Info Dapodik – Pengelola website sekolah yang menggunakan WordPress perlu meningkatkan perhatian terhadap keamanan server menyusul munculnya celah keamanan PHP2Shell. Kerentanan ini menjadi perhatian karena berhubungan langsung dengan bahasa pemrograman PHP yang menjadi salah satu fondasi utama WordPress.
Ancaman tersebut tidak bisa dianggap sebagai masalah kecil. PHP2Shell melibatkan dua kerentanan kritis yang berpotensi memungkinkan penyerang menjalankan kode berbahaya dari jarak jauh pada server yang masih menggunakan PHP versi rentan.
Bagi sekolah yang mengelola website untuk menyampaikan pengumuman, informasi akademik, kegiatan peserta didik, hingga penerimaan murid baru, keamanan situs menjadi hal yang sangat penting. Website yang berhasil disusupi bukan hanya berisiko mengalami perubahan tampilan, tetapi juga dapat menjadi pintu masuk pencurian informasi dan penyalahgunaan server.
Salah satu hal yang perlu dipahami oleh operator dan administrator website sekolah adalah memperbarui plugin WordPress saja tidak cukup untuk mengatasi PHP2Shell. Pasalnya, sumber kerentanan berada pada PHP yang berjalan di server, bukan semata-mata pada plugin atau tema WordPress.
Oleh karena itu, sekolah perlu memastikan bahwa versi PHP yang digunakan oleh layanan hosting sudah mendapatkan pembaruan keamanan.
Mengenal PHP2Shell yang Mengancam Website WordPress
PHP2Shell merupakan nama yang digunakan untuk menyebut dua kerentanan keamanan kritis pada PHP, yaitu CVE-2026-109618 dan CVE-2026-109619.
Kedua kerentanan tersebut diumumkan pada 21 Oktober 2026 dan mendapatkan tingkat keparahan CVSS 9,2. Dampak yang menjadi perhatian utama adalah kemungkinan terjadinya Remote Code Execution (RCE), yaitu kondisi ketika penyerang dapat menjalankan perintah atau kode pada server dari jarak jauh.
Kerentanan pertama, CVE-2026-109618, berkaitan dengan kesalahan pengelolaan memori ketika PHP mengalami kondisi out-of-memory. Dalam situasi tertentu, proses internal PHP dapat mengalami kegagalan saat data permintaan belum selesai dipersiapkan. Kesalahan penanganan kondisi tersebut kemudian berpotensi dimanfaatkan untuk menjalankan kode berbahaya.
Sementara itu, CVE-2026-109619 berhubungan dengan masalah penggunaan kembali referensi memori yang sudah tidak valid atau dikenal sebagai use-after-free. Kondisi ini dapat menyebabkan proses PHP menggunakan kembali data internal yang seharusnya sudah tidak tersedia.
Kedua masalah tersebut menunjukkan bahwa kerentanan tidak hanya berkaitan dengan aplikasi website yang terlihat oleh pengunjung, tetapi juga menyentuh mekanisme internal PHP.
Informasi mengenai kerentanan dan pembaruan perbaikannya telah dipublikasikan oleh tim PHP serta sejumlah penyedia keamanan. Pihak Plesk juga menerbitkan pemberitahuan bahwa versi PHP yang disediakan melalui platform mereka turut terdampak. <Cite refs={[“turn159083search0″,”turn159083search5″,”turn159083search11”]}/>
Mengapa Website Sekolah Berbasis WordPress Berisiko?
WordPress merupakan salah satu platform pengelolaan website yang banyak digunakan karena relatif mudah dioperasikan. Pengelola sekolah dapat menggunakannya untuk menerbitkan berita, mengunggah foto kegiatan, membuat halaman profil, dan memperbarui informasi tanpa harus menguasai pemrograman secara mendalam.
Namun, WordPress membutuhkan PHP agar dapat menjalankan berbagai fungsi di dalamnya.
Ketika pengunjung membuka halaman website, server akan memproses permintaan melalui lingkungan PHP sebelum menampilkan halaman yang diminta. Artinya, keamanan PHP menjadi bagian penting dari keamanan keseluruhan website WordPress.
Jika server masih menggunakan versi PHP yang rentan, website berpotensi menghadapi ancaman meskipun WordPress, tema, dan seluruh plugin sudah diperbarui.
Inilah alasan mengapa pengelola website sekolah tidak boleh hanya berfokus pada pembaruan aplikasi WordPress.
