PHP2Shell Ancam Server Pendidikan, Ini Cara Cek dan Update PHP

Info Dapodik – Ancaman keamanan PHP2Shell menjadi perhatian bagi pengelola server pendidikan, termasuk administrator website sekolah, operator lembaga pendidikan, dan penyedia layanan hosting. Kerentanan ini perlu segera diantisipasi karena berhubungan dengan PHP, teknologi yang digunakan untuk menjalankan banyak aplikasi website, termasuk WordPress.

PHP2Shell melibatkan dua celah keamanan kritis yang berpotensi memungkinkan penyerang menjalankan kode dari jarak jauh pada server yang masih menggunakan PHP rentan. Jika berhasil dieksploitasi, serangan tersebut dapat mengakibatkan pengambilalihan proses server, kebocoran informasi sensitif, hingga gangguan layanan website.

Bagi sekolah yang menggunakan website sebagai media informasi resmi, persoalan ini tidak boleh diabaikan. Website sekolah biasanya memuat profil lembaga, berita kegiatan, pengumuman, informasi penerimaan peserta didik baru, serta berbagai dokumen yang dibutuhkan masyarakat.

Salah satu persoalan yang perlu dipahami adalah keamanan website tidak hanya ditentukan oleh aplikasi yang digunakan. Meskipun WordPress, plugin, dan tema sudah diperbarui, server tetap berpotensi rentan apabila PHP yang menjalankannya belum mendapatkan perbaikan keamanan.

Karena itu, pengelola website sekolah perlu mengetahui cara memeriksa versi PHP melalui cPanel atau panel hosting, memahami versi yang sudah diperbaiki, dan melakukan pembaruan dengan prosedur yang benar.

Mengenal Ancaman PHP2Shell pada Server Pendidikan

PHP2Shell merupakan sebutan untuk dua kerentanan keamanan pada inti PHP yang memiliki kode identifikasi CVE-2026-109618 dan CVE-2026-109619.

Kedua kerentanan tersebut diumumkan pada 21 Oktober 2026 dengan tingkat keparahan CVSS 9,2 atau kategori kritis. Dampak yang paling dikhawatirkan adalah Remote Code Execution (RCE), yaitu kemampuan penyerang menjalankan kode atau perintah pada server dari jarak jauh.

Kerentanan pertama berkaitan dengan kesalahan pengelolaan memori ketika PHP mengalami kondisi out-of-memory. Sementara itu, kerentanan kedua berkaitan dengan penggunaan kembali referensi memori yang sudah tidak valid atau dikenal sebagai use-after-free.

Kedua masalah tersebut dapat memengaruhi proses internal PHP ketika menangani permintaan dari pengguna.

Ancaman ini menjadi penting karena tidak hanya berkaitan dengan satu aplikasi atau CMS tertentu. Instalasi PHP yang melayani permintaan website, termasuk melalui PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, dan LiteSpeed, perlu diperiksa.

Dengan demikian, server yang digunakan untuk menjalankan website sekolah berbasis WordPress maupun aplikasi pendidikan lainnya perlu dipastikan telah mendapatkan pembaruan keamanan.

Mengapa Server Pendidikan Perlu Segera Diperiksa?

Tidak semua sekolah mengelola server secara mandiri. Sebagian menggunakan layanan shared hosting, VPS, atau server yang dikelola oleh pihak ketiga.

Meskipun pengelolaan teknisnya berbeda, seluruh pengelola website tetap perlu memastikan bahwa lingkungan PHP yang digunakan tidak berada dalam kondisi rentan. Ada beberapa alasan mengapa pemeriksaan ini penting.

1. Melindungi website resmi sekolah

Website sekolah merupakan salah satu sumber informasi yang dapat diakses masyarakat. Jika server berhasil disusupi, penyerang berpotensi mengubah halaman website, memasukkan konten tidak dikenal, atau mengganggu layanan.

2. Mencegah kebocoran informasi

Server dapat menyimpan berbagai informasi sensitif, seperti konfigurasi database, kredensial aplikasi, token akses, dan data administrasi. Jika terjadi penyusupan, informasi tersebut berpotensi dimanfaatkan untuk serangan lanjutan.

