# PHP2Shell: yang perlu dilakukan pemilik toko online sekarang > Pada 21 Oktober 2026, proyek PHP memperbaiki dua celah kritis, CVE-2026-109618 dan CVE-2026-109619, yang dikenal sebagai PHP2Shell. Celah ini memungkinkan penyerang menjalankan kode di server web tanpa login. Setiap toko yang di-hosting sendiri dan berjalan di PHP, seperti WooCommerce, Magento, PrestaShop, atau OpenCart, harus memakai PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35, atau paket yang sudah ditambal dari penyedia hosting. CISA Amerika Serikat memasukkan kedua celah ke katalog kerentanan yang dieksploitasi pada 26 Oktober 2026. Canonical: https://tellnod.com/id/guides/php-vulnerability-online-store-checklist Last updated: 2026-10-30 Author: Tellnod team ## Yang perlu dilakukan hari ini 1. **Cek versi PHP yang dipakai toko Anda.** Lihat di panel hosting atau, di WordPress, buka Alat, Kesehatan Situs, Info, Server. Catat versinya dan apakah PHP dikelola oleh penyedia hosting. 2. **Perbarui PHP atau minta konfirmasi tambalan dari hosting.** Pindah ke PHP 8.5.12, 8.4.27, 8.3.36, atau 8.2.35, atau tanyakan secara tertulis ke penyedia hosting apakah server sudah memiliki perbaikan 21 Oktober 2026 untuk CVE-2026-109618 dan CVE-2026-109619. 3. **Buat cadangan sebelum dan sesudah.** Unduh cadangan lengkap file dan database, lalu simpan salinannya di luar server agar Anda bisa memulihkan versi yang bersih jika ada masalah. 4. **Perbarui toko dan semua plugin.** Pasang pembaruan yang tertunda untuk WordPress, WooCommerce atau platform toko Anda, tema, serta setiap plugin atau modul, dan hapus yang sudah tidak dipakai. 5. **Periksa akun admin dan ganti kata sandi.** Hapus akun administrator yang tidak Anda kenal, lalu ganti kata sandi admin, hosting, dan database, serta kunci API dan kata sandi layanan email yang tersimpan di toko. ## Apa yang terjadi, dengan bahasa sederhana PHP adalah bahasa pemrograman yang menjalankan banyak toko online yang di-hosting sendiri. Pada 21 Oktober 2026, proyek PHP merilis versi 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 untuk memperbaiki dua kerentanan kritis, CVE-2026-109618 dan CVE-2026-109619 [S1]. Peneliti keamanan menyebut keduanya PHP2Shell [S5][S6]. Keduanya diberi skor 9,2 dari 10 [S5]. Celahnya ada di PHP itu sendiri, bukan di plugin tertentu. Menurut proyek PHP, semua instalasi PHP yang melayani permintaan web terdampak, dan pada beberapa konfigurasi server, permintaan dari orang yang tidak login bisa memicu serangan sebelum kode toko berjalan [S1]. Artinya, login admin, plugin keamanan, atau kata sandi yang kuat saja tidak cukup untuk menahannya. Proyek PHP menyatakan tidak ada solusi sementara yang lengkap dan memperbarui adalah satu-satunya pilihan yang aman [S1]. Upaya serangan dimulai lebih awal. Datadog melaporkan bahwa AWS sudah melihat upaya eksploitasi sejak 17 Oktober 2026, sebelum perbaikannya diumumkan [S6]. Pada 26 Oktober 2026, Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) memasukkan kedua CVE ke katalog Known Exploited Vulnerabilities, yang memuat celah dengan bukti eksploitasi aktif [S3][S4]. > Masalah terpisah, CVE-2026-115560, diumumkan proyek PHP pada 23 Oktober 2026. Masalah ini bukan bagian dari PHP2Shell dan tidak diperbaiki oleh rilis 21 Oktober. Masalah ini hanya memengaruhi aplikasi yang memakai kombinasi pengaturan sesi yang tidak umum; perbaikannya direncanakan pada rilis reguler berikutnya, dan sampai saat itu pengaturan yang disarankan adalah `session.upload_progress.enabled = 0` [S2]. Artikel ini mencerminkan kondisi per 30 Oktober 2026. ## Apakah toko saya terdampak? Jika