Waspada Bug PHP PHP2Shell: Bahaya, Versi Aman, dan Cara Update di Server Anda

Keamanan website kembali menjadi sorotan utama bagi para pemilik situs dan pengelola server. Baru-baru ini, komunitas developer global digemparkan oleh temuan bug PHP PHP2Shell yang sangat berbahaya. Celah keamanan kritis ini mengancam jutaan situs berbasis PHP di seluruh dunia, termasuk website WordPress, toko online, hingga portal instansi di Indonesia.

Sebagai penyedia layanan hosting dan server, Dewabiz berkomitmen untuk selalu menjaga keamanan infrastruktur digital Anda. Oleh karena itu, artikel ini akan membahas tuntas mengenai apa itu bug PHP PHP2Shell, daftar versi PHP yang terdampak, serta panduan lengkap cara memperbaruinya di layanan Shared Hosting maupun VPS Unmanaged.

Apa Itu Bug PHP PHP2Shell dan Mengapa Berbahaya?

Bug PHP PHP2Shell adalah julukan untuk dua celah keamanan tingkat kritis pada sistem pemrograman PHP, yang tercatat secara resmi sebagai CVE-2026-109618 dan CVE-2026-109619. Berdasarkan penilaian skala CVSS v4.0, kedua celah ini mendapatkan skor bahaya yang sangat tinggi, yaitu 9,2 dari 10.

Celah ini termasuk dalam kategori Remote Code Execution (RCE). Artinya, peretas dapat menjalankan kode atau perintah berbahaya dari jarak jauh langsung ke dalam server tanpa perlu melakukan login terlebih dahulu. Menindaklanjuti temuan tersebut, tim pengembang PHP telah merilis pembaruan keamanan darurat (emergency release) pada 21 Oktober 2026.

Apabila server Anda belum diperbarui, celah keamanan ini berisiko menimbulkan dampak fatal, antara lain:

• Penyusupan halaman judi online (deface): Situs web sekolah, pemerintah, atau bisnis tiba-tiba disusupi halaman iklan slot tanpa sepengetahuan pemiliknya.
• Pencurian database: Data sensitif pelanggan, alamat email, dan kata sandi dapat diambil alih oleh peretas.
• Pemasangan backdoor (Web Shell): Penyerang dapat menanam akses pintu belakang agar bisa mengendalikan server kapan saja.
• Penyalahgunaan resource server: Server digunakan secara ilegal untuk mengirim spam atau menambang kripto (crypto mining), sehingga kinerja hosting melambat dan alamat IP masuk ke daftar hitam (blacklist).

Daftar Versi PHP yang Terdampak dan Versi Perbaikannya

Menurut laporan keamanan siber, kerentanan ini berpotensi memengaruhi hampir seluruh cabang PHP yang pernah dirilis.Sayangnya, tidak semua versi PHP mendapatkan tambalan keamanan (patch) resmi karena sebagian sudah memasuki masa End-of-Life (EOL) atau penghentian dukungan.

Berikut adalah rincian versi PHP yang sudah aman setelah pembaruan darurat dirilis:

Seperti yang terlihat pada tabel di atas, PHP versi 8.1 ke bawah (termasuk PHP 7.4 dan 8.0) tidak lagi mendapatkan perbaikan resmi. Oleh sebab itu, jika website Anda masih berjalan di versi PHP lawas, langkah paling aman adalah segera melakukan migrasi ke minimal PHP 8.2 atau PHP 8.3.

Cara Cek Versi PHP di Hosting dan VPS

Sebelum melakukan pembaruan, langkah pertama yang wajib Anda lakukan adalah memeriksa versi PHP yang sedang aktif pada website Anda. Berikut adalah tiga cara mudah untuk mengeceknya:

1. Melalui cPanel (Shared / Cloud Hosting)

1. Masuk (login) ke akun cPanel hosting Anda.
2. Gulir layar ke bagian Software, lalu klik menu Select PHP Version atau MultiPHP Manager.
3. Perhatikan versi PHP yang sedang aktif pada nama domain Anda.

2. Melalui Dashboard WordPress

1. Masuk ke halaman admin WordPress Anda (wp-admin).
2. Pilih menu Tools (Perkakas), kemudian klik Site Health (Kesehatan Situs).
3. Klik tab Info di bagian atas, lalu buka kolom Server. Di sana Anda akan melihat baris informasi PHP version.