3. Menjaga layanan pendidikan tetap berjalan

Website yang terganggu dapat menghambat penyampaian informasi kepada siswa, orang tua, guru, dan masyarakat. Oleh karena itu, keamanan server juga berkaitan dengan kelancaran pelayanan informasi pendidikan.

4. Mengurangi risiko penyalahgunaan server

Server yang berhasil ditembus dapat dimanfaatkan untuk menjalankan proses tanpa izin, menyimpan file berbahaya, atau melakukan aktivitas lain yang tidak berkaitan dengan operasional sekolah.

Pemeriksaan dan pembaruan PHP menjadi salah satu langkah penting untuk mengurangi risiko tersebut.

Versi PHP yang Sudah Mendapatkan Perbaikan PHP2Shell

Sebelum melakukan pembaruan, pengelola website perlu mengetahui versi PHP yang telah mendapatkan perbaikan keamanan.

Berdasarkan pemberitahuan keamanan PHP yang diterbitkan pada 21 Oktober 2026, berikut versi perbaikan untuk empat cabang PHP yang masih mendapatkan pembaruan resmi:

Cabang PHP	Versi sebelum perbaikan	Versi yang sudah diperbaiki
PHP 8.5	8.5.11 dan sebelumnya	8.5.12
PHP 8.4	8.4.26 dan sebelumnya	8.4.27
PHP 8.3	8.3.35 dan sebelumnya	8.3.36
PHP 8.2	8.2.34 dan sebelumnya	8.2.35

Pengelola website perlu memperhatikan bahwa PHP 8.1 dan versi yang lebih lama sudah tidak mendapatkan rilis keamanan reguler dari proyek PHP. Meskipun demikian, sejumlah vendor distribusi Linux dan penyedia dukungan jangka panjang dapat menyediakan perbaikan melalui mekanisme backport.

Artinya, nomor versi yang terlihat belum tentu menjadi satu-satunya penentu keamanan. Pada beberapa sistem, perbaikan keamanan dapat diterapkan melalui paket khusus tanpa mengubah nomor versi PHP upstream.

Jika website sekolah masih menggunakan PHP 8.1 atau versi lebih lama, administrator sebaiknya meminta konfirmasi kepada penyedia hosting mengenai status patch dan mempertimbangkan migrasi ke versi yang masih didukung.

Cara Memeriksa Versi PHP Website Sekolah Melalui cPanel

Salah satu cara termudah untuk mengetahui versi PHP adalah melalui cPanel. Panel ini banyak digunakan oleh penyedia layanan shared hosting sehingga dapat diakses oleh pengelola website tanpa harus menggunakan perintah terminal.

Berikut langkah-langkah yang dapat dilakukan.

1. Login ke akun cPanel

Buka halaman login cPanel menggunakan alamat yang diberikan oleh penyedia hosting.

Masukkan username dan password akun hosting. Setelah berhasil masuk, pengelola akan melihat berbagai menu untuk mengatur file, database, domain, email, dan konfigurasi website.

Pastikan login dilakukan melalui alamat resmi hosting dan menggunakan koneksi yang aman.

2. Cari menu MultiPHP Manager

Pada halaman utama cPanel, cari menu bernama MultiPHP Manager.

Menu tersebut biasanya berada pada bagian Software. Namun, posisi dan ketersediaannya dapat berbeda tergantung konfigurasi layanan hosting.

Jika tidak menemukan menu tersebut, coba gunakan fitur pencarian pada halaman cPanel dengan mengetikkan kata kunci MultiPHP.

3. Pilih domain website sekolah

Setelah membuka MultiPHP Manager, akan muncul daftar domain yang dikelola melalui akun hosting.

Cari nama domain website sekolah yang ingin diperiksa.

Jika dalam satu akun hosting terdapat beberapa website, pastikan domain yang dipilih benar agar tidak salah melakukan perubahan konfigurasi.

4. Periksa versi PHP yang aktif

Pada daftar domain, perhatikan kolom versi PHP atau informasi konfigurasi PHP yang tersedia.

