Pada 21 Oktober 2026, proyek PHP merilis pembaruan keamanan untuk dua celah kritis yang dijuluki PHP2Shell: CVE-2026-109618 dan CVE-2026-109619. Keduanya memungkinkan eksekusi kode jarak jauh (RCE) tanpa login, dan kode proof-of-concept sudah beredar. CISA memasukkan keduanya ke katalog Known Exploited Vulnerabilities (KEV) pada 26 Oktober 2026. Karena PHP menjalankan sebagian besar situs di shared hosting, termasuk WordPress, celah ini relevan bagi hampir semua pemilik situs.
Apa masalahnya?
Menurut penjelasan cPanel yang merangkum advisori PHP, kedua celah berkaitan dengan cara PHP menangani memori dan status internal setiap request:
- CVE-2026-109618: kerusakan memori saat PHP kehabisan memori. Ketika sebuah request melampaui
memory_limit, PHP menghentikannya. Penghentian ini bisa terjadi saat data request, misalnya upload file multipart, baru sebagian diinisialisasi. Proses pembersihan kemudian bisa membebaskan memori yang belum diinisialisasi dan masih berisi data yang dipengaruhi penyerang. - CVE-2026-109619: status global yang basi. Status internal milik satu request bisa bertahan setelah memorinya dibebaskan, misalnya setelah fatal error. Request berikutnya yang ditangani worker yang sama dapat memakai status basi itu sebelum direset.
Keduanya dinilai CVSS v4.0 9.2 (kritis).
Siapa yang terdampak?
Semua instalasi PHP yang melayani request web berpotensi terdampak, termasuk PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Proyek PHP menilai mod_php sebagai konfigurasi paling berisiko. Versi yang sudah end-of-life (PHP 8.1 ke bawah) juga terdampak dan tidak lagi mendapat pembaruan resmi, meski tim keamanan PHP menerbitkan backport sumber minimal untuk 7.4, 8.0, dan 8.1.
Versi yang sudah diperbaiki:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Di cPanel & WHM
cPanel menyatakan ini adalah celah di PHP, bukan di cPanel itu sendiri, tetapi produk yang memakai PHP terdampak selama runtime-nya belum dipatch. Pembaruan yang dirilis:
- EasyApache 4 v25.91 (21 Oktober): ea-php82, ea-php83, ea-php84, dan ea-php85 diperbarui ke 8.2.35, 8.3.36, 8.4.27, dan 8.5.12. ea-php74, ea-php80, dan ea-php81 menerima backport perbaikan. Paket PHP 7.3 ke bawah tidak mendapat perbaikan.
- EasyApache 4 v25.92: memperbarui paket meta untuk PHP 7.4, 8.0, dan 8.1.
- cPanel & WHM 11.138.0.18, 11.136.0.50, 11.134.0.66, dan 11.110.0.153: memperbarui PHP internal yang dipakai cPanel sendiri.
Untuk memeriksa versi setiap PHP EasyApache di server, administrator bisa menjalankan perulangan sederhana:
for p in /opt/cpanel/ea-php*/root/usr/bin/php; do $p -v | head -1; done
Di Plesk
Plesk menyatakan semua versi PHP yang dikirim bersama Plesk terdampak. Versi yang sudah diperbaiki di Plesk Obsidian untuk Linux adalah PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. Untuk versi EOL (7.4.33, 8.0.30, 8.1.34), nomor versinya sama, tetapi build tertanggal 21 Oktober 2026 sudah berisi perbaikan, jadi periksa tanggal build-nya, bukan hanya nomor versi. Rekomendasi Plesk: perbarui Plesk ke versi terbaru melalui Tools & Settings → Updates.
Langkah mitigasi
- Perbarui PHP ke versi yang sudah diperbaiki, lewat paket panel kontrol atau distribusi Anda.
- Restart PHP-FPM, Apache, dan semua worker PHP setelah pembaruan, agar proses lama tidak terus berjalan dengan kode rentan.
- Periksa setiap versi PHP yang mungkin dipakai domain, bukan hanya versi default. Di server multi-PHP, situs lama sering tertinggal di versi lain.
- Tinggalkan PHP 7.3 ke bawah dan rencanakan migrasi dari versi EOL lainnya.
- Periksa repositori pihak ketiga: repositori komunitas mungkin belum menyediakan paket yang dipatch pada hari rilis.
- Jika belum bisa memperbarui, CISA menyarankan mengambil sistem PHP yang terekspos internet offline sampai dipatch. WAF dapat memberi perlindungan sementara, tetapi bukan pengganti patch.
- Pantau aktivitas mencurigakan, seperti proses worker PHP yang menjalankan shell atau mengunduh alat.
Apa artinya bagi pemilik situs?
Jika Anda memakai shared hosting, tambalan ini menjadi tanggung jawab penyedia. Namun, Anda tetap bisa memeriksa versi PHP yang dipakai situs di menu MultiPHP Manager (cPanel) atau PHP Settings (Plesk), dan memastikan situs tidak lagi berjalan di versi EOL. Jika versi yang terlihat masih di bawah versi perbaikan, hubungi penyedia hosting Anda.
Server hosting Kudo memakai paket EasyApache dan PHP bawaan Plesk yang diperbarui otomatis. Ada pertanyaan? Hubungi support@kudo.biz.id.