PHP2Shell: Bug Kritis PHP & Trik Patch Darurat

Celah keamanan kritis PHP2Shell (CVE-2026-109618 dan CVE-2026-109619) mengancam server web berbasis PHP dan bisa memicu pengambilalihan server penuh (Remote Code Execution / RCE). Patch resmi hanya tersedia untuk PHP versi aktif (8.2, 8.3, 8.4, 8.5) di situs resmi php.net, sedangkan versi lama seperti PHP 7.4 atau 8.1 ditinggal tanpa update. Kamu wajib segera matikan fitur upload progress di konfigurasi server sekarang juga sebelum dieksploitasi scanner bot.

Mengenal Layanan & Gambaran Teknis

PHP2Shell adalah sebutan untuk celah eksekusi kode berbahaya lewat manipulasi mekanisme pelacakan upload sesi (session upload progress) di server PHP. Penyerang memanfaatkan fitur default ini untuk menyisipkan payload script shell langsung ke server, bahkan tanpa memerlukan akun login di web target.

Panduan Langkah Demi Langkah

1. Langkah 1 — Buka php.net atau panel kontrol server (seperti aaPanel, cPanel, atau SSH terminal) dan cek versi PHP yang aktif.
2. Langkah 2 — Untuk pengguna VPS/Server Sendiri: Buka file konfigurasi php.ini (di panel hosting masuk ke PHP Management > Configuration File), lalu set session.upload_progress.enabled = 0 dan disable_functions = exec,passthru,shell_exec,system,proc_open,popen,pcntl_exec.
3. Langkah 3 — Untuk pengguna Shared Hosting (tanpa akses root/php.ini): Buat file bernama.user.ini di folder root website (public_html), lalu isi baris session.upload_progress.enabled = 0.
4. Langkah 4 — Khusus web server Apache tanpa akses php.ini: Buka file.htaccess di folder root situs, tambahkan baris php_flag session.upload_progress.enabled off.
5. Langkah 5 — Restart layanan PHP-FPM atau web server (Nginx/Apache) agar perubahan konfigurasi langsung aktif, atau tunggu 5 menit jika memakai.user.ini.

Kode Kupon & Token Akses

Persyaratan & Kesiapan

• Akses SSH root atau panel web server (aaPanel, cPanel, Plesk, dll)
• Izin edit file php.ini,.user.ini, atau.htaccess di direktori web

Tips Optimalisasi

• Pasang opsi expose_php = Off di php.ini biar scanner bot tidak gampang mendeteksi versi PHP servermu.
• Gunakan session.use_strict_mode = 1 untuk mencegah penyerang menginisialisasi session ID buatan mereka sendiri.

Mitigasi Risiko & Keamanan

• Server PHP versi lawas (8.1, 7.4, 5.6 ke bawah) tidak dapat patch resmi sehingga tetap rentan jika konfigurasi darurat tidak diterapkan.
• Mematikan fungsi sistem di disable_functions bisa mengganggu plugin tertentu (seperti backup otomatis atau konversi gambar) yang membutuhkan exec.

Kesimpulan & Catatan Penting

Bug PHP2Shell sangat berbahaya karena memungkinkan eksekusi shell backdoor secara remote ke server. Terapkan mitigasi konfigurasi sekarang dan jadwalkan update versi PHP sesegera mungkin.