Pada 21 Oktober 2026, tim PHP merilis pembaruan darurat untuk dua celah keamanan yang dikenal dengan nama PHP2Shell. Lewat celah ini, penyerang bisa menjalankan kode di server tanpa login, cukup dengan mengirim permintaan ke halaman PHP, dan celah ini sudah dipakai untuk menyerang. Situs WordPress yang plugin dan temanya sudah diperbarui tetap terdampak selama PHP di servernya belum ditambal.
Di Shared Hosting Palapahost, PHP 8.2 sampai 8.5 sudah memakai versi tambalan untuk kedua celah ini (dicek 27 Oktober 2026), jadi situs yang memakai versi itu tidak perlu diubah apa pun. Imunify360 di setiap paket ikut menyaring serangan sebagai lapisan tambahan. Di bawah ini penjelasan PHP2Shell, cara memeriksa situs Anda di hosting mana pun, dan langkah yang perlu diambil kalau server Anda kelola sendiri.
Shared Hosting mulai Rp15.000 per bulan
Pembaruan server kami tangani. Imunify360, backup harian, dan SSL sudah termasuk. Situs dari hosting lain kami pindahkan tanpa biaya.
PHP adalah bahasa pemrograman di balik WordPress, WooCommerce, Joomla, Laravel, dan banyak aplikasi web lain. Setiap kali pengunjung membuka halaman situs seperti ini, PHP di server membaca permintaannya, lalu menjalankan kode situs.
PHP2Shell adalah sebutan untuk dua celah di PHP itu sendiri, yaitu CVE-2026-109618 dan CVE-2026-109619. Keduanya mendapat skor 9,2 dari 10 (CVSS 4.0) dan masuk kategori kritis. Kalau berhasil dimanfaatkan, penyerang bisa menjalankan kode buatannya di server, misalnya untuk membaca dan mengubah berkas situs atau menanam program jahat. Kata shell pada namanya merujuk ke akses perintah semacam itu.
Kesalahannya ada di cara PHP membaca permintaan, yang terjadi sebelum kode situs Anda berjalan. Menurut Imunify360, penyerang tidak butuh plugin tertentu, akun login, atau aplikasi tertentu, karena skrip PHP apa pun bisa menjadi pintu masuk. Itu sebabnya PHP2Shell adalah masalah server, bukan masalah situs.
PHP punya fitur untuk mencatat kemajuan unggahan berkas. Saat formulir mengirim kolom bernama PHP_SESSION_UPLOAD_PROGRESS, PHP mencatat kemajuan unggahan di sesi pengunjung sambil masih membaca permintaan. Pada CVE-2026-109618, PHP yang kehabisan memori saat memproses permintaan bisa meninggalkan data setengah jadi, lalu tetap memperlakukannya sebagai data yang sah. Pada CVE-2026-109619, sisa data dari satu permintaan bisa bertahan dan terpakai oleh permintaan berikutnya yang dilayani proses PHP yang sama. Alat serangan PHP2Shell yang beredar memakai fitur unggahan tadi sebagai jalan masuk.
Semua PHP yang melayani situs web terdampak, kecuali yang sudah memakai versi tambalan. Menurut pengumuman tim PHP, versi tambalannya:
Menurut tim PHP, serangan sudah terbukti berhasil di server Apache dengan mod_php, dan di PHP-FPM pada aplikasi tertentu. Di LiteSpeed, serangan belum dibuktikan, tetapi tetap dianggap mungkin terjadi. Rinciannya ada di advisory CVE-2026-109618 dan CVE-2026-109619.
Kode CVE kedua celah ini bocor pada 20 Oktober, sehingga tim PHP memajukan rilis tambalannya sehari. Menurut Imunify360, alat serangan bernama PHP2Shell sudah beredar sebelum tambalan dirilis. Permintaan pertama dari alat itu masuk ke server di jaringan Imunify360 pada 20 Oktober pukul 23.33 UTC, atau 21 Oktober pukul 06.33 WIB. Kurang dari 12 jam kemudian, permintaan dari alat yang sama sudah menjangkau lebih dari 3.600 server. Angka itu menghitung percobaan serangan yang sampai ke server dan tidak menunjukkan berapa yang berhasil.
Pada 26 Oktober, CISA, badan keamanan siber Amerika Serikat, memasukkan kedua celah ini ke katalog celah yang terbukti sudah dieksploitasi, dan meminta instansi pemerintah federal AS menambalnya paling lambat 29 Oktober.
Firewall aplikasi web, atau WAF, memeriksa permintaan yang masuk dan memblokir pola serangan yang sudah dikenal. Untuk PHP2Shell, Imunify360 sudah menambahkan aturan WAF yang memblokir alat serangan yang beredar.
Aturan seperti ini menahan serangan selama server menunggu tambalan. Tim PHP menulis bahwa tidak ada mitigasi yang lengkap, dan memperbarui PHP adalah satu-satunya pilihan yang aman. Imunify360 menyebut hal yang sama. Per 23 Oktober, aturannya menahan permintaan serangan yang dikenal, tetapi belum memblokir jalur memori penuh (out-of-memory) pada CVE-2026-109618, dan varian yang dibuat menyerupai unggahan biasa masih bisa lolos.