Catat versi yang sedang digunakan oleh domain tersebut.

Sebagai contoh, apabila website sekolah masih menggunakan PHP 8.3.35, versi tersebut perlu diperbarui karena perbaikan PHP2Shell tersedia mulai PHP 8.3.36 pada cabang yang sama.

Demikian pula jika masih menggunakan PHP 8.4.26, administrator perlu memastikan pembaruan ke versi 8.4.27 atau paket vendor yang sudah mengandung patch keamanan.

5. Pastikan versi yang diperiksa benar-benar digunakan website

Pemeriksaan melalui panel hosting perlu dilanjutkan dengan memastikan konfigurasi PHP yang aktif pada website.

Beberapa penyedia hosting menggunakan konfigurasi PHP berbeda untuk domain, subdomain, direktori, atau jenis layanan tertentu.

Karena itu, jika terdapat perbedaan informasi versi PHP, mintalah bantuan penyedia hosting untuk memastikan versi runtime yang benar-benar melayani permintaan website.

Hindari membuat file phpinfo() yang dapat diakses publik tanpa perlindungan. Informasi yang ditampilkan dapat mengungkap konfigurasi server dan sebaiknya tidak dibiarkan terbuka untuk pengunjung umum.

Cara Memperbarui Versi PHP Melalui cPanel

Setelah mengetahui versi PHP yang digunakan, langkah berikutnya adalah melakukan pembaruan ke versi yang sudah mendapatkan perbaikan keamanan.

Namun, pembaruan tidak boleh dilakukan secara terburu-buru. Administrator perlu memastikan bahwa website tetap kompatibel dengan versi PHP yang dipilih.

Berikut prosedur yang dapat dilakukan.

1. Pastikan tersedia backup website

Sebelum mengubah versi PHP, lakukan pencadangan terlebih dahulu.

Backup sebaiknya mencakup:

• Seluruh file WordPress.

• Database website.

• File konfigurasi penting.

• Pengaturan khusus yang digunakan website.

Simpan salinan backup di lokasi terpisah dari server utama agar tetap tersedia apabila terjadi gangguan.

2. Buka kembali menu MultiPHP Manager

Login ke cPanel, kemudian masuk ke menu MultiPHP Manager.

Pilih domain website sekolah yang akan diperbarui. Pastikan domain tersebut benar-benar menggunakan konfigurasi PHP yang ingin diubah.

3. Pilih versi PHP yang sudah diperbaiki

Pada pilihan versi PHP, pilih versi yang telah mendapatkan patch keamanan PHP2Shell.

Contohnya:

• PHP 8.3.35 diperbarui ke 8.3.36.

• PHP 8.4.26 diperbarui ke 8.4.27.

• PHP 8.5.11 diperbarui ke 8.5.12.

Jika versi perbaikan belum tersedia, jangan memilih versi lama hanya karena tersedia di panel. Hubungi penyedia hosting untuk meminta pemasangan paket yang sudah diperbaiki.

4. Terapkan perubahan konfigurasi

Setelah menentukan versi yang sesuai, simpan atau terapkan perubahan melalui tombol yang tersedia pada panel hosting.

Tunggu hingga proses pembaruan selesai. Pada beberapa layanan, perubahan dapat langsung berlaku, sedangkan layanan lain mungkin memerlukan penyesuaian atau restart PHP-FPM oleh administrator hosting.

5. Periksa kembali website setelah pembaruan

Buka website sekolah melalui browser dan pastikan halaman dapat diakses secara normal.

Periksa beberapa bagian penting, seperti:

• Halaman depan website.

• Halaman berita dan pengumuman.

• Halaman login administrator.

• Menu pengelolaan artikel.

• Formulir kontak atau fitur lainnya.

Jika ditemukan pesan kesalahan, segera periksa kompatibilitas plugin, tema, dan aplikasi yang digunakan.

Bagaimana Jika Versi PHP Terbaru Tidak Tersedia di cPanel?

Tidak semua penyedia hosting menyediakan versi PHP terbaru secara bersamaan.