Anda meng-hosting toko sendiri, kemungkinan besar toko itu berjalan di PHP. WordPress adalah aplikasi PHP [S7], jadi toko WooCommerce berjalan di PHP, begitu juga Magento (Adobe Commerce), PrestaShop, dan OpenCart. Blog, halaman promo, atau area pelanggan di WordPress juga termasuk, meskipun tokonya ada di tempat lain. | Pengaturan Anda | Memakai PHP? | Siapa yang memperbarui PHP | | --- | --- | --- | | WooCommerce di WordPress | Ya | Anda atau penyedia hosting, tergantung paketnya | | Magento, PrestaShop, atau OpenCart di server sendiri | Ya | Anda atau agensi atau developer yang mengelola server | | WordPress terkelola atau hosting toko terkelola | Ya | Biasanya penyedia hosting; minta konfirmasi tambalannya | | Platform yang sepenuhnya di-hosting seperti Shopify | Anda tidak menjalankan PHP sendiri | Platform memelihara servernya sendiri | Untuk melihat versi PHP, buka panel hosting Anda; biasanya ada di menu pengaturan PHP atau versi PHP. Di WordPress, buka Alat, lalu Kesehatan Situs, lalu tab Info, dan buka Server. Versi yang sudah diperbaiki adalah 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 atau lebih baru di setiap cabang [S1]. Nomor versi tidak selalu menceritakan semuanya. Distribusi Linux dan penyedia hosting sudah menerima tambalan lebih dulu dan bisa memasukkan perbaikan ke paket mereka sendiri tanpa mengubah nomor versi [S1][S6]. Jika ragu, tanyakan langsung ke penyedia hosting apakah server sudah menyertakan perbaikan untuk CVE-2026-109618 dan CVE-2026-109619. Toko yang masih memakai PHP 8.1 atau lebih lama berada dalam posisi yang lebih sulit. Proyek PHP tidak lagi memperbarui versi tersebut; beberapa vendor menyediakan perbaikan yang di-backport, dan proyek PHP mengarahkan pengguna ke vendor tersebut atau ke upgrade [S1]. Perlu dicatat juga bahwa dukungan PHP 8.2 berakhir pada 31 Desember 2026 [S1]. ## Yang perlu dilakukan hari ini Daftar bernomor di atas adalah versi singkatnya. Beberapa detail berikut membuat setiap langkah lebih aman. ### Jika Anda mengelola server sendiri Perbarui PHP lewat paket sistem atau panel hosting, lalu mulai ulang PHP dan server web agar setiap worker memakai versi yang sudah diperbaiki. CISA menyarankan agar sistem yang terhubung ke internet segera ditambal dan, jika sebuah sistem tidak bisa cepat ditambal, sistem itu dimatikan sementara atau dilindungi web application firewall sebagai langkah sementara [S3]. Proyek PHP mencantumkan beberapa pengaturan sementara, tetapi mengingatkan bahwa pengaturan itu tidak membuat instalasi aman [S1]. ### Jika hosting atau agensi yang mengelola Kirim permintaan tertulis singkat: “Mohon konfirmasi bahwa server kami sudah memiliki perbaikan PHP untuk CVE-2026-109618 dan CVE-2026-109619 yang dirilis pada 21 Oktober 2026, dan beri tahu versi atau paket PHP yang kami pakai.” Simpan balasannya. ### Buat cadangan sebelum mengubah apa pun Buat cadangan lengkap file dan database, lalu simpan di luar server. Jika toko sudah dibobol sebelum ditambal, Anda mungkin perlu memulihkan dari cadangan bersih yang lebih lama, jadi jangan timpa cadangan lama dulu. ### Perbarui plugin dan periksa akun admin Memperbarui PHP menutup celah ini, tetapi bagian lain toko juga perlu dirawat. Perbarui WordPress, WooCommerce atau platform Anda, tema, dan setiap plugin. Di daftar pengguna, cari akun administrator yang tidak Anda buat. Setelah itu ganti kata sandi dan buat ulang kunci API serta kata sandi SMTP yang tersimpan di toko, misalnya untuk pembayaran, pengiriman, dan email, karena siapa pun yang pernah masuk ke server bisa saja membacanya. ## Melindungi