Celah kritis PHP · diumumkan 21–22 Okt 2026

Situs kamu terdampak celah PHP2Shell?

Tempel alamat situsmu. Dalam hitungan detik kamu tahu apakah perlu menghubungi hosting hari ini, lengkap dengan pesan yang tinggal dikirim.

Apa yang terjadi?

Dua celah kritis di PHP

CVE-2026-109618 dan CVE-2026-109619, dijuluki PHP2Shell. Penyerang bisa menjalankan kode di server tanpa login. Skornya 9,2 dari 10 (kritis), terbukti pada server Apache mod_php maupun PHP-FPM.

Siapa yang berisiko?

Situs yang berjalan di PHP versi lama: di bawah 8.2.35, 8.3.36, 8.4.27 atau 8.5.12. PHP 8.1 ke bawah sudah tidak didukung tim PHP. WordPress, Laravel, dan CMS lain ikut terdampak karena semuanya berjalan di atas PHP.

Apa yang harus dilakukan?

Update PHP adalah satu-satunya perbaikan penuh. Kamu biasanya tidak bisa melakukannya sendiri di hosting bersama, jadi minta hosting yang melakukannya. Itu sebabnya alat ini memberi pesan siap kirim.

Sumber: GHSA-w8hw-w9fx-j79w · GHSA-6wmf-4rv5-p3rp · ChangeLog PHP 8 · Help Net Security

Yang kami periksa, dan yang tidak

Kami periksa

Satu permintaan ke halaman depan, seperti membuka situs di peramban.
Header yang dikirim server (misalnya versi PHP), cookie, dan tanda sistem seperti WordPress.

Kami tidak lakukan

Tidak mencoba masuk, mengirim data, atau menguji eksploitasi.
Tidak memeriksa bagian dalam situs atau server.
Tidak menyimpan daftar situs yang diperiksa. Hasil disimpan sementara 10 menit saja.

Pertanyaan umum

Hasilnya "tidak bisa dipastikan". Artinya apa?

Banyak server sengaja menyembunyikan versi PHP, dan itu praktik yang baik. Dari luar kami hanya melihat tanda bahwa situsmu memakai PHP. Kirim pesan di hasil ke hosting dan minta konfirmasi tertulis.

Versi lama terbaca, tapi hosting bilang sudah aman. Mana yang benar?

Bisa dua-duanya. Sebagian hosting dan distro Linux (Debian, CloudLinux, dan sejenisnya) menambal PHP tanpa mengubah nomor versi, jadi versi lama yang tampil belum tentu belum ditambal. Minta konfirmasi tertulis dari hosting.

Situs saya lewat Cloudflare. Sudah aman?

Menurut laporan, Cloudflare menyediakan aturan perlindungan awal untuk celah ini. Itu membantu, tetapi bukan pengganti update PHP di server asal.

Boleh memeriksa situs milik orang lain?

Pemeriksaan ini hanya membaca halaman depan yang terbuka untuk siapa pun. Tetap saja, periksalah situs milikmu atau yang kamu punya izin untuk itu. Lihat syarat penggunaan.

Siapa yang membuat ini?

Musimpanen Lab, eksperimen dari Musimpanen Intelligence. Gratis. Laporan yang lebih lengkap sedang kami siapkan.