Ada Celah Kritis di PHP, Website Laravel, CodeIgniter, dan WordPress Juga Perlu Dicek

Tanggal 21 Oktober 2026, tim PHP merilis pembaruan keamanan darurat untuk dua celah kritis, CVE-2026-109618 dan CVE-2026-109619, yang oleh penemunya dinamai PHP2Shell. Keduanya mendapat skor 9,2 dari 10 (CVSS v4.0) dan bisa dipakai penyerang untuk menjalankan kode di server tanpa perlu login.

Begitu mendengar kabar ini, banyak tim langsung berpikir, "Kita kan pakai Laravel, bukan PHP polos." Atau, "WordPress kita sudah update kemarin." Masalahnya, celah ini ada di PHP itu sendiri, bukan di framework atau CMS-nya.

Kenapa framework-nya nggak menolong

Laravel, CodeIgniter, dan WordPress semuanya ditulis dengan PHP dan dijalankan oleh PHP di server. Kalau diibaratkan rumah, framework itu bangunannya dan PHP fondasinya. Bangunan yang baru direnovasi tetap ikut goyah kalau fondasinya retak.

Menurut tim PHP, yang berisiko adalah semua instalasi PHP yang melayani request web, termasuk PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Risiko paling tinggi ada di mod_php, karena serangannya terbukti bisa jalan sebelum kode aplikasi sempat dijalankan.

Wiz, salah satu tim yang menemukan celah ini, menyebut aplikasi "Hello World" yang paling sederhana pun bisa rentan kalau versi PHP-nya terdampak. Mereka juga mendemonstrasikan serangannya ke WordPress, Drupal, dan Joomla versi terbaru saat pengujian.

Seberapa serius

• Nggak perlu login. Penyerang cukup mengirim request ke website.
• Umurnya panjang. Menurut Wiz, celahnya sudah ada lebih dari sepuluh tahun, dan setiap versi PHP sejak 5.4 terkena setidaknya salah satunya.
• Sudah ada percobaan serangan. Per 22 Oktober, Rapid7 belum melihat eksploitasi yang berhasil di lapangan, tapi mencatat beberapa laporan percobaan serangan dan beberapa kode contoh serangan (proof of concept) yang sudah beredar publik, meski masing-masing baru jalan di kombinasi sistem tertentu. Amazon, seperti dilaporkan Help Net Security, mencatat satu percobaan serangan di server jebakannya pada 17 Oktober, empat hari sebelum celahnya diumumkan.
• AI ikut mempercepat. Para peneliti Wiz menulis bahwa model AI terbaru banyak menurunkan hambatan untuk mengubah celah lama ini jadi serangan yang berfungsi. Buatku, ini tanda jarak antara pengumuman celah dan serangan sungguhan bakal makin pendek.

Yang perlu dicek, sesuai framework yang kamu pakai

Versi yang sudah ditambal adalah PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. PHP 8.1 ke bawah sudah nggak dapat update resmi dari tim PHP.

Kalau website-mu di shared hosting, yang memasang patch PHP biasanya penyedia hosting. Kamu mungkin bisa memilih versi PHP di panel, tapi tetap tanyakan ke hosting apakah patch untuk dua CVE ini sudah terpasang.

Masih banyak website di PHP lama

Menurut W3Techs, PHP dipakai 69,3% website yang bahasa server-nya diketahui. Dari website PHP itu, lebih dari sepertiganya masih di PHP 7 atau lebih lama, versi yang sudah nggak dapat update resmi.

