Mengenal PHP2Shell dan Cara Menjaga Website Bisnis Tetap Aman

Rabu malam, 21 Oktober 2026, pukul 21.55 waktu Tokyo, Perdana Menteri Jepang mengunggah imbauan yang jarang datang dari kursi setinggi itu: para pengelola website diminta memperbarui PHP malam itu juga. Beberapa jam sebelumnya, lembaga pemerintah dan universitas di Belanda, Finlandia, dan Austria sudah lebih dulu menonaktifkan situs mereka untuk sementara. Pemicunya sama, dua celah keamanan di PHP yang kini dikenal dengan nama PHP2Shell.

Kalau website bisnismu berjalan di atas PHP, kabar ini relevan untukmu. Kabar baiknya, langkah menjaganya jelas, terukur, dan bisa mulai dikerjakan hari ini.

Poin penting artikel ini

• PHP2Shell adalah dua celah keamanan kritis di mesin PHP, dan versi perbaikannya sudah tersedia sejak 21 Oktober 2026.
• Pembaruan dilakukan di sisi server, jadi pemilik bisnis cukup berkoordinasi dengan penyedia hosting atau developer.
• Checklist enam langkah membantu bisnis memastikan website tetap aman sekarang dan di pembaruan berikutnya.

Apa itu PHP2Shell

PHP2Shell adalah sebutan untuk dua celah keamanan kritis di mesin PHP, yaitu CVE-2026-109618 dan CVE-2026-109619, dengan skor 9,2 dari 10 pada CVSS v4.0. Perbaikannya rilis 21 Oktober 2026. Karena celahnya berada di PHP itu sendiri, setiap website berbasis PHP perlu memperbarui versi PHP di server agar tetap aman.

Sebagai gambaran, PHP adalah bahasa pemrograman yang bekerja di balik layar banyak website. Ia berjalan di server dan menyusun setiap halaman saat pengunjung membukanya. Banyak CMS populer dan platform toko online dibangun di atasnya. Dalam kondisi tertentu, PHP2Shell memungkinkan pihak luar menjalankan perintah di server lewat internet. Istilah teknisnya remote code execution.

Poin pentingnya: celah ini ada di PHP, bukan di kode website. Artinya, website yang dibangun rapi pun tetap perlu diperbarui, dan memperbarui konten atau plugin saja belum cukup untuk menutupnya.

Kenapa banyak situs sempat maintenance serentak

Tim keamanan PHP mengumumkan pada 20 Oktober bahwa pembaruan darurat akan rilis keesokan harinya pukul 14.00 UTC, atau 21.00 WIB. Rincian celahnya sempat beredar lebih dulu di internet, sehingga banyak pengelola memilih bergerak cepat.

Responsnya terlihat di banyak negara. Pusat layanan TI pemerintah Finlandia menonaktifkan sejumlah layanan publik sebagai langkah pencegahan, dan badan keamanan siber nasional Belanda ikut menurunkan situsnya sendiri. Di Jepang, berbagai layanan digital masuk mode maintenance malam itu. Badan keamanan siber Singapura (CSA) meminta organisasi segera memasang pembaruan dengan prioritas pada sistem yang terhubung ke internet.

Dari sini ada satu pelajaran yang patut dicatat: maintenance terencana justru tanda pengelola yang sigap. Pelanggan lebih mudah memaklumi jeda beberapa jam daripada data yang berpindah tangan.

Website bisnis yang perlu dicek setelah PHP2Shell

Setiap bisnis yang punya website atau aplikasi berbasis PHP sebaiknya memeriksa, mulai dari website profil perusahaan, toko online, sampai panel admin internal. CSA Singapura juga mengingatkan bahwa PHP bisa terpasang di komponen pihak ketiga, meski website utamamu memakai teknologi lain.

Pembaruan ini dikerjakan di sisi server, jadi tanggung jawabnya ada di pengelola website dan penyedia hosting. Kalau website bisnismu dikelola developer atau agensi, cukup hubungi mereka dan minta konfirmasi.