Perbarui paket PHP lewat pembaruan sistem biasa, lalu mulai ulang PHP-FPM, Apache, atau LiteSpeed. Di server CloudLinux, PHP tersedia dalam beberapa keluarga paket terpisah (alt-php, ea-php, dan PHP sistem), dan masing-masing perlu diperbarui. Setelah itu, cek setiap versi PHP yang Anda pakai. Pada paket backport, pastikan kode kedua CVE tercantum di catatan perubahan paketnya (rpm -q --changelog).
Tim PHP juga menyarankan mematikan pengaturan session.upload_progress.enabled di php.ini sampai rilis perbaikan berikutnya, termasuk sesudah PHP diperbarui, lalu memulai ulang PHP. Saran ini menutup celah ketiga yang peluangnya kecil (CVE-2026-115560). Ubah di php.ini utama, karena pengaturan lewat ini_set() atau .user.ini tidak cukup. Sebelum PHP diperbarui, langkah ini hanya menutup satu jalur serangan, jadi pembaruan tetap wajib.
Di Shared Hosting cPanel Palapahost, server dan PHP-nya kami yang kelola. Per 27 Oktober 2026, PHP 8.2 sampai 8.5 di server kami sudah memakai versi tambalan untuk CVE-2026-109618 dan CVE-2026-109619. Situs yang memakai versi itu tidak perlu diubah apa pun.
Kalau menu Select PHP Version di cPanel Anda menunjukkan native (8.1), atau versi 8.1 ke bawah, pindahkan situs ke PHP 8.3 atau yang lebih baru. Sebelum pindah, buat cadangan situs dan pastikan tema serta plugin Anda mendukung versi barunya.
Perlindungan lain yang ikut di setiap paket:
Pindah dari hosting lain? Kami pindahkan file, database, dan email Anda tanpa biaya. Lihat langkahnya di halaman migrasi hosting.
Shared Hosting mulai Rp15.000 per bulan
Paket Sprout Rp150.000 per tahun, setara Rp12.500 per bulan. Imunify360, backup harian, dan SSL sudah termasuk.
Yang menentukan adalah PHP di server, apa pun aplikasinya. WordPress versi terbaru, Laravel, CodeIgniter, atau skrip PHP buatan sendiri tetap terdampak kalau PHP di servernya belum ditambal.
Tidak. Celahnya ada di PHP, yang bekerja sebelum WordPress, plugin, dan tema dijalankan. Pembaruan plugin tetap perlu untuk menutup celah lain, tetapi tidak menutup PHP2Shell.
Buka menu Select PHP Version atau MultiPHP Manager di cPanel, tergantung hosting Anda, lalu pilih versi yang lebih baru. Menu ini mengganti versi utama, misalnya dari 8.0 ke 8.3. Tambalan di dalam versi itu tetap dipasang oleh penyedia hosting. Sebelum mengganti versi, buat cadangan situs dan pastikan tema serta plugin Anda mendukung versi barunya.
Tim PHP tidak merilis versi baru untuk PHP 8.1 ke bawah, hanya tambalan kode sumber bagi yang memasang PHP sendiri. Tanyakan ke penyedia hosting apakah mereka sudah memasang tambalan untuk versi Anda, atau naikkan situs ke PHP 8.3 atau yang lebih baru.
Kalau situs Anda memakai PHP 8.2 sampai 8.5, tidak ada. Per 27 Oktober 2026, versi itu di server kami sudah memakai versi tambalan. Kalau menu Select PHP Version menunjukkan native (8.1), atau versi 8.1 ke bawah, pindahkan situs ke PHP 8.3 atau yang lebih baru, karena versi lama sudah tidak mendapat pembaruan dari tim PHP. Hubungi kami, dan kami bantu memeriksa versi yang cocok untuk situs Anda.
Waspadai berkas PHP asing di folder situs, akun admin yang tidak Anda buat, atau situs yang tiba-tiba mengalihkan pengunjung ke alamat lain. Hubungi penyedia hosting untuk pemindaian malware, lalu pulihkan situs dari cadangan yang dibuat sebelum serangan. Pelanggan Palapahost bisa memulihkan cadangan harian langsung dari cPanel.
PHP2Shell tidak bisa ditutup dari dalam situs. Penutupnya ada di server, jadi pastikan penyedia hosting Anda sudah memperbarui PHP. Di Shared Hosting Palapahost, PHP 8.2 sampai 8.5 sudah memakai versi tambalan.
Ada pertanyaan? Hubungi kami lewat halaman Kontak, Senin–Jumat pukul 09.00–17.00 WIB.
Sertifikat SSL di Palapahost mulai Rp102.000 per tahun, sudah termasuk penerbitan dan bantuan pemasangan. Sejak Chrome 154 (22 September 2026), Chrome meminta konfirmasi pengunjung sebelum membuka situs tanpa HTTPS. Kenali beda HTTP dan HTTPS, masa berlaku SSL yang kini paling lama 200 hari, dan cara memilih SSL yang pas.
Baca →Domain dan hosting cPanel dalam satu paket, total Rp28.000 untuk domain tahun pertama dan hosting bulan pertama. Hostingnya sudah dilengkapi WAF, proteksi malware, perlindungan DDoS, SSL otomatis, dan backup harian.
Baca →Pendaftaran baru domain .ai.id di Palapahost Rp100.000 per tahun. Sejak 5 Oktober 2026, domain AI Indonesia ini terbuka untuk umum dengan aturan siapa cepat dia dapat, jadi cek nama incaran Anda lebih awal.
Baca →