Untuk tim teknis

1. Update PHP ke 8.5.12, 8.4.27, 8.3.36, atau 8.2.35. Distro Linux dan vendor LTS sudah menerima patch-nya lebih dulu, jadi kalau PHP-nya dari paket distro seperti Ubuntu atau Debian, cek catatan keamanan distro-nya. Nomor versinya bisa berbeda walau patch-nya sudah masuk.
2. Restart semua worker PHP-FPM atau Apache setelah update, supaya versi baru benar-benar dipakai.
3. Cek versi yang benar-benar melayani website. php -v di terminal belum tentu sama dengan PHP yang dipakai web server, apalagi di server yang punya beberapa versi PHP. Di WordPress, versinya bisa dilihat di Tools, Site Health, tab Info, bagian Server.
4. Kalau pakai Docker, build ulang image dari base image yang sudah ter-update, lalu deploy ulang. Update di server host nggak otomatis masuk ke dalam container.
5. Kalau belum bisa update hari ini, tim PHP memberi mitigasi sementara, seperti mematikan session.upload_progress.enabled dan membatasi ukuran request. Tim PHP menegaskan mitigasi ini cuma mengurangi risiko, bukan solusi.
6. Periksa log untuk tanda yang disebut Wiz, misalnya request multipart yang aneh diikuti error memory limit, error 500 berulang, atau cookie PHPSESSID yang ukurannya nggak wajar. Tapi seperti kata Rapid7, log yang bersih belum membuktikan server aman.

Kalau website-mu ada di belakang Cloudflare, menurut Help Net Security, CTO Cloudflare menyebut sudah ada aturan WAF (firewall aplikasi web) awal untuk pola serangan yang diketahui, tersedia untuk semua pelanggan termasuk paket gratis. Ini membantu, tapi tetap bukan pengganti update.

Untuk owner, yang perlu ditanyakan ke tim

Kamu nggak perlu paham detail teknisnya. Yang perlu dipastikan, ada orang yang bertanggung jawab dan jawabannya jelas. Pesan ini bisa langsung dikirim ke tim IT, developer, atau vendor:

Halo tim, ada celah keamanan kritis di PHP (PHP2Shell, CVE-2026-109618 dan CVE-2026-109619) yang ditambal 21 Oktober 2026. Celahnya di PHP, jadi berlaku juga untuk Laravel, CodeIgniter, dan WordPress. Tolong dicek dan kabari hari ini:

1. Website dan aplikasi kita yang pakai PHP apa saja, termasuk panel admin, sistem internal, dan website lama yang jarang dibuka?
2. Masing-masing jalan di PHP versi berapa, dan di server atau hosting mana?
3. Sudah di-update ke versi yang ada patch-nya (8.5.12, 8.4.27, 8.3.36, 8.2.35, atau paket distro yang sudah memuat patch)? Kalau belum, kapan?
4. Yang masih PHP 8.1 ke bawah, rencananya apa?
5. Kalau belum bisa update hari ini, mitigasi sementara apa yang dipasang?
6. Ada tanda-tanda aneh di log server beberapa hari terakhir?

Tiga jawaban yang patut diwaspadai:

• "Aman kok, Laravel atau WordPress kita sudah versi terbaru." Celahnya di PHP, bukan di framework-nya.
• "Nanti dicek." Tim PHP meminta semua pengguna update segera, dan percobaan serangannya sudah ada.
• "Itu urusan hosting." Bisa jadi benar, terutama di shared hosting. Tapi pastikan ada yang benar-benar bertanya ke hosting dan dapat konfirmasi tertulis.

Kalau website atau aplikasimu dibuat vendor dan kontraknya sudah selesai, celah seperti ini bisa jadi titik buta. Developer merasa tugasnya sudah beres, owner mengira vendor yang menjaga. Soal ini, termasuk pentingnya kontrak maintenance, aku bahas di Owner Nggak Perlu Ngerti Coding, Tapi Wajib Tahu Ini Sebelum Bayar Developer.

Penutup

PHP2Shell ada di fondasi, jadi framework apa pun yang dipakai, jawabannya sama, yaitu update PHP-nya. Sebagai owner, cukup pastikan tiga hal hari ini: siapa yang pegang server, PHP versi berapa yang dipakai, dan kapan update-nya selesai.

Kalau kamu nggak yakin website atau aplikasi perusahaanmu jalan di PHP versi berapa dan siapa yang mengurusnya, cerita aja dulu kondisinya.