JAWA BARAT — Dua celah keamanan kritis PHP yang dijuluki PHP2Shell memaksa pemilik situs WordPress memeriksa ulang konfigurasi server mereka. WordPress.org menegaskan pembaruan CMS, tema, atau plugin tidak menutup celah ini karena akar masalahnya ada di PHP versi lama yang belum dipatch. Pengguna PHP di bawah 8.2 paling rentan karena tidak lagi menerima pembaruan keamanan.
Pengumuman resmi bertajuk Critical PHP Security Release yang dirilis WordPress.org pada Rabu (21/10/2026) menyebut dua kerentanan itu terdaftar sebagai CVE-2026-109618 dan CVE-2026-109619. Skor keparahannya mencapai 9,2 dari 10 berdasarkan standar CVSS 4.0, kategori kritis.
Dampaknya bukan main-main. Penyerang bisa mengambil alih server tanpa perlu akun atau kata sandi sama sekali. Server yang menjalankan aplikasi PHP apa pun berpotensi jadi sasaran, bukan hanya situs berbasis WordPress.
Mengapa Update WordPress Saja Tidak Menyelesaikan Masalah
WordPress.org menegaskan celah ini bukan temuan yang spesifik pada CMS buatannya. "Kerentanan ini tidak spesifik pada WordPress dan memengaruhi server apa pun yang menjalankan aplikasi PHP. Tidak diperlukan atau direncanakan pembaruan WordPress untuk masalah ini," tulis mereka dalam pengumuman resmi yang diterjemahkan ke bahasa Indonesia.
Artinya, memperbarui WordPress, tema, maupun plugin tidak cukup. Pemilik website harus memastikan PHP di sisi server sudah mendapat perbaikan keamanan. Pengguna PHP versi lama, terutama sebelum 8.2, berada di zona paling berbahaya karena proyek PHP sudah menghentikan pembaruan keamanan untuk versi tersebut.
Versi PHP yang Sudah Diperbaiki
Pengembang PHP telah merilis patch melalui versi 8.2.35, 8.3.36, 8.4.27, dan 8.5.12. Sejumlah penyedia sistem operasi dan layanan hosting juga menyediakan perbaikan lewat mekanisme backport, yaitu patch keamanan yang disuntikkan tanpa mengubah nomor versi utama PHP.
Kondisi ini membuat pengecekan versi tidak selalu cukup hanya dengan melihat nomor. Pemilik situs perlu mengonfirmasi langsung ke penyedia hosting apakah server mereka sudah menerima patch, termasuk bila nomor versi PHP terlihat sama seperti sebelumnya.
Cara Mengecek Versi PHP di Dashboard WordPress
Pemeriksaan bisa dilakukan langsung dari dashboard administrator tanpa perlu akses ke panel server. Berikut langkahnya:
- Login ke dashboard administrator WordPress.
- Buka menu Tools (Perkakas).
- Pilih Site Health (Kesehatan Situs).
- Klik tab Info, lalu buka bagian Server.
- Periksa informasi PHP Version.
Jika versi PHP yang terpasang belum mendapat patch keamanan, segera hubungi penyedia hosting atau lakukan pembaruan melalui panel administrasi server. Pengguna shared hosting umumnya bisa meminta bantuan penyedia layanan, sementara pengelola VPS atau server mandiri perlu memastikan pembaruan diterapkan sesuai konfigurasi masing-masing.
Langkah Pengamanan Sebelum dan Sesudah Update
Sebelum memperbarui PHP, cadangkan data website dan periksa kompatibilitas tema maupun plugin. Langkah ini penting karena perubahan versi PHP kadang memicu konflik pada kode lama yang belum diperbarui.
Bagi pengelola server mandiri yang belum bisa menerapkan patch, penghentian sementara layanan bisa dipertimbangkan untuk menekan risiko serangan. Penggunaan Web Application Firewall (WAF) juga membantu mitigasi, tetapi tidak bisa menggantikan pembaruan PHP itu sendiri.
Prioritasnya jelas: patch PHP di server lebih dulu, baru urusan pembaruan WordPress. Selama celah PHP2Shell masih terbuka, situs WordPress yang tampak rapi dari sisi dashboard tetap menyimpan pintu masuk yang bisa dieksploitasi penyerang.
