Apakah ada situs WordPress yang telah diretas melalui PHP2Shell?
Hingga 28 Oktober 2026, belum adanya laporan situs WordPress yang terdampak melalui PHP2Shell (CVE-2026-109618 atau CVE-2026-109619). Meskipun belum ada kasus WordPress yang terkonfirmasi, laporan baru terus bermunculan. Tetap perbarui PHP Anda dengan segera.
Mengapa eksploitasi yang andal cukup sulit dilakukan?
Pengujian menunjukkan bahwa ASLR (Address Space Layout Randomization) adalah salah satu faktornya. ASLR mengubah lokasi data dalam memori sehingga menyulitkan penyerang untuk memprediksi target. Selain itu, build PHP, ekstensi yang diaktifkan, batas memori (memory limit), dan cara server menangani permintaan juga memengaruhi keberhasilan eksploitasi.
Apa itu PHP2Shell?
PHP2Shell adalah julukan untuk dua kerentanan kritis pada PHP (CVE-2026-109618 dan CVE-2026-109619), dengan skor keparahan 9.2 dari 10 (CVSS v4.0). Keduanya dapat memungkinkan eksekusi kode jarak jauh (remote code execution) tanpa otentikasi. Ini adalah celah pada bahasa PHP itu sendiri, bukan pada WordPress, plugin, atau theme.
Apakah situs saya terdampak?
Situs Anda kemungkinan terdampak jika versi PHP yang digunakan lebih lama dari 8.5.12, 8.4.27, 8.3.36, atau 8.2.35, dan penyedia hosting Anda belum mengonfirmasi adanya perbaikan. Semua instalasi PHP yang melayani permintaan web berisiko (termasuk PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed). Situs WordPress yang diperbarui sepenuhnya tetap bisa rentan jika PHP-nya belum diperbarui.
Apa yang harus saya lakukan sekarang?
Pastikan PHP yang menjalankan situs Anda diperbarui ke versi yang aman, lalu pastikan layanan PHP telah di-restart:
- Managed/Shared Hosting: Hubungi penyedia hosting Anda dan tanyakan: “Apakah layanan PHP yang menjalankan situs saya sudah ditambal untuk CVE-2026-109618 dan CVE-2026-109619, dan apakah PHP sudah di-restart?”
- VPS/Server Sendiri: Buat cadangan (backup), instal paket PHP terbaru, lalu restart web server/PHP-FPM Anda.
- Konteiner (Docker/Container): Rebuild dan redeploy dari image terbaru.
Bagaimana cara mengecek versi PHP yang digunakan situs saya?
Di dasbor WordPress Anda, buka Peralatan (Tools) > Kesehatan Situs (Site Health), buka tab Informasi (Info), dan perluas bagian Server. Ini menunjukkan versi PHP yang aktif digunakan oleh situs web Anda.
Apakah saya perlu memperbarui WordPress?
Pembaruan WordPress tidak diperlukan untuk PHP2Shell, dan memperbarui WordPress saja tidak akan memperbaikinya karena perbaikannya ada pada tingkat PHP di server.
Saya menggunakan PHP 8.1 atau yang lebih lama. Apa yang harus dilakukan?
Proyek PHP tidak lagi merilis pembaruan untuk PHP 8.1 ke bawah. Anda memerlukan perbaikan dari vendor sistem operasi Anda atau segera melakukan peningkatan (upgrade) versi PHP. PHP 8.2 akan mencapai akhir masa dukung (end of life) pada 31 Desember 2026, sehingga memilih PHP 8.3 atau yang lebih baru adalah langkah terbaik.
Bagaimana dengan kerentanan PHP baru, CVE-2026-115560?
CVE-2026-115560 adalah kerentanan terpisah (diungkapkan 23 Oktober) yang belum memiliki penambal (patch), tetapi hanya berlaku pada konfigurasi khusus. Solusi sementara dari proyek PHP adalah mengatur session.upload_progress.enabled = 0 pada berkas php.ini atau konfigurasi PHP-FPM, lalu melakukan restart pada PHP.
