Hanya 226 dari 99.896 kecocokan versi PHP di Indonesia yang tercatat sudah ditambal terhadap celah PHP2Shell.
Angka itu setara 0,2 persen, sementara celah tersebut memungkinkan penyerang mengambil alih peladen sepenuhnya tanpa login.
Temuan ini berasal dari pemindaian PT Vaksincom terhadap peladen di Indonesia yang terhubung ke internet per Jumat (23/10/2026).
Pemindaian mendeteksi 89.193 host PHP aktif, dengan celah bernomor CVE-2026-109618 dan CVE-2026-109619 berskor keparahan CVSS 9,2.
Kedua celah itu berupa eksekusi kode jarak jauh atau remote code execution.
Mayoritas Pakai PHP Tanpa Dukungan
Sebanyak 69.546 kecocokan, atau 69,6 persen, memakai PHP yang masa dukungannya berakhir sehingga tak lagi menerima pembaruan keamanan resmi.
Adapun 30.124 kecocokan lain memakai versi yang masih didukung, tetapi belum ditambal.
Hanya 886 host yang terdeteksi memakai tembok api aplikasi web atau web application firewall.
Dengan demikian, sebagian besar peladen PHP di Indonesia belum memiliki lapisan pelindung tambahan menghadapi celah PHP2Shell.
