kalselupdate.id — Dua celah keamanan kritis ditemukan pada bahasa pemrograman PHP yang digunakan oleh sebagian besar infrastruktur website di seluruh dunia. Kerentanan yang diidentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619 ini memicu kewaspadaan global karena memungkinkan peretas untuk mengambil alih server tanpa memerlukan akun maupun kata sandi. Kedua celah tersebut memiliki tingkat keparahan tinggi dengan skor 9,2 dari skala 10 berdasarkan sistem penilaian CVSS 4.0, sehingga menempatkan jutaan situs web dalam posisi rentan.
Ancaman ini semakin nyata setelah informasi mengenai celah yang dikenal dengan sebutan PHP2Shell tersebut bocor ke publik sebelum pengumuman resmi dilakukan. Para peneliti keamanan siber memperingatkan bahwa kerentanan ini terletak pada inti mesin PHP, bukan pada aplikasi atau kode pihak ketiga yang digunakan. Akibatnya, situs web dengan kode aplikasi yang aman sekalipun tetap berisiko terdampak apabila menjalankan versi PHP yang belum diperbarui. Bahkan, halaman web sederhana yang menggunakan PHP dapat menjadi target serangan eksekusi kode dari jarak jauh atau remote code execution (RCE).
Beredarnya sebuah video yang memperlihatkan penggunaan alat bernama PHP2Shell untuk mengeksploitasi kerentanan ini pada server semakin mempertegas urgensi situasi. Perusahaan keamanan siber Sansec memprediksi bahwa serangan massal berpotensi terjadi hanya dalam hitungan menit setelah detail teknis kerentanan tersedia secara luas di dunia maya. Mengingat PHP merupakan fondasi bagi berbagai layanan digital mulai dari portal berita hingga sistem informasi pemerintah, dampak dari celah ini dipastikan bersifat lintas negara dan sangat luas.
“Kami melihat serangan awal mulai bermunculan dan terus memperbarui mitigasi seiring ditemukannya metode serangan baru,” ujar Chief Technology Officer Cloudflare, Dane Knecht.
Sebagai respons atas ancaman tersebut, Cloudflare telah mengambil langkah mitigasi dengan menerapkan perlindungan melalui web application firewall (WAF) guna memblokir upaya eksploitasi PHP2Shell. Kendati demikian, langkah tersebut hanyalah upaya sementara dan tidak menggantikan keharusan bagi pengelola website untuk memasang pembaruan keamanan resmi yang dirilis oleh pengembang PHP. Perlindungan aktif dari penyedia infrastruktur hanya berfungsi sebagai lapisan pertahanan tambahan di tengah meningkatnya intensitas serangan siber.
Dampak dari temuan ini telah mendorong sejumlah negara di Eropa untuk menonaktifkan sementara layanan digital pemerintah sebagai langkah pencegahan. Di Belanda, sistem identitas digital DigiD dan layanan MijnOverheid sempat tidak dapat diakses, sementara pemerintah Jerman juga mematikan akses ke sejumlah situs web yang dikelola oleh penyedia layanan teknologi informasi federal ITZBund. Langkah serupa juga diambil oleh otoritas di Prancis dan Finlandia untuk meminimalisir risiko peretasan yang lebih luas terhadap data warga negara.
Situasi mendesak ini juga memicu perhatian langsung dari Perdana Menteri Jepang, Sanae Takaichi, yang mengeluarkan instruksi tegas kepada pengelola situs web di negaranya. Melalui media sosial, ia mendesak pemilik layanan untuk segera memeriksa penggunaan PHP dan melakukan pembaruan sistem tanpa penundaan. Ia bahkan menyarankan agar pengelola situs menghentikan operasional layanan untuk sementara waktu jika penerapan patch keamanan tidak dapat dilakukan dengan segera guna menghindari eksploitasi pihak tidak bertanggung jawab.
Tim pengembang PHP telah merespons cepat dengan merilis pembaruan keamanan pada Rabu (21/10/2026) melalui versi PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. Pengelola website di Indonesia maupun di seluruh dunia sangat disarankan untuk segera melakukan pengecekan versi PHP yang digunakan pada server masing-masing. Memasang patch keamanan terbaru saat ini menjadi satu-satunya cara efektif untuk menutup kerentanan secara menyeluruh dan memastikan integritas data tetap terjaga dari potensi serangan siber yang merusak.
Para ahli keamanan siber terus memantau perkembangan situasi dan mengimbau agar organisasi tidak mengabaikan peringatan ini. Mengingat kemudahan eksploitasi yang ditawarkan oleh celah PHP2Shell, penundaan pembaruan sistem hanya akan memberikan celah bagi peretas untuk menyusup ke dalam server. Kolaborasi antara pengembang perangkat lunak, penyedia infrastruktur, dan administrator situs web menjadi kunci utama dalam menghadapi ancaman siber yang bersifat kritis dan sistemik ini.