Ada kemungkinan administrator menemukan bahwa pilihan PHP pada cPanel hanya tersedia sampai versi tertentu, sementara versi yang sudah mendapatkan perbaikan PHP2Shell belum muncul.

Dalam kondisi tersebut, pengelola website sekolah sebaiknya tidak melakukan instalasi PHP sendiri tanpa memahami konfigurasi server.

Ada beberapa langkah yang dapat dilakukan.

Pertama, hubungi layanan dukungan hosting dan sampaikan bahwa website perlu mendapatkan pembaruan keamanan PHP2Shell.

Kedua, tanyakan apakah penyedia hosting sudah menerapkan patch CVE-2026-109618 dan CVE-2026-109619 pada server.

Ketiga, jika pembaruan belum tersedia, mintalah informasi mengenai jadwal penerapan patch atau kemungkinan migrasi ke server yang sudah diperbarui.

Keempat, apabila penyedia hosting tidak dapat memberikan kepastian keamanan, pertimbangkan untuk memindahkan website ke layanan hosting yang memiliki pengelolaan keamanan lebih baik.

Hal yang perlu dipahami adalah pada layanan shared hosting, pembaruan PHP di tingkat server umumnya menjadi tanggung jawab penyedia hosting. Operator sekolah tidak selalu memiliki kewenangan untuk melakukan perubahan tersebut.

Hal yang Harus Dilakukan Setelah PHP Diperbarui

Pembaruan PHP merupakan langkah utama untuk mengatasi kerentanan PHP2Shell, tetapi pengelola website tetap perlu melakukan pemeriksaan lanjutan.

Beberapa hal berikut sebaiknya tidak dilewatkan.

Jika website diketahui pernah menggunakan PHP rentan, administrator juga perlu mempertimbangkan pemeriksaan insiden keamanan.

Pembaruan PHP tidak otomatis menghapus file berbahaya yang mungkin sudah ditanamkan penyerang sebelum pembaruan dilakukan. Jika ditemukan tanda-tanda penyusupan, lakukan investigasi, amankan kredensial yang berpotensi bocor, dan pulihkan sistem dari cadangan yang bersih.

Apakah Website WordPress Otomatis Aman Setelah PHP Diperbarui?

Belum tentu. Pembaruan PHP memang merupakan langkah penting untuk mengatasi dua kerentanan PHP2Shell, tetapi bukan berarti seluruh risiko keamanan website langsung hilang.

Website WordPress masih perlu mendapatkan pemeliharaan secara rutin.

Administrator perlu memastikan WordPress Core, plugin, dan tema selalu menggunakan versi yang mendapatkan dukungan keamanan. Plugin yang tidak digunakan sebaiknya dihapus, sedangkan akses administrator perlu dibatasi hanya untuk pihak yang berwenang.

Selain itu, penggunaan kata sandi yang kuat, autentikasi dua faktor, backup berkala, serta pemantauan aktivitas server tetap diperlukan.

Dengan menerapkan langkah tersebut, sekolah dapat membangun perlindungan website yang lebih baik, bukan hanya terhadap PHP2Shell, tetapi juga terhadap berbagai ancaman keamanan lainnya.

Kesimpulan

Ancaman PHP2Shell menjadi pengingat bagi pengelola server pendidikan bahwa keamanan website tidak cukup hanya dengan memperbarui WordPress, plugin, dan tema. Versi PHP yang berjalan pada server juga harus diperiksa dan dipastikan telah mendapatkan perbaikan keamanan. Pengelola website sekolah dapat melakukan pemeriksaan melalui menu MultiPHP Manager di cPanel, kemudian berkoordinasi dengan penyedia hosting apabila versi yang diperlukan belum tersedia. Untuk cabang PHP yang mendapatkan rilis perbaikan, versi acuannya adalah PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. Dengan melakukan pemeriksaan, pembaruan, pencadangan, serta pemantauan secara berkala, risiko gangguan akibat kerentanan PHP2Shell dapat dikurangi sehingga website sekolah tetap aman dan dapat menjalankan fungsinya sebagai media informasi pendidikan.