Techfin Insight — Gelombang peringatan keamanan terkait PHP2Shell membuat pengelola website perlu memberi perhatian lebih pada keamanan server yang mereka gunakan. Di tengah situasi tersebut, Hostinger mengumumkan telah menerapkan perlindungan terhadap dua kerentanan kritis pada PHP dan menyelesaikan pembaruan keamanan di lingkungan hosting terkelolanya.
Techfin Insight, yang menggunakan layanan Hostinger, juga menerima pemberitahuan dari penyedia hosting tersebut pada 26 Oktober 2026. Dalam pemberitahuan itu, Hostinger menjelaskan bahwa hasil pengujian internal mereka menunjukkan jalur eksploitasi yang dilaporkan tidak dapat digunakan untuk mengambil alih situs pelanggan di lingkungan hosting yang diuji.
Informasi tersebut menjadi pengingat bahwa keamanan website tidak hanya bergantung pada aplikasi yang digunakan, tetapi juga pada infrastruktur tempat aplikasi tersebut berjalan.
Hostinger Terapkan Perlindungan terhadap PHP2Shell
PHP2Shell merupakan sebutan untuk dua kerentanan kritis pada PHP, yaitu CVE-2026-109618 dan CVE-2026-109619. Keduanya mendapat skor keparahan 9,2 dari 10 berdasarkan CVSS versi 4.0 dan berpotensi memungkinkan penyerang menjalankan kode dari jarak jauh dalam kondisi tertentu tanpa perlu melakukan autentikasi.
Kerentanan ini menjadi perhatian karena PHP digunakan secara luas untuk menjalankan berbagai website dan aplikasi web, termasuk WordPress. Masalahnya berada pada lingkungan PHP itu sendiri, bukan semata-mata pada tema atau plugin yang digunakan website.
Pada 21 Oktober 2026, Hostinger mengumumkan telah menerapkan perlindungan tambahan terhadap jalur serangan yang diketahui serta mulai menggulirkan pembaruan keamanan PHP di infrastrukturnya. Perusahaan tersebut menyatakan bahwa pengujian internal menunjukkan lingkungan hosting terkelolanya tidak rentan terhadap jalur eksploitasi yang beredar saat itu.
Hostinger kemudian mengumumkan bahwa pembaruan di seluruh server hosting terkelola telah selesai pada 23 Oktober 2026. Menurut perusahaan, pelanggan paket hosting terkelola tidak perlu melakukan tindakan tambahan khusus untuk mengatasi dua kerentanan tersebut.
Mengapa Pelanggan Hostinger Tidak Perlu Melakukan Pembaruan Sendiri?
Salah satu hal yang membedakan layanan hosting adalah pembagian tanggung jawab dalam pengelolaan server. Pada layanan hosting terkelola, penyedia menangani sejumlah pekerjaan teknis di tingkat infrastruktur, termasuk pemeliharaan lingkungan PHP yang digunakan pelanggan.
Dalam penjelasan resminya, Hostinger menyebut perlindungan terhadap PHP2Shell telah diterapkan pada layanan Web Hosting, Cloud Hosting, Agency Hosting, dan cPanel Hosting. Perusahaan juga menyatakan bahwa pembaruan keamanan telah diterapkan pada berbagai versi PHP yang tersedia di layanan tersebut.
Artinya, pelanggan tidak selalu harus mengganti versi PHP secara manual untuk memperoleh perbaikan ini. Hostinger menjelaskan bahwa perlindungan dapat diterapkan pada versi PHP yang sudah digunakan, sehingga nomor versi yang terlihat di panel pengelolaan belum tentu berubah meskipun perbaikan keamanan telah dipasang.
Namun, ada pengecualian penting: layanan VPS. Pelanggan yang mengelola PHP sendiri di VPS bertanggung jawab memperbarui lingkungan PHP dan memulai ulang proses yang diperlukan. Perlindungan di tingkat server yang disediakan untuk paket hosting terkelola tidak otomatis berlaku dengan cara yang sama pada konfigurasi VPS yang dikelola pelanggan.
Bagaimana dengan Website WordPress?
Bagi pemilik website WordPress, informasi ini penting karena memperbarui WordPress, tema, dan plugin tidak otomatis memperbaiki kerentanan pada lingkungan PHP.
WordPress memang memiliki mekanisme pembaruan untuk aplikasi inti dan komponennya. Namun, PHP merupakan bagian dari lingkungan server yang menjalankan aplikasi tersebut. Perbaikannya perlu dilakukan pada tingkat PHP atau melalui mekanisme perlindungan yang diterapkan oleh penyedia hosting.