Ada beberapa risiko yang perlu diperhatikan.
1. Website berpotensi diambil alih penyerang
Risiko paling serius dari PHP2Shell adalah kemungkinan eksekusi kode jarak jauh pada server yang terdampak.
Apabila serangan berhasil, penyerang dapat menjalankan perintah dengan hak akses proses PHP. Seberapa jauh kendali yang diperoleh bergantung pada konfigurasi server dan izin akses yang diberikan kepada layanan website.
Dalam kondisi tertentu, hal ini dapat berkembang menjadi penguasaan terhadap file atau layanan yang dijalankan pada server.
2. Tampilan website sekolah dapat diubah
Penyerang yang berhasil memperoleh akses dapat mencoba memodifikasi file website.
Dampaknya bisa berupa perubahan halaman depan, penyisipan konten asing, munculnya pesan yang tidak berkaitan dengan sekolah, atau pengalihan pengunjung ke halaman lain.
Kondisi tersebut tentu dapat merugikan sekolah karena website resmi merupakan salah satu sumber informasi yang digunakan oleh siswa, orang tua, guru, dan masyarakat.
3. Data penting berpotensi bocor
Website WordPress memiliki berbagai informasi konfigurasi yang harus dilindungi, termasuk data akses database, akun administrator, dan kredensial layanan lainnya.
Jika penyerang berhasil mengakses file konfigurasi atau informasi sensitif pada server, data tersebut dapat dimanfaatkan untuk melakukan tindakan lanjutan.
Selain itu, masalah pengelolaan memori pada PHP juga berpotensi menyebabkan informasi internal yang sensitif terekspos dalam kondisi tertentu.
4. Server dapat digunakan untuk aktivitas ilegal
Server yang berhasil disusupi tidak selalu hanya digunakan untuk mengubah tampilan website.
Penyerang dapat mencoba memasang file berbahaya, menjalankan proses tanpa izin, atau memanfaatkan server untuk aktivitas lain yang merugikan.
Akibatnya, website sekolah bisa menjadi sarana penyebaran konten berbahaya atau aktivitas yang sama sekali tidak berkaitan dengan dunia pendidikan.
5. Website mengalami gangguan layanan
Serangan terhadap server dapat mengganggu kinerja website. Pengunjung mungkin mengalami kesulitan mengakses halaman, menemukan informasi yang berubah, atau tidak dapat membuka situs sama sekali.
Bagi sekolah yang menggunakan website sebagai media penyampaian pengumuman penting, gangguan tersebut dapat menghambat komunikasi dengan masyarakat.
Pembaruan Plugin WordPress Tidak Cukup Mengatasi PHP2Shell
Hal yang paling penting untuk dipahami oleh pengelola website sekolah adalah perbedaan antara pembaruan WordPress dan pembaruan PHP.
Keduanya merupakan bagian berbeda dari sistem website.
WordPress merupakan aplikasi pengelolaan konten atau Content Management System (CMS). Sementara itu, PHP merupakan bahasa pemrograman yang digunakan untuk menjalankan berbagai proses di balik aplikasi tersebut.
Plugin dan tema WordPress juga berjalan dengan dukungan PHP. Karena itu, meskipun seluruh plugin sudah menggunakan versi terbaru, kerentanan pada PHP server tetap dapat menjadi ancaman.
Sebagai gambaran, terdapat beberapa komponen yang perlu diperhatikan ketika mengelola website sekolah.
| Komponen | Fungsi | Tindakan keamanan |
|---|---|---|
| WordPress Core | Sistem utama website | Perbarui ke versi stabil terbaru |
| Plugin | Menambahkan fitur website | Perbarui dan hapus plugin tidak digunakan |
| Tema | Mengatur tampilan website | Gunakan tema resmi dan rutin diperbarui |
| PHP | Menjalankan proses website | Perbarui ke versi yang sudah diperbaiki |
| Hosting/Server | Menyediakan lingkungan website | Minta penyedia hosting melakukan pemeriksaan |
Dengan demikian, pembaruan plugin, tema, dan WordPress tetap diperlukan, tetapi tidak dapat menggantikan pembaruan PHP.
Pengelola website harus memastikan bahwa PHP yang benar-benar digunakan oleh server sudah mendapatkan patch keamanan PHP2Shell.
Versi PHP yang Sudah Mendapatkan Perbaikan Keamanan
Untuk mengatasi PHP2Shell, pengelola server perlu memastikan PHP telah diperbarui ke versi yang mengandung perbaikan keamanan.
