Kalau kamu mengelola website, aplikasi web, atau sekadar menyewa hosting yang menggunakan PHP, beberapa waktu lalu kamu mungkin menerima banyak peringatan untuk segera melakukan update darurat. Kehebohan ini dipicu oleh dua celah keamanan kritis pada PHP yang dikenal dengan julukan PHP2Shell. Peringatan tersebut disampaikan langsung oleh BSSN di Indonesia, serta sejumlah lembaga keamanan dari berbagai negara yang turut mengimbau pengelola sistem untuk bertindak cepat.

Artikel ini menyajikan ringkasan mengenai peristiwa yang terjadi, siapa saja yang berisiko, serta langkah-langkah praktis yang bisa diambil tanpa masuk ke detail teknis yang dapat disalahgunakan. Informasi dalam tulisan ini disusun berdasarkan laporan publik yang tertera pada bagian akhir, dan kondisinya masih terus berkembang.

Mengenal PHP2Shell

PHP2Shell merujuk pada dua celah keamanan pada mesin utama PHP, yaitu CVE-2026-109618 dan CVE-2026-109619. Berdasarkan analisis dari Recorded Future, kedua celah ini tergolong masalah memory safety dengan skor CVSS v4.0 mencapai 9,2, sehingga masuk dalam tingkat bahaya kritis. Temuan ini pertama kali dilaporkan kepada tim pengembang PHP oleh peneliti dari Wiz.

Isu ini menjadi sangat krusial karena letak kelemahan berada di tingkat bahasa pemrograman PHP itu sendiri, bukan pada kode situs web yang dibuat pemiliknya. Artinya, situs dengan struktur kode yang sangat rapi pun tetap rentan jika versi PHP di server belum diperbarui. Menurut laporan yang ada, risiko terburuk dari celah ini mencakup remote code execution (RCE) tanpa membutuhkan proses login, hingga potensi kebocoran memori server yang menyimpan informasi sensitif seperti kata sandi, token, atau API key.

Siapa yang Berisiko?

Secara umum, setiap sistem yang masih menjalankan PHP versi lama dan terhubung ke jaringan internet berada dalam potensi bahaya. Platform Content Management System (CMS) populer seperti WordPress, Drupal, maupun Joomla juga terdampak jika sistem servernya masih menggunakan versi PHP yang rentan. Penting untuk diingat bahwa kelemahan ini bersumber dari mesin PHP, bukan dari CMS tersebut.

Versi PHP yang sudah diperbaiki adalah:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Versi PHP yang sudah melewati masa dukungannya (end-of-life) tidak akan mendapatkan pembaruan keamanan ini, sehingga tidak bisa dianggap aman. Laporan dari Recorded Future menunjukkan bahwa sebagian besar server PHP yang terdeteksi di internet saat ini masih memakai versi yang sudah tidak didukung lagi. Hasil pemindaian dari VirusTotal mencatat ada lebih dari 5 juta alamat IP yang aktif menjalankan PHP.

Kronologi Peristiwa

Tim Wiz menyampaikan temuan celah keamanan ini kepada tim PHP pada akhir Agustus 2026. Pengerjaan perbaikan kode mulai dilakukan sebulan kemudian, dan jadwal rilis darurat diumumkan pada 20 Oktober. Namun, detail mengenai kelemahan tersebut terlanjur tersebar di internet sebelum perbaikan resmi dikeluarkan. Pada akhirnya, patch resmi dipublikasikan pada 21 Oktober 2026.

Kondisi semakin mendesak karena sejumlah laporan mendeteksi adanya upaya eksploitasi sebelum perbaikan resmi tersedia. Pihak Amazon mencatat indikasi serangan paling awal muncul sejak 17 Oktober, empat hari sebelum patch dirilis, dan melaporkan adanya aktivitas eksploitasi yang luas di lapangan.

Menilai Tingkat Keparahan

Terdapat beberapa sudut pandang berbeda mengenai dampak nyata dari celah ini. Pihak Amazon menyatakan serangan telah terjadi secara meluas, sementara analisis dari Dataminr mendeteksi adanya aktivitas pemindaian dan percobaan eksploitasi yang belum berhasil meretas sistem. Laporan publik sejauh ini belum dapat memastikan jumlah pasti server yang benar-benar berhasil dibobol.

Langkah terbaik yang perlu diambil adalah tetap tenang tanpa mengabaikan penanganan. Mengingat potensi risikonya yang tinggi serta ditemukannya indikasi serangan, proses penanganan harus dijadikan prioritas sampai sistem dipastikan aman.

Langkah Penanganan yang Disarankan

Cara paling efektif dan permanen untuk mengatasi masalah ini adalah memasang pembaruan resmi. Beberapa arahan penting dari peneliti keamanan dan BSSN meliputi:

• Segera perbarui versi PHP ke versi terbaru, terutama pada server yang langsung terhubung ke publik.
• Periksa keberadaan PHP di layanan pendukung, seperti aplikasi pihak ketiga, container, atau server terkelola.
• Jika masih mengandalkan PHP versi lama yang sudah mati, segera atur jadwal migrasi atau hubungi pihak penyedia layanan.
• Apabila update belum bisa dilaksanakan segera, batasi akses jaringan pada layanan terhubung sebagai langkah pencegahan sementara. Menurut BSSN, penggunaan WAF dan pembatasan akses hanya bersifat proteksi sementara dan tidak menggantikan fungsi perbaikan utama.
• Lakukan pemeriksaan log sistem sejak tanggal 20 Oktober 2026 atau sebelumnya untuk mendeteksi aktivitas mencurigakan.
• Jika terindikasi ada kebocoran, jalankan prosedur penanganan insiden dan perbarui seluruh kredensial akses.

Pengguna layanan shared hosting disarankan untuk memastikan kepada pihak pengelola apakah server PHP yang digunakan sudah diperbarui ke versi yang aman.

Pelajaran Penting

Peristiwa ini memberikan gambaran berharga bagi pengelola teknologi informasi. Setiap organisasi perlu memiliki pendataan yang jelas mengenai sistem dan versi perangkat lunak yang digunakan agar tindakan penanganan dapat dilakukan dengan cepat saat terjadi insiden darurat.

Selain itu, menunda pembaruan sistem terutama pada versi yang sudah tidak didukung membawa risiko keamanan yang tinggi. Masalah pada tingkat fondasi seperti ini membuktikan bahwa keamanan sistem tidak cukup hanya mengandalkan kode aplikasi yang bagus, melainkan membutuhkan perlindungan berlapis, sebagaimana pelajaran yang didapat dari kasus malware perbankan Hirudo.

Baca Juga: "Belajar Keamanan Sistem Informasi dari Kasus Malware Hirudo".

Baca Juga: "Ketika Tools yang Dipercaya Menjadi Ancaman: Pelajaran dari Kasus GitHub".

Penutup

Temuan celah PHP2Shell memperlihatkan bagaimana kelemahan pada teknologi dasar dapat berdampak luas secara cepat. Langkah paling efektif saat ini adalah memeriksa versi PHP yang aktif, melakukan perbaikan ke versi yang aman, serta memastikan seluruh infrastruktur terlindungi.

Bagi pengelola website, menyempatkan waktu untuk mengecek status pembaruan PHP merupakan tindakan preventif penting demi mencegah gangguan keamanan yang lebih besar di kemudian hari.