Karena itu, pemilik website sebaiknya tidak hanya memeriksa apakah WordPress dan pluginnya sudah menggunakan versi terbaru. Mereka juga perlu mengetahui apakah penyedia hosting telah menerapkan perbaikan keamanan yang relevan, terutama ketika muncul kerentanan kritis yang memengaruhi runtime PHP.
Bagi pelanggan Hostinger dengan layanan hosting terkelola, perusahaan menyatakan perlindungan terhadap PHP2Shell telah diterapkan. Pengguna layanan hosting dari penyedia lain sebaiknya memeriksa pengumuman resmi atau menghubungi tim dukungan masing-masing untuk memastikan status perlindungan server mereka.
Masih Menggunakan PHP Versi Lama? Jangan Abaikan Keamanan
Hostinger juga menjelaskan bahwa sejumlah versi PHP lama tidak lagi menerima perbaikan keamanan langsung dari proyek PHP. Meski demikian, perusahaan menyatakan bahwa lingkungan hosting terkelolanya tetap memperoleh perlindungan terhadap PHP2Shell, termasuk melalui pembaruan yang disediakan untuk berbagai versi PHP yang masih ditawarkan.
Hal ini menunjukkan bahwa nomor versi PHP saja tidak selalu cukup untuk menentukan apakah sebuah server telah memperoleh perbaikan tertentu. Pada lingkungan hosting yang menggunakan paket atau build khusus, perbaikan keamanan dapat diterapkan tanpa perubahan nomor versi yang terlihat oleh pengguna.
Meski demikian, menggunakan versi PHP yang lebih baru dan masih didukung tetap menjadi langkah yang layak diprioritaskan. Versi yang sudah lama tidak didukung berpotensi kehilangan perbaikan untuk kerentanan lain, bukan hanya PHP2Shell.
Pemilik website yang masih menggunakan PHP 7 atau versi lama lainnya sebaiknya memeriksa versi yang tepat, status dukungan keamanan, dan kebijakan pembaruan penyedia hosting. Jika ingin memperbarui PHP, mereka juga perlu memastikan kompatibilitas tema, plugin, dan aplikasi yang digunakan agar perubahan tidak mengganggu operasional website.
Respons Keamanan Hosting Patut Diperhatikan
Pemberitahuan yang diterima Techfin Insight menjadi contoh bagaimana komunikasi penyedia hosting dapat membantu pelanggan memahami situasi keamanan yang sedang berkembang. Penjelasan tentang mitigasi, pembaruan, dan tindakan yang perlu dilakukan memberikan informasi praktis kepada pemilik website yang mungkin tidak memiliki tim teknis sendiri.
Meski demikian, pernyataan bahwa suatu lingkungan hosting telah terlindungi perlu dipahami sesuai cakupannya. Perlindungan terhadap dua kerentanan tertentu tidak berarti sebuah website bebas dari seluruh risiko keamanan. Kerentanan lain, kata sandi yang lemah, plugin yang tidak terpelihara, konfigurasi yang keliru, atau akses administratif yang disalahgunakan tetap dapat menimbulkan masalah.
Karena itu, pemilihan hosting sebaiknya mempertimbangkan lebih dari sekadar harga dan kapasitas penyimpanan. Kejelasan komunikasi saat terjadi insiden, kecepatan penerapan pembaruan keamanan, dukungan teknis, kebijakan pencadangan, serta pembagian tanggung jawab antara penyedia dan pelanggan juga layak menjadi bahan pertimbangan.
Bagi pemilik website, pelajaran utamanya sederhana: keamanan bukan hanya soal menjaga website tetap bisa diakses, tetapi juga memastikan sistem yang menjalankannya memperoleh pemeliharaan yang memadai.
Pembaruan keamanan yang dilakukan penyedia hosting merupakan bagian penting dari perlindungan tersebut. Namun, pemilik website tetap perlu menjaga aplikasi, memantau kondisi situs, menyiapkan pencadangan, dan memahami siapa yang bertanggung jawab atas setiap lapisan teknis yang mereka gunakan.
Penulis: Liora Navindra Shasmitha
Editor: Setiawan Chogah
Kredit Visual: Ilustrasi dan foto pada artikel ini menggunakan sumber berlisensi bebas, aset AI, atau siaran pers resmi yang relevan dengan topik.
