melalui CVE-2026-109618 dan CVE-2026-109619) menyerang modul SAPI (Server Application Programming Interface) pada lingkungan server populer seperti PHP-FPM, LiteSpeed, php-cgi, FrankenPHP, serta Apache mod_php.
Celah keamanan ini terjadi karena kelemahan validasi dalam pemrosesan request HTTP di level runtime PHP. Akibatnya, hacker dapat mengirimkan paket data request yang dimanipulasi secara khusus untuk memicu eksekusi perintah shell sistem operasi secara langsung di server web Anda tanpa memerlukan login, username, ataupun password.
Beberapa dampak fatal jika server Anda berhasil dieksploitasi antara lain:
- Pengambilalihan Server Penuh: Hacker mendapatkan hak akses shell sistem untuk mengubah file, menambah script berbahaya, atau merusak sistem operasi.
- Pencurian Data Sensitif: Akses langsung ke file konfigurasi database (seperti
wp-config.php), informasi transaksi klien, dan kredensial API. - Defacement dan Blacklist Google: Situs dapat disusupi halaman phishing atau malware judi online yang berujung pada penalti de-indeks dari hasil pencarian Google.
Rekomendasi CISA: Update Segera ke PHP 8.5 Patch Terbaru
Tim pengembang inti PHP telah merilis pembaruan keamanan darurat (security patch) untuk menutup celah kritis ini. CISA secara tegas mewajibkan setiap pemilik infrastruktur server dan webmaster untuk melakukan langkah mitigasi berikut:
1. Upgrade ke PHP 8.5 atau Versi Patch Terdukung
Jika server Anda mendukung, langkah paling aman dan ideal adalah melakukan upgrade ke PHP 8.5 (versi patch terbaru seperti PHP 8.5.12). Selain menutup celah keamanan kritis secara total, PHP 8.5 menawarkan peningkatan performa kompilasi JIT (Just-In-Time), efisiensi alokasi memori yang jauh lebih hemat, dan eksekusi request yang jauh lebih cepat dibanding versi PHP lama.
Bagi sistem yang masih berada di cabang rilis sebelumnya, pastikan segera menerapkan minimal versi patch berikut:
- PHP 8.5 Branch: Update ke versi 8.5.12 atau lebih baru.
- PHP 8.4 Branch: Update ke versi 8.4.27 atau lebih baru.
- PHP 8.3 Branch: Update ke versi 8.3.36 atau lebih baru.
- PHP 8.2 Branch: Update ke versi 8.2.35 atau lebih baru.
2. Tinggalkan PHP 8.1 dan Versi Sebelumnya (End of Life)
CISA memberikan instruksi tegas bahwa sistem yang masih menjalankan PHP 8.1, PHP 8.0, atau PHP 7.x berada dalam zona bahaya mutlak karena versi-versi tersebut sudah berstatus End of Life (EOL) dan tidak lagi menerima patch keamanan resmi dari PHP Foundation. Jika server Anda belum dapat di-upgrade hari ini, CISA merekomendasikan untuk mengisolasi sistem atau membatasi akses publik sampai update selesai dilakukan.
Panduan Cara Update Versi PHP di cPanel Hosting
Bagi pengguna shared hosting atau cloud hosting dengan panel cPanel, proses pembaruan versi PHP sangat mudah dan dapat dilakukan dalam hitungan detik tanpa downtime:
- Login ke dashboard cPanel Anda.
- Cari dan buka menu Select PHP Version atau MultiPHP Manager pada kategori Software.
- Pilih domain website Anda, lalu ubah versi PHP saat ini ke PHP 8.5 (atau minimal versi 8.3/8.4 terbaru).
- Klik Apply. Refresh website Anda untuk memastikan tema dan semua plugin berfungsi normal.
Tips Praktis: Selalu lakukan backup website lengkap (file & database) sebelum melakukan pergantian versi PHP untuk memudahkan restore jika ada plugin lama Anda yang belum kompatibel.
Langkah Pengamanan Tambahan (Defense in Depth)
Selain memperbarui runtime PHP, terapkan lapisan pertahanan berlapis untuk meminimalisir risiko:
- Aktifkan Web Application Firewall (WAF): Gunakan Cloudflare atau firewall hosting untuk memfilter payload eksploitasi sebelum mencapai server web Anda.
- Audit Log Server: Periksa log akses web secara berkala terhadap aktivitas mencurigakan, seperti request POST abnormal ke endpoint PHP atau proses background asing yang memakan beban CPU tinggi.
- Blokir Eksekusi PHP di Folder Uploads: Pastikan direktori media WordPress (
/wp-content/uploads/) dinonaktifkan dari kemampuan mengeksekusi file.phplangsung.
Kesimpulan dan Dukungan Mantap Creative
Keamanan siber adalah proses berkelanjutan. Menunda pembaruan PHP sama saja dengan membuka pintu lebar-lebar bagi hacker untuk mengeksploitasi kelemahan yang sudah diketahui publik secara luas. Segera lakukan pengecekan versi PHP pada server hosting Anda hari ini juga.
Seluruh infrastruktur Shared Hosting, Cloud Hosting, dan VPS di Mantap Creative (mantapcreative.com) telah didukung oleh modul server berkecepatan tinggi LiteSpeed dengan ketersediaan opsi PHP versi terbaru yang aman dan terisolasi secara ketat. Tim teknis kami siap membantu Anda melakukan pengecekan kompatibilitas dan upgrade versi PHP dengan aman demi menjaga performa serta keamanan website bisnis Anda.