Berdasarkan informasi pembaruan keamanan PHP yang dirilis pada 21 Oktober 2026, berikut versi perbaikan untuk masing-masing cabang PHP:
| Versi PHP | Versi yang rentan | Versi perbaikan |
|---|---|---|
| PHP 8.5 | 8.5.11 ke bawah | 8.5.12 |
| PHP 8.4 | 8.4.26 ke bawah | 8.4.27 |
| PHP 8.3 | 8.3.35 ke bawah | 8.3.36 |
| PHP 8.2 | 8.2.34 ke bawah | 8.2.35 |
Sumber: Pemberitahuan keamanan PHP dan Plesk.
Pengelola website perlu memperhatikan bahwa PHP 8.1 dan versi yang lebih lama sudah berstatus End of Life atau tidak lagi mendapatkan pembaruan rutin dari proyek PHP.
Untuk versi lama tertentu, tersedia perbaikan melalui source backport atau paket keamanan dari penyedia distribusi Linux dan vendor dukungan jangka panjang. Namun, sekolah sebaiknya mempertimbangkan migrasi ke cabang PHP yang masih didukung agar perlindungan keamanan lebih terjamin.
Jangan hanya melihat nomor versi tanpa memeriksa sumber pembaruannya. Beberapa penyedia hosting atau distribusi Linux dapat menerapkan perbaikan keamanan melalui paket khusus tanpa mengubah nomor versi upstream secara langsung. Karena itu, konfirmasi kepada penyedia hosting tetap diperlukan.
Cara Mengatasi PHP2Shell pada Website WordPress Sekolah
Ada beberapa langkah yang dapat dilakukan pengelola website sekolah untuk mengurangi risiko PHP2Shell. Langkah-langkah berikut dapat diterapkan oleh administrator website maupun dikoordinasikan dengan penyedia layanan hosting.
1. Periksa versi PHP melalui cPanel
Jika website sekolah menggunakan hosting dengan fasilitas cPanel, pengelola dapat memeriksa versi PHP melalui panel tersebut.
Langkah umumnya sebagai berikut:
-
Login ke akun cPanel hosting.
-
Cari menu MultiPHP Manager, Select PHP Version, atau menu pengaturan PHP yang tersedia.
-
Periksa versi PHP yang digunakan oleh domain website sekolah.
-
Catat versi yang sedang aktif.
-
Bandingkan dengan versi PHP yang telah mendapatkan perbaikan keamanan.
Nama menu dapat berbeda-beda tergantung perusahaan hosting yang digunakan.
Perlu diperhatikan bahwa versi PHP yang tampil di panel harus benar-benar sesuai dengan versi yang melayani permintaan website.
2. Perbarui PHP melalui layanan hosting
Jika versi PHP masih berada dalam rentang rentan, segera lakukan pembaruan.
Pengelola dapat memilih versi PHP yang sudah diperbaiki melalui panel hosting apabila fasilitas tersebut tersedia.
Namun, sebelum melakukan perubahan, pastikan kompatibilitas WordPress, tema, dan plugin. Sebaiknya lakukan backup file website dan database terlebih dahulu.
Apabila tidak tersedia pilihan versi PHP terbaru, hubungi penyedia hosting untuk meminta pembaruan pada server.
3. Hubungi penyedia hosting jika tidak memiliki akses server
Tidak semua operator sekolah memiliki kemampuan teknis atau akses untuk mengelola konfigurasi server.
Jika website sekolah menggunakan shared hosting, pembaruan PHP pada tingkat server umumnya menjadi tanggung jawab penyedia layanan hosting.
Pengelola dapat mengirimkan pertanyaan seperti berikut:
-
Apakah server yang digunakan website sekolah terdampak PHP2Shell?
-
Versi PHP berapa yang sedang digunakan oleh domain?
-
Apakah patch untuk CVE-2026-109618 dan CVE-2026-109619 sudah diterapkan?
-
Apakah pengguna perlu melakukan perubahan versi PHP melalui cPanel?
-
Apakah pembaruan sudah berlaku untuk PHP-FPM atau layanan PHP lain yang digunakan?
Dengan meminta konfirmasi tersebut, sekolah dapat mengetahui kondisi keamanan server tanpa harus melakukan perubahan teknis secara sembarangan.
4. Perbarui WordPress, tema, dan plugin
Walaupun pembaruan plugin tidak cukup untuk mengatasi PHP2Shell, langkah ini tetap penting sebagai bagian dari perlindungan website.