daftar pelanggan dan reputasi pengiriman email Database toko menyimpan lebih dari sekadar pesanan. Biasanya ada nama, alamat email, alamat pengiriman, dan riwayat belanja setiap pelanggan, ditambah daftar pelanggan newsletter Anda. Penyerang yang bisa menjalankan kode di server sering kali bisa membaca database itu, dan juga memakai server untuk mengirim email atas nama Anda. ### Tanda-tanda ada yang tidak beres - Pesan pentalan atau balasan untuk email yang tidak pernah Anda kirim. - Peringatan dari hosting tentang spam keluar atau beban server yang tidak biasa. - Akun administrator, plugin, atau file yang tidak Anda tambahkan, atau perubahan di halaman checkout. - Laporan DMARC yang menunjukkan server yang tidak Anda pakai mengirim dengan domain Anda. - Lonjakan mendadak keluhan spam, atau domain maupun IP server Anda masuk daftar blokir. [Reputasi pengirim](https://tellnod.com/glossary#sender-reputation) domain Anda butuh waktu untuk dibangun dan bisa turun cepat ketika spam terkirim atas nama Anda. Record SPF, DKIM, dan DMARC memberi tahu kotak masuk server mana yang boleh mengirim untuk domain Anda, dan laporan DMARC menunjukkan siapa yang mencoba; [penjelasan SPF, DKIM, dan DMARC](https://tellnod.com/id/guides/spf-dkim-dmarc-explained) membahas setiap record, dan [panduan pengaturan DMARC](https://tellnod.com/id/guides/how-to-set-up-dmarc) menjelaskan cara membaca laporan. Jika server toko memang tidak dipakai untuk mengirim email marketing, jangan masukkan server itu ke record SPF; ini membatasi apa yang bisa dilakukan server yang dibobol dengan domain Anda. ### Jika data pelanggan mungkin bocor Kewajiban hukum setelah kebocoran data berbeda di setiap negara. Banyak undang-undang perlindungan data mewajibkan pemberitahuan kepada otoritas, pelanggan yang terdampak, atau keduanya dalam batas waktu tertentu; di Indonesia, UU Pelindungan Data Pribadi mewajibkan pemberitahuan tertulis kepada subjek data dan lembaga paling lambat 3 x 24 jam [S8]. Periksa aturan di setiap pasar tempat Anda berjualan, atau konsultasikan dengan pengacara, sebelum menghubungi pelanggan. [Panduan aturan email marketing](https://tellnod.com/id/guides/email-marketing-consent-laws) kami membahas aturan persetujuan per pasar; aturan pemberitahuan kebocoran adalah hal terpisah dan bergantung pada hukum setempat. Saat menghubungi pelanggan, tulis dengan jelas: apa yang terjadi, data apa yang terlibat, apa yang sudah Anda lakukan, dan apa yang perlu mereka waspadai. Email phishing yang mengaku dari toko sering menyusul, jadi sampaikan bahwa Anda tidak akan pernah meminta kata sandi atau nomor kartu lewat email. Untuk merek pakaian seperti Ninefold, pesan ini dikirim dari alamat pengirim yang biasa, tanpa penawaran diskon, agar tidak terlihat seperti promosi. ## Mengurangi celah untuk ke depannya PHP2Shell tidak akan menjadi pembaruan mendesak yang terakhir. Toko yang mudah dijaga tetap mutakhir juga lebih mudah dilindungi. - **Lebih sedikit plugin.** Setiap plugin atau modul adalah kode yang berjalan di server Anda dan perlu diperbarui. Hapus yang tidak dipakai, dan jika bisa, ganti beberapa plugin kecil dengan satu plugin yang terawat baik. - **Cabang PHP yang masih didukung.** Rencanakan pindah dari PHP 8.2 sebelum dukungannya berakhir pada 31 Desember 2026, dan tinggalkan versi yang lebih lama sekarang juga [S1]. - **Hosting atau layanan terkelola.** Hosting terkelola, atau layanan yang di-hosting untuk pembayaran, pencarian, atau email, memindahkan urusan tambalan ke penyedia yang memang bertugas untuk itu. Tanyakan seberapa cepat mereka menambal kali ini. - **Pembaruan otomatis dan cadangan di luar server.