PHP2Shell: AI Bantu Temukan Celah PHP, Pemilik Website Perlu Cek Pembaruan
PHP2Shell menyoroti peran AI dalam menemukan celah PHP. Simak dampaknya bagi pemilik WordPress dan langkah memeriksa pembaruan hosting.
AI semakin berperan dalam riset keamanan perangkat lunak. Salah satu contohnya adalah PHP2Shell, nama yang dipakai Wiz untuk membahas dua celah kritis di PHP. Bagi pemilik website di Indonesia, kabar ini relevan karena PHP menjadi komponen di balik WordPress dan sejumlah sistem pengelola konten lainnya.
Menurut pengumuman keamanan tim PHP bertanggal 21 Oktober 2026, kedua celah dapat memungkinkan eksekusi kode dari jarak jauh tanpa autentikasi. Tim PHP telah merilis perbaikan. Langkah yang perlu diprioritaskan pemilik situs adalah memastikan lingkungan hosting menggunakan rilis yang sudah ditambal.
Apa itu PHP2Shell?
PHP2Shell merujuk pada pembahasan dua kerentanan: CVE-2026-109618 dan CVE-2026-109619. Advisory resmi proyek PHP menggolongkan keduanya sebagai kritis.
Eksekusi kode jarak jauh berarti penyerang berpotensi membuat server menjalankan kode yang tidak diizinkan. Namun, adanya kerentanan bukan bukti bahwa setiap situs yang menggunakan PHP sudah diretas. Kondisi server, versi perangkat lunak, dan penerapan pembaruan perlu diperiksa untuk menilai keadaan masing-masing situs.
Tim PHP menyebut cakupan instalasi yang melayani permintaan web, termasuk PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Karena masalahnya berada pada PHP, memperbarui WordPress saja tidak menggantikan pembaruan PHP di server.
Bagaimana AI membantu riset ini?
Dalam laporan risetnya, Wiz menjelaskan penggunaan alat AI sepanjang penelitian PHP2Shell. Peneliti juga melaporkan pembuktian konsep pada lingkungan uji WordPress, Drupal, dan Joomla.
Hasil tersebut menunjukkan manfaat AI sebagai alat bantu pemeriksaan perangkat lunak. Peneliti tetap perlu menelusuri temuan, membuktikan dampak, dan berkoordinasi dengan pengelola proyek untuk menghasilkan perbaikan.
Pembuktian konsep di laboratorium juga perlu dibedakan dari laporan serangan pada situs pengguna. Artikel ini tidak menyimpulkan bahwa pengujian Wiz merupakan bukti serangan massal di dunia nyata.
Topik ini berkaitan dengan pembahasan sebelumnya tentang AI yang membantu mencari kelemahan sistem lain. Nilai praktisnya terletak pada bagaimana temuan diubah menjadi perbaikan yang benar-benar dipasang.
Versi PHP mana yang memuat perbaikan?
Menurut pengumuman tim PHP, rilis perbaikan yang perlu diperhatikan adalah:
| Cabang PHP | Rilis perbaikan |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
Gunakan rilis yang sudah ditambal atau pembaruan resmi yang lebih baru pada cabang yang didukung. Jika penyedia hosting menerapkan perbaikan melalui backport, mintalah konfirmasi tertulis mengenai kedua CVE tersebut. Nomor versi yang terlihat dari luar belum selalu cukup untuk memastikan status patch.
Tim PHP menyatakan bahwa pembaruan merupakan solusi lengkap. Pengaturan sementara untuk mempersempit jalur serangan tidak sebaiknya dianggap sebagai pengganti patch.
Apa yang perlu dilakukan pemilik website di Indonesia?
Bagi pengelola toko online, situs usaha, sekolah, atau blog berbasis WordPress, pemeriksaan dapat dimulai dari panel hosting. Nama menu berbeda antarlayanan, tetapi biasanya memuat pilihan versi PHP atau informasi server.
- Catat versi PHP yang dipakai oleh situs aktif. Jika tersedia beberapa lingkungan, periksa setiap situs dan subdomain yang relevan.
- Hubungi penyedia hosting untuk memastikan patch CVE-2026-109618 dan CVE-2026-109619 sudah diterapkan.
- Siapkan cadangan file dan basis data serta cara pemulihan sebelum perubahan versi.
- Terapkan pembaruan melalui panel atau dukungan resmi hosting. Uji kompatibilitas jika perpindahan cabang diperlukan.
- Periksa halaman utama, login, formulir, dan transaksi setelah pembaruan. Tinjau juga pembaruan WordPress, plugin, dan tema sebagai pemeliharaan terpisah.
Pengguna shared hosting mungkin tidak memiliki hak memasang patch sendiri. Dalam kondisi itu, dukungan penyedia hosting menjadi jalur yang paling langsung. Hindari memasang alat pemeriksa dari sumber yang tidak dikenal hanya karena menjanjikan pemeriksaan cepat.
Kesimpulan
PHP2Shell memperlihatkan hubungan yang semakin dekat antara AI dan keamanan perangkat lunak. Penemuan celah bermanfaat ketika diikuti perbaikan dan penerapan pembaruan pada server pengguna.
Untuk pemilik website, tindakan yang paling berguna sekarang adalah mengecek versi PHP, meminta kepastian status patch dari hosting, dan menguji fungsi situs setelah pembaruan.
Buka panel hosting Anda hari ini atau kirim pertanyaan kepada penyedia hosting: “Apakah server situs saya sudah menerima perbaikan untuk CVE-2026-109618 dan CVE-2026-109619?”
