---
title: "PHP2shell, Celah PHP yang Bikin Pemilik Hosting Waspada"
description: "PHP2shell (CVE-2026-109618 dan CVE-2026-109619) memungkinkan RCE tanpa login dan sudah dieksploitasi. Ini cara cek versi PHP dan menambalnya."
url: "https://nivelva.com/insight/php2shell-celah-php-hosting"
category: "Keamanan/Cyber Security"
tags: ["php","php2shell","cve-2026-109618","cve-2026-109619","hosting"]
author: "Lucas Tan"
published: "2026-11-11T20:25:00+07:00"
updated: "2026-11-11T20:25:00+07:00"
language: "id"
publisher: "Nivelva (https://nivelva.com)"
---

# PHP2shell, Celah PHP yang Bikin Pemilik Hosting Waspada

> **Jawaban singkat:** PHP2shell adalah sebutan untuk dua celah kritis PHP, CVE-2026-109618 dan CVE-2026-109619, yang bisa berujung eksekusi kode tanpa login dan sudah masuk katalog KEV CISA. Perbaikannya ada di PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 yang rilis 21 Oktober 2026.

Sudah yakin website PHP-mu berjalan di versi yang aman? Kalau belum pernah mengecek sejak akhir Oktober 2026, sekaranglah waktunya. Dua celah kritis di inti PHP, yang ramai disebut **PHP2shell**, bisa membuat penyerang menjalankan kode di server tanpa login, dan per 11 November 2026 celah ini sudah tercatat dieksploitasi.

Jawaban singkatnya: perbarui ke PHP 8.5.12, 8.4.27, 8.3.36, atau 8.2.35 (atau paket distro yang sudah memuat tambalannya), lalu mulai ulang semua proses PHP.

## Apa itu PHP2shell?

PHP2shell adalah nama yang dipakai media dan peneliti keamanan untuk dua celah ini. Nama resminya di pengumuman php.net adalah nomor CVE:

- **CVE-2026-109618**, eksekusi kode lewat kerusakan saat PHP kehabisan memori. Penanganan *out of memory* bisa menghentikan PHP ketika data permintaan baru setengah disiapkan, lalu proses pembersihan memperlakukan data yang rusak itu seolah valid.
- **CVE-2026-109619**, eksekusi kode lewat status global yang basi. Data internal milik sebuah permintaan bisa tertinggal setelah memorinya dilepas, lalu dipakai oleh permintaan berikutnya yang ditangani worker yang sama.

Keduanya dinilai CVSS v4.0 9.2. Tim keamanan PHP mengumumkan rilis darurat sehari sebelumnya, 20 Oktober 2026, lalu merilis tambalan pada 21 Oktober 2026.

## Siapa yang terdampak?

Menurut advisori resmi php.net, yang berisiko adalah semua instalasi PHP yang melayani permintaan web: PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Tim PHP menilai risiko paling tinggi ada di **mod_php**, karena sudah ada eksploit yang terbukti bisa memicu serangan dari satu permintaan tanpa login, sebelum kode aplikasi sempat berjalan.

Artinya, ini bukan masalah WordPress, Laravel, atau plugin tertentu. Celahnya di PHP itu sendiri, jadi aplikasi apa pun yang berjalan di atas versi rentan ikut terpapar.

## Apakah sudah dieksploitasi?

Ya. CISA menambahkan CVE-2026-109618 dan CVE-2026-109619 ke katalog Known Exploited Vulnerabilities pada 26 Oktober 2026. BleepingComputer pada hari yang sama melaporkan temuan peneliti yang menangkap eksploitasi berhasil di honeypot, dengan sasaran instalasi Apache mod_php yang menjalankan PHP 8.4.26. Laporan yang sama menyebut Amazon Threat Intelligence melihat upaya penyerangan bahkan sebelum tambalan terbit.

Bila server tidak diperbarui sejak akhir Oktober, anggap ada kemungkinan sudah dicoba diserang.