** Aktifkan pembaruan minor otomatis jika platform Anda mendukungnya, dan simpan cadangan rutin di luar server. - **Penanggung jawab yang jelas.** Tentukan siapa yang memantau info keamanan untuk toko: Anda, developer, atau penyedia hosting. ## Posisi Tellnod Tellnod adalah [konektor MCP](https://tellnod.com/glossary#mcp-connector) untuk menulis, melihat pratinjau, dan mengirim email marketing dari Claude atau ChatGPT. Tellnod berjalan sebagai layanan yang di-hosting di infrastruktur Tellnod sendiri, bukan di server toko Anda, jadi memakainya sebagai pengganti plugin email marketing berarti satu plugin lebih sedikit untuk diperbarui di server dan satu kredensial pengiriman lebih sedikit yang tersimpan di database toko. Ini mengurangi apa yang ada di server Anda; ini tidak membuat toko Anda aman. Anda tetap perlu memperbarui PHP dan perangkat lunak toko, dan daftar pelanggan Anda kemudian juga tersimpan di Tellnod, jadi wajar untuk menanyakan ke penyedia mana pun bagaimana mereka melindunginya. [Halaman keamanan](https://tellnod.com/security) menjelaskan cara Tellnod menangani pengiriman dan data. Untuk mencobanya, [hubungkan Tellnod](https://tellnod.com/id/connect) ke Claude atau ChatGPT; tidak ada yang terkirim sampai Anda menekan Confirm di [kartu persetujuan](https://tellnod.com/glossary#approval-card). ## FAQ ### Apa itu PHP2Shell? PHP2Shell adalah nama yang dipakai peneliti untuk CVE-2026-109618 dan CVE-2026-109619, dua celah kritis di PHP yang bisa membuat penyerang menjalankan kode di server web tanpa login. Proyek PHP memperbaikinya pada 21 Oktober 2026 [S1][S6]. ### Apakah toko WooCommerce saya terdampak? WooCommerce berjalan di WordPress, yang merupakan aplikasi PHP [S7], jadi toko Anda termasuk terdampak kecuali server sudah memakai PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35, atau paket yang sudah ditambal dari hosting [S1]. Jika ragu, tanyakan ke penyedia hosting. ### Apakah toko di Shopify terdampak? Di platform yang sepenuhnya di-hosting seperti Shopify, Anda tidak menjalankan PHP di server sendiri, jadi tidak ada PHP yang perlu Anda perbarui. Situs terpisah yang Anda hosting sendiri, seperti blog WordPress, tetap perlu dicek. ### Apakah plugin keamanan atau firewall sudah cukup? Tidak. Serangan bisa dimulai sebelum kode toko atau plugin berjalan, dan proyek PHP menyatakan memperbarui adalah satu-satunya pilihan yang aman [S1]. CISA hanya menyebut web application firewall sebagai langkah sementara selama Anda menambal [S3]. ### Apakah pembaruan 21 Oktober juga memperbaiki CVE-2026-115560? Tidak. CVE-2026-115560 adalah masalah terpisah yang diumumkan pada 23 Oktober 2026, dengan perbaikan yang direncanakan pada rilis reguler berikutnya. Sampai saat itu, proyek PHP menyarankan `session.upload_progress.enabled = 0` [S2]. ## Sources - [S1] PHP: Security advisory: critical remote code execution vulnerabilities, update now: (checked 2026-10-30) - [S2] PHP: Informational advisory: session upload progress: (checked 2026-10-30) - [S3] CISA: Critical vulnerabilities in PHP require immediate patching: (checked 2026-10-30) - [S4] CISA: Known Exploited Vulnerabilities catalog: (checked 2026-10-30) - [S5] Rapid7: CVE-2026-109618 and CVE-2026-109619, critical unauthenticated remote code execution in PHP: (checked 2026-10-30) - [S6] Datadog Security Labs: PHP2Shell, critical vulnerabilities in PHP: (checked 2026-10-30) - [S7] WordPress.org: Requirements: (checked 2026-10-30) - [S8] JDIH BPK: UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi: (checked 2026-10-30)