NADIKABAR.COM — Dua celah keamanan kritis PHP yang dikenal sebagai PHP2Shell membuat pemilik website WordPress perlu meningkatkan kewaspadaan. Kerentanan ini berpotensi memungkinkan hacker mengambil alih server tanpa memerlukan akun maupun kata sandi. Lantas, apakah website berbasis WordPress aman dari ancaman tersebut?
Jawabannya, website WordPress juga berpotensi terdampak PHP2Shell apabila server menggunakan PHP yang belum mendapatkan patch keamanan. Risiko ini terutama perlu diwaspadai pengguna PHP versi lama, khususnya sebelum 8.2 yang sudah tidak mendapat pembaruan keamanan dari proyek PHP.
WordPress.org bahkan telah mengeluarkan peringatan resmi melalui pengumuman bertajuk Critical PHP Security Release, Rabu (21/10/2026).
"Mengingat tingkat keparahan masalah ini, pemilik situs dianjurkan segera memperbarui instalasi PHP mereka," demikian imbauan WordPress.org, diterjemahkan dari pengumuman resminya.
Dua kerentanan PHP2Shell teridentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619. Keduanya memiliki tingkat keparahan 9,2 dari skala 10 berdasarkan CVSS 4.0.
WordPress menegaskan bahwa PHP2Shell bukan kerentanan yang secara khusus ditemukan pada sistem manajemen konten (CMS) miliknya.
"Kerentanan ini tidak spesifik pada WordPress dan memengaruhi server apa pun yang menjalankan aplikasi PHP. Tidak diperlukan atau direncanakan pembaruan WordPress untuk masalah ini," jelas WordPress.org, dalam terjemahan bahasa Indonesia.
Artinya, memperbarui WordPress, tema, maupun plugin saja tidak cukup. Pemilik website harus memastikan PHP pada server telah mendapatkan perbaikan keamanan.
Pengembang PHP telah merilis patch melalui versi 8.2.35, 8.3.36, 8.4.27, dan 8.5.12.
Namun, sejumlah penyedia sistem operasi dan layanan hosting juga dapat menyediakan perbaikan keamanan melalui mekanisme backport, tanpa mengubah nomor versi utama PHP.
Pemilik website dapat memeriksa versi PHP langsung melalui dashboard WordPress dengan langkah berikut:
Jika PHP belum mendapatkan patch keamanan, segera hubungi penyedia hosting atau lakukan pembaruan melalui panel administrasi server.
Pengguna shared hosting umumnya dapat meminta bantuan penyedia layanan. Sementara itu, pengelola VPS atau server mandiri perlu memastikan pembaruan diterapkan sesuai konfigurasi server.
Sebelum memperbarui PHP, sebaiknya cadangkan data website dan periksa kompatibilitas tema maupun plugin.
Bagi pengelola server mandiri yang belum dapat menerapkan patch, penghentian sementara layanan dapat dipertimbangkan untuk mengurangi risiko serangan. Penggunaan Web Application Firewall (WAF) juga dapat membantu mitigasi, tetapi bukan pengganti pembaruan PHP.
Dengan demikian, memperbarui WordPress saja tidak cukup untuk menangkal PHP2Shell. Pemilik website harus memastikan PHP pada server telah mendapatkan perbaikan keamanan.
