NADIKABAR.COM — Dua celah keamanan kritis ditemukan pada PHP, bahasa pemrograman yang digunakan oleh banyak website di seluruh dunia. Kerentanan ini memicu kewaspadaan global karena berpotensi memungkinkan peretas mengambil alih server tanpa memerlukan akun maupun kata sandi.
Kedua celah tersebut dikenal dengan sebutan PHP2Shell dan teridentifikasi sebagai CVE-2026-109618 serta CVE-2026-109619. Masing-masing memiliki tingkat keparahan 9,2 dari skala 10 berdasarkan sistem penilaian CVSS 4.0.
Ancaman ini semakin serius setelah informasi mengenai kerentanan tersebut dilaporkan bocor sebelum pengumuman resmi. Sejumlah peneliti keamanan bahkan memperingatkan potensi serangan massal terhadap server yang belum diperbarui.
Dilansir dari The Hacker News, Kamis (22/10/2026), kedua kerentanan berada pada inti mesin PHP, bukan pada aplikasi atau kode website yang menggunakannya.
Artinya, website dengan kode aplikasi yang aman sekalipun berpotensi terdampak apabila menjalankan versi PHP yang rentan. Bahkan, halaman sederhana yang menggunakan PHP dapat menjadi sasaran serangan.
Kedua celah tersebut berpotensi memungkinkan serangan remote code execution (RCE), yakni menjalankan kode berbahaya dari jarak jauh tanpa autentikasi. Sebuah video yang beredar bahkan diklaim memperlihatkan penggunaan alat bernama PHP2Shell untuk mengeksploitasi kerentanan tersebut pada server website.
Perusahaan keamanan siber Sansec sebelumnya memperingatkan bahwa serangan massal berpotensi dimulai hanya dalam hitungan menit setelah pembaruan keamanan dirilis.
"Kami memperkirakan serangan massal akan dimulai dalam waktu 15 menit setelah perilisan," ujar peneliti Sansec, sebagaimana dikutip PC Gamer.
PHP sendiri merupakan bahasa pemrograman yang banyak digunakan untuk menjalankan berbagai layanan website, termasuk portal berita, toko online, hingga sistem informasi perusahaan dan pemerintahan.
Karena penggunaannya sangat luas, celah keamanan pada PHP berpotensi menimbulkan dampak lintas negara, termasuk terhadap layanan digital di Indonesia
Kekhawatiran terhadap PHP2Shell bukan sekadar ancaman di atas kertas. Perusahaan keamanan dan infrastruktur internet Cloudflare mengonfirmasi telah mendeteksi lalu lintas serangan yang menargetkan kedua kerentanan tersebut.
Chief Technology Officer Cloudflare, Dane Knecht, mengatakan pihaknya terus memperbarui perlindungan seiring munculnya metode serangan baru.
"Kami melihat serangan awal mulai bermunculan dan terus memperbarui mitigasi seiring ditemukannya metode serangan baru," ujar Knecht melalui X, sebagaimana dikutip The Hacker News.
Cloudflare juga telah menerapkan perlindungan melalui web application firewall (WAF) untuk membantu memblokir upaya eksploitasi PHP2Shell.
Namun, perlindungan tersebut tidak menggantikan pembaruan keamanan resmi. Pengelola website tetap harus memasang patch PHP untuk menutup kerentanan secara menyeluruh.
Ancaman PHP2Shell turut memicu langkah pengamanan terhadap sejumlah layanan digital pemerintah di berbagai negara.
Reuters melaporkan sejumlah website pemerintah di Eropa dinonaktifkan sementara pada Rabu (21/10/2026) sebagai tindakan pencegahan terhadap potensi serangan siber.
Di Belanda, layanan pemerintah MijnOverheid, sistem identitas digital DigiD, hingga website pusat keamanan siber nasional termasuk yang sempat tidak dapat diakses.
Sementara itu, pemerintah Jerman mengonfirmasi sejumlah website yang dikelola penyedia layanan teknologi informasi federal ITZBund dinonaktifkan untuk mengurangi risiko serangan.
Prancis dan Finlandia juga dilaporkan mengambil langkah pengamanan terhadap sejumlah layanan digital pemerintah.
Besarnya potensi ancaman membuat Perdana Menteri Jepang Sanae Takaichi ikut mengeluarkan peringatan kepada pengelola website.
Melalui akun X resminya pada Rabu (21/10/2026), Takaichi meminta pemilik website segera memeriksa apakah layanan mereka menggunakan PHP dan mempersiapkan pembaruan keamanan.
"Ini adalah permintaan yang sangat mendesak kepada semua pihak untuk mengambil tindakan malam ini," ujar Takaichi dalam unggahannya, sebagaimana dilaporkan ITmedia.
"Periksa apakah website yang Anda operasikan menggunakan PHP dan bersiaplah untuk menerapkan patch perbaikan sesegera mungkin," lanjutnya.
Takaichi juga menyarankan penghentian sementara layanan website apabila pembaruan tidak dapat segera dilakukan.
"Jika sulit menerapkan patch dengan cepat, menghentikan sementara website juga dapat menjadi salah satu langkah efektif untuk mengurangi risiko," ujarnya.
Meski sejumlah layanan pemerintah dinonaktifkan, langkah tersebut merupakan tindakan pencegahan dan tidak otomatis berarti website yang bersangkutan telah berhasil diretas.
Tim pengembang PHP telah merilis pembaruan keamanan pada Rabu (21/10/2026) untuk menutup kedua celah kritis tersebut.
Pembaruan tersedia melalui PHP versi 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. Pengelola website, termasuk di Indonesia, diminta segera memeriksa versi PHP yang digunakan dan memasang patch keamanan terbaru untuk mengurangi risiko serangan.