3. Melalui Terminal SSH (Khusus Pengguna VPS)

Bagi pengguna layanan VPS, silakan masuk ke terminal server menggunakan akses SSH. Selanjutnya, ketik perintah berikut dan tekan Enter:

Selain itu, pastikan Anda juga memeriksa versi PHP-FPM yang digunakan oleh web server dengan menjalankan perintah php-fpm8.3 -v (sesuaikan angka 8.3 dengan versi PHP yang terinstal di server Anda).

Panduan Cara Update PHP untuk Mengatasi Bug PHP2Shell

Setelah mengetahui versi PHP yang digunakan, langkah selanjutnya adalah menerapkan pembaruan keamanan. Penanganan untuk pengguna Shared Hosting dan pengguna VPS Unmanaged tentu berbeda. Simak panduannya di bawah ini.

A. Bagi Pengguna Shared Hosting & Cloud Hosting Dewabiz

Jika Anda menggunakan layanan Shared Hosting atau Cloud Hosting di Dewabiz, Anda tidak perlu khawatir. Tim Sysadmin Dewabiz telah melakukan proses patching dan memperbarui versi PHP (8.2 hingga 8.5) di seluruh server kami ke versi terbaru yang aman. Selain itu, kami juga memperketat aturan Web Application Firewall (WAF) guna menangkal upaya eksploitasi.

Namun, Anda tetap perlu bertindak apabila website Anda masih menggunakan PHP 8.1 ke bawah (misalnya PHP 7.4). Segera buka menu Select PHP Version di cPanel Anda, lalu ubah versi PHP ke 8.2, 8.3, atau 8.4. Jangan lupa untuk melakukan pencadangan (backup) terlebih dahulu dan memastikan tema serta plugin website Anda kompatibel.

B. Bagi Pengguna Layanan VPS Dewabiz

Mengingat layanan VPS di Dewabiz bersifat Unmanaged (dikelola secara mandiri oleh pengguna), tim teknis kami tidak melakukan pembaruan otomatis ke dalam sistem operasi server Anda. Oleh karena itu, Anda wajib memperbarui paket PHP secara mandiri sesegera mungkin.

Sebelum memulai, pastikan Anda telah melakukan backup data penting. Selanjutnya, bagi pengguna sistem operasi Ubuntu atau Debian, silakan jalankan empat baris perintah berikut secara berurutan di terminal SSH Anda:

(Catatan: Tanda kutip dan bintang pada tulisan 'php8.3*' wajib ikut diketik agar seluruh ekstensi PHP 8.3 diperbarui secara bersamaan. Jika Anda menggunakan versi PHP lain seperti PHP 8.2 atau 8.4, cukup ganti angka 8.3 pada perintah di atas sesuai versi Anda. Setelah mengetik php -v, pastikan versi PHP sudah naik ke versi aman sesuai tabel di atas).

Sementara itu, bagi pengguna AlmaLinux, Rocky Linux, atau CentOS, Anda dapat menjalankan perintah sudo dnf update -y. Apabila Anda menggunakan control panel seperti aaPanel, CyberPanel, cPanel, atau Plesk, silakan perbarui versi PHP langsung melalui menu App Store atau PHP Manager di dalam dasbor panel masing-masing.

Tips Keamanan Tambahan bagi Pemilik Website

Selain memperbarui versi PHP, terapkan juga langkah pencegahan ekstra berikut agar keamanan website Anda semakin maksimal:

1. Rutin Melakukan Backup: Selalu cadangkan file website dan database secara berkala ke penyimpanan eksternal.
2. Aktifkan WAF (Cloudflare): Jika aplikasi lama Anda belum memungkinkan untuk langsung ditingkatkan dari PHP 7.4 ke PHP 8.2, gunakan perlindungan tambahan dari Web Application Firewall (WAF) seperti Cloudflare untuk menyaring lalu lintas mencurigakan.
3. Hindari Script Scanner Palsu: Jangan pernah mengunduh atau menjalankan file “scanner PHP2Shell” atau “exploit tester” dari grup Telegram maupun repositori GitHub yang tidak resmi. Banyak peretas memanfaatkan kepanikan ini dengan menyebarkan alat palsu yang justru berisi malware.

Menjaga keamanan server dari ancaman bug PHP PHP2Shell membutuhkan langkah yang cepat dan tepat. Apabila Anda mengalami kendala saat menyesuaikan versi PHP pada layanan hosting Dewabiz, jangan ragu untuk menghubungi tim Support kami yang siap membantu 24/7 melalui tiket di Client Area atau fitur Live Chat.