## Cara mengecek dan menambal PHP

### 1. Cek versi PHP yang benar-benar dipakai website

Versi di terminal belum tentu sama dengan versi yang melayani website. Di server cPanel, misalnya, tiap domain bisa memakai versi berbeda. Cek dua-duanya.

Versi CLI:

```
php -v
```

Di server cPanel dengan EasyApache, tiap versi punya biner sendiri, misalnya:

```
/opt/cpanel/ea-php84/root/usr/bin/php -v
```

Untuk versi yang dipakai website, buka MultiPHP Manager di cPanel/WHM, atau buat file sementara berisi `<?php echo PHP_VERSION;` di folder website, buka di browser, lalu **hapus file itu** setelah selesai.

### 2. Bandingkan dengan versi yang sudah ditambal

| Cabang PHP | Versi aman minimal | Status cabang |
|:--|:--|:--|
| 8.5 | 8.5.12 | Didukung aktif |
| 8.4 | 8.4.27 | Didukung aktif |
| 8.3 | 8.3.36 | Hanya perbaikan keamanan |
| 8.2 | 8.2.35 | Perbaikan keamanan sampai 31 Desember 2026 |
| 8.1 ke bawah | Tidak ada rilis resmi | Sudah tidak didukung |

Pengecualian penting: paket dari distribusi Linux (Debian, Ubuntu, RHEL, AlmaLinux) sering memakai nomor versi lama walaupun tambalannya sudah dimasukkan (*backport*). Tim PHP menyebut distribusi dan vendor LTS sudah menerima tambalan lebih awal. Jadi untuk paket distro, cek catatan perubahan paketnya, bukan hanya nomor versi:

```
apt changelog php8.3-common | grep -E 'CVE-2026-10961[89]'
rpm -q --changelog php-common | grep -E 'CVE-2026-10961[89]'
```

Sesuaikan nama paket dengan versi PHP yang terpasang. Bila tidak ada hasil, tanyakan ke vendor atau cek halaman keamanan distribusinya.

### 3. Perbarui paket PHP

Pakai jalur pembaruan resmi sesuai cara PHP dipasang: `apt upgrade` atau `dnf upgrade` untuk paket distro, pembaruan EasyApache di WHM untuk server cPanel, atau unduh dari php.net bila dikompilasi sendiri. Di hosting bersama, kamu tidak bisa memperbarui sendiri; tanyakan ke penyedia hosting apakah tambalan PHP2shell sudah terpasang untuk semua versi PHP yang tersedia.

### 4. Mulai ulang semua worker PHP

Ini langkah yang paling sering terlewat. File PHP baru tidak berlaku sampai proses lama berhenti. Mulai ulang PHP-FPM (misalnya `systemctl restart php8.3-fpm` di Debian/Ubuntu atau `systemctl restart php-fpm` di RHEL/AlmaLinux) dan Apache bila memakai mod_php. Di server cPanel, pembaruan EasyApache biasanya sudah memulai ulang layanan, tetapi tetap cek ulang versinya.

### 5. Untuk PHP 8.1 ke bawah

PHP 8.1 dan versi lebih lama tidak lagi mendapat pembaruan resmi. Karena celah ini sangat serius, tim keamanan PHP memberikan *backport* sumber minimal untuk PHP 7.4, 8.0, dan 8.1, ditujukan bagi yang mengompilasi sendiri. Itu pertolongan darurat, bukan alasan bertahan. Rencanakan pindah versi, dengan panduan di [cara mengganti versi PHP di hosting dengan aman](https://nivelva.com/insight/cara-mengganti-versi-php-hosting-aman). Pemakai PHP 8.2 juga perlu bersiap, karena cabang itu [berhenti dapat patch akhir 2026](https://nivelva.com/insight/php-8-2-berhenti-dapat-patch-akhir-2026).