Pastikan WordPress Core menggunakan versi stabil terbaru. Periksa juga seluruh plugin dan tema yang terpasang.
Hapus plugin yang sudah tidak digunakan, terutama jika berasal dari pengembang yang tidak jelas atau tidak lagi menyediakan pembaruan keamanan.
Hindari menggunakan tema dan plugin bajakan karena file yang telah dimodifikasi dapat menjadi sumber masalah keamanan tambahan.
5. Ganti kata sandi administrator
Sebagai langkah penguatan keamanan, pengelola website dapat mengganti kata sandi akun administrator, khususnya apabila server diketahui menggunakan versi PHP rentan dalam periode tertentu.
Gunakan kata sandi yang panjang dan berbeda dari akun lainnya. Aktifkan autentikasi dua faktor jika tersedia.
Jika terdapat dugaan server sudah berhasil ditembus, penggantian kata sandi saja tidak cukup. Kredensial database, akses hosting, FTP, SSH, dan kunci API yang berpotensi terekspos juga perlu diperiksa dan diganti setelah sistem diamankan.
6. Periksa file dan aktivitas mencurigakan
Setelah pembaruan dilakukan, administrator sebaiknya memeriksa aktivitas website.
Perhatikan perubahan file WordPress yang tidak dikenal, akun administrator baru, plugin asing, proses server mencurigakan, serta aktivitas login yang tidak wajar.
Jika ditemukan indikasi penyusupan, lakukan pemeriksaan menyeluruh dan pulihkan website dari cadangan yang diketahui bersih. Jangan langsung menganggap website aman hanya karena versi PHP sudah diperbarui.
7. Lakukan backup secara berkala
Backup menjadi bagian penting dalam pengelolaan website sekolah.
Simpan salinan file WordPress dan database secara berkala pada lokasi yang terpisah dari server utama.
Pastikan cadangan tersebut dapat digunakan untuk memulihkan website apabila terjadi kerusakan atau serangan siber.
Bagaimana Jika Website Sekolah Menggunakan Shared Hosting?
Pertanyaan ini cukup penting karena banyak sekolah tidak memiliki server sendiri dan memilih layanan shared hosting untuk mengelola website.
Pada layanan shared hosting, satu server dapat digunakan oleh beberapa pengguna atau domain. Pengelolaan komponen server, termasuk instalasi PHP pada tingkat sistem, biasanya berada di bawah kendali penyedia hosting.
Artinya, operator sekolah belum tentu dapat memperbarui PHP secara langsung.
Namun, bukan berarti sekolah tidak bisa melakukan tindakan pencegahan. Pengelola tetap dapat memeriksa versi PHP melalui panel hosting, memperbarui WordPress, dan meminta konfirmasi kepada penyedia layanan.
Jika penyedia hosting menyatakan bahwa patch keamanan telah diterapkan, mintalah penjelasan apakah pembaruan tersebut juga mencakup seluruh mekanisme PHP yang digunakan oleh domain sekolah.
Perlu diketahui pula bahwa mengganti versi PHP melalui panel hosting belum tentu otomatis memperbarui seluruh instalasi PHP pada server. Pada beberapa layanan, terdapat beberapa konfigurasi PHP yang berjalan secara terpisah.
Karena itu, konfirmasi teknis dari penyedia hosting menjadi langkah penting, terutama bagi sekolah yang tidak memiliki administrator server sendiri.
Checklist Keamanan Website WordPress Sekolah
Agar lebih mudah melakukan pemeriksaan, berikut daftar tindakan yang dapat dijadikan panduan oleh operator atau pengelola website sekolah.
Kesimpulan
PHP2Shell merupakan kerentanan keamanan serius yang perlu menjadi perhatian pengelola website sekolah berbasis WordPress. Ancaman ini tidak dapat diatasi hanya dengan memperbarui plugin, tema, atau aplikasi WordPress karena sumber masalahnya berada pada PHP yang berjalan di server. Oleh sebab itu, sekolah perlu memastikan bahwa versi PHP telah mendapatkan pembaruan keamanan, berkoordinasi dengan penyedia hosting, serta melakukan pemeriksaan terhadap file dan aktivitas website. Dengan menerapkan langkah-langkah tersebut, risiko penyusupan dapat dikurangi sehingga website sekolah tetap aman dan dapat digunakan sebagai sarana penyampaian informasi pendidikan kepada masyarakat.