Checklist menjaga website bisnis tetap aman

Langkah berikut bisa dibagi antara pemilik bisnis dan tim teknis. Versi yang sudah memuat perbaikan adalah PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 (Canadian Centre for Cyber Security, 2026). Beberapa sistem operasi server memasang perbaikan keamanan tanpa mengubah nomor versi PHP, jadi konfirmasi langsung dari penyedia adalah pegangan paling jelas.

Sistem bisnis berbasis cloud: pembaruan dikelola penyedia

Website hanyalah satu bagian dari bisnis. Data transaksi, stok, dan pelanggan juga tersimpan di sistem operasional sehari-hari. Di sinilah aplikasi bisnis berbasis cloud memberi nilai lebih: pemeliharaan dan pembaruan keamanan dikelola penyedia, sehingga pemilik bisnis bisa fokus melayani pelanggan.

POS Kasir dan Restaurant Management System (RMS) dari Labamu, misalnya, berjalan di cloud dengan pemeliharaan sistem yang ditangani tim Labamu. Pemilik bisnis cukup masuk dari smartphone atau komputer, lalu melanjutkan operasional seperti biasa.

Saat memilih aplikasi bisnis apa pun, tiga pertanyaan ini layak diajukan ke penyedia:

• Seberapa cepat tim mereka merespons pembaruan keamanan?
• Lewat kanal apa pengguna mendapat informasi saat ada pemeliharaan?
• Bagaimana data dicadangkan dan dipulihkan?

Malam 21 Oktober akan tercatat sebagai salah satu malam tersibuk bagi pengelola website di berbagai belahan dunia. Bagi bisnis, warisan terbaiknya adalah satu kebiasaan sederhana: tahu sistem apa yang dipakai, siapa yang merawatnya, dan kapan terakhir diperbarui. Tiga hal itu cukup untuk membuat kabar serupa berikutnya terasa seperti agenda rutin, bukan kejutan tengah malam.

Pertanyaan seputar PHP2Shell

Apakah semua website terdampak PHP2Shell?

Yang perlu diperiksa adalah website yang berjalan di PHP dengan versi sebelum rilis perbaikan. Cara paling cepat memastikannya adalah mengecek versi PHP di panel hosting atau bertanya ke developer.

Bagaimana cara mengetahui versi PHP yang dipakai website?

Buka panel hosting atau fitur kesehatan situs di CMS. Versi yang tampil di sana adalah versi yang benar-benar dipakai website, sedangkan versi di baris perintah server bisa berbeda. Kalau ragu, minta developer mengonfirmasinya.

Cukupkah memperbarui plugin atau tema?

Belum cukup. Celahnya ada di mesin PHP, sehingga yang perlu diperbarui adalah PHP di sisi server.

Kapan pembaruan PHP untuk PHP2Shell dirilis?

Pembaruan resmi rilis pada 21 Oktober 2026 pukul 14.00 UTC atau 21.00 WIB. Versi yang sudah memuat perbaikan adalah PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35.

Bagaimana kalau website masih memakai PHP 7?

PHP 7 sudah di luar dukungan rutin. Diskusikan rencana migrasi ke versi terbaru dengan hosting atau developer, sekaligus langkah pengamanan sementara yang mereka sarankan.

Apakah website yang dibangun dengan teknologi lain juga perlu dicek?

Sebaiknya tetap dicek. Badan keamanan siber Singapura mengingatkan bahwa PHP bisa terpasang di aplikasi atau komponen pihak ketiga yang berjalan di server yang sama, meski website utamanya memakai teknologi lain.

Bolehkah website dinonaktifkan sementara selama pembaruan?

Boleh, dan langkah ini dipilih banyak lembaga di Eropa dan Jepang. Kantor keamanan siber nasional Jepang menyebut penonaktifan sementara sebagai salah satu cara efektif menekan risiko ketika pembaruan belum bisa langsung dipasang. Umumkan jadwal maintenance ke pelanggan agar mereka tetap terinformasi.

Apakah pengguna aplikasi kasir berbasis cloud perlu melakukan sesuatu?

Pembaruan sistem di aplikasi cloud umumnya ditangani penyedia. Cukup pastikan aplikasi di perangkatmu selalu versi terbaru dan ikuti informasi resmi dari penyedia.