## Kalau belum bisa memperbarui hari ini

Advisori php.net memberi langkah pengurang risiko, dengan catatan tegas bahwa hanya pembaruan yang benar-benar menyelesaikan masalah. Ringkasnya:

- Untuk CVE-2026-109619, set `session.upload_progress.enabled=0` di php.ini atau konfigurasi pool FPM (bukan lewat `ini_set()` atau `.user.ini`), lalu mulai ulang semua worker. Langkah ini hanya menutup jalur sesi yang sudah dikonfirmasi.
- Di PHP 8.5, set `fatal_error_backtraces=0` lalu mulai ulang worker.
- Untuk CVE-2026-109618, advisori menyarankan beberapa pengaturan batas memori dan ukuran permintaan. Baca langsung advisori resminya sebelum menerapkan, karena ada pengaturan yang justru tidak boleh dipakai.

Pada 23 Oktober 2026, php.net juga menerbitkan advisori informasi untuk CVE-2026-115560 dan menyarankan `session.upload_progress.enabled=0` tetap dipasang sampai rilis perbaikan rutin berikutnya. Kondisinya jarang terjadi, tetapi pengaturan ini murah dan aman untuk kebanyakan situs.

## Setelah menambal, periksa jejak serangan

Server yang sempat rentan dan terbuka ke internet perlu dicek: file PHP asing di folder upload, akun admin baru, cron job yang tidak dikenal, dan proses mencurigakan. Panduan langkahnya ada di [cara menemukan dan menghapus backdoor PHP di hosting](https://nivelva.com/insight/backdoor-php-hosting-cara-menemukan-menghapusnya). Bila ragu, pulihkan dari backup bersih yang dibuat sebelum akhir Oktober 2026.

## Pertanyaan yang sering diajukan

### Kenapa nama PHP2shell tidak ada di php.net?

php.net memakai nomor CVE dan judul advisori. Nama PHP2shell dipakai media dan peneliti keamanan untuk menyebut pasangan CVE-2026-109618 dan CVE-2026-109619.

### Website saya di hosting bersama. Apa yang perlu saya lakukan?

Cek versi PHP di cPanel, lalu tanyakan ke penyedia hosting apakah semua versi PHP yang tersedia sudah ditambal. Bila masih memakai PHP 8.1 atau lebih lama, pindah ke versi yang didukung.

### Apakah cukup mengubah session.upload_progress.enabled saja?

Tidak. Pengaturan itu hanya menutup satu jalur serangan CVE-2026-109619 dan tidak berpengaruh pada CVE-2026-109618. Solusi lengkapnya tetap memperbarui PHP.

### Saya pakai PHP-FPM, bukan mod_php. Apakah aman?

Tidak otomatis aman. Advisori resmi menyebut PHP-FPM ikut berisiko. mod_php hanya dinilai paling tinggi risikonya karena eksploitnya sudah terbukti di sana.

### Bagaimana memastikan pembaruan sudah aktif?

Mulai ulang PHP-FPM atau Apache, lalu cek ulang versi lewat MultiPHP Manager atau file PHP_VERSION sementara. Untuk paket distro, pastikan changelog paket menyebut kedua nomor CVE.

Checklist singkat:

- Versi PHP web dan CLI sudah dicek
- Versi minimal 8.5.12, 8.4.27, 8.3.36, atau 8.2.35, atau paket distro yang memuat tambalan
- Semua worker PHP-FPM dan Apache sudah dimulai ulang
- `session.upload_progress.enabled=0` dipasang sementara bila memungkinkan
- Server diperiksa dari jejak backdoor

## Sumber

- <https://www.php.net/archive/2026.php#2026-10-21-5>
- <https://www.php.net/archive/2026.php#2026-10-23-1>
- <https://www.cisa.gov/known-exploited-vulnerabilities-catalog>
- <https://nvd.nist.gov/vuln/detail/CVE-2026-109618>
- <https://nvd.nist.gov/vuln/detail/CVE-2026-109619>
- <https://www.bleepingcomputer.com/news/security/php2shell-security-flaws-now-sucessfully-exploited-in-the-wild>
- <https://www.darkreading.com/application-security/php2shell-bugs-red-alert-security-industry>

---

Diterbitkan oleh Nivelva Insight (https://nivelva.com/insight/). Artikel ini: https://nivelva.com/insight/php2shell-celah-php-hosting
Kontak Nivelva: WhatsApp https://wa.me/6285111245007, email hello@nivelva.com