NADIKABAR.COM — Gelombang kepanikan tengah melanda jagat maya setelah ditemukannya dua celah keamanan kritis berlabel PHP2Shell. Celah ini memaksa berbagai platform populer seperti Wikipedia, 4chan, DeviantArt, hingga game Pokémon Home dan Pokémon Champions melakukan tindakan darurat.

Bahkan, badan keamanan siber AS (NSA) dan Inggris (NCSC) mengimbau pengelola situs untuk mematikan sistem mereka sementara jika belum sanggup melakukan pembaruan.

Lantas, apa sebenarnya PHP2Shell, seberapa berbahaya dampaknya bagi pengguna internet, dan bagaimana bug kuno ini bisa mendadak mengancam jutaan situs web?

Secara sederhana, PHP adalah bahasa pemrograman utama yang menopang sekitar 69,3% situs web di seluruh dunia, termasuk semua situs yang dibangun menggunakan platform WordPress.

PHP2Shell merupakan julukan untuk dua celah keamanan kritis (CVE-2026-109618 dan CVE-2026-109619) yang ditemukan pada bahasa PHP. Celah ini memungkinkan terjadinya unauthenticated Remote Code Execution (RCE)--sebuah istilah teknis yang berarti peretas dapat menyusup dan menjalankan kode berbahaya dari jarak jauh.

Bahaya utama dari PHP2Shell meliputi:

Firma keamanan Wiz dan OpenAI bahkan menilai PHP2Shell sebagai salah satu insiden keamanan siber paling parah dalam sejarah perangkat lunak.

Hal yang paling mengejutkan dari PHP2Shell adalah usianya. Celah ini sebenarnya sudah mengendap diam-diam di dalam kode PHP selama kurang lebih 20 tahun.

Mengapa baru mengancam sekarang? Dahulu, untuk mengeksploitasi celah ini dibutuhkan rantai langkah teknis (attack chain) yang sangat rumit dan berada di batas luar kemampuan analisis manusia secara manual.

Namun, peta permainan berubah setelah kelompok peneliti Calif memanfaatkan model AI GPT-5.6 Sol, serta firma Wiz yang juga menggunakan AI untuk membongkar celah tersebut.

Sayangnya, teknologi AI menjadi pedang bermata dua. Dengan bantuan model AI canggih saat ini, rantai eksploitasi yang dahulunya hampir mustahil dilakukan oleh manusia kini menjadi sangat mudah dan praktis untuk dieksekusi oleh peretas.

Pihak Cloudflare bahkan mengonfirmasi telah mendeteksi adanya gelombang serangan awal yang mulai memanfaatkan celah ini di alam liar.

Bagi pengguna internet awam, ancaman ini tidak menyerang perangkat smartphone atau PC secara langsung. Namun, situs yang telah diretas dapat membahayakan pengunjung melalui penyebaran malware.

Bagi pemilik situs web (terutama pengguna WordPress dan layanan web hosting seperti GoDaddy, Hostinger, atau Bluehost):

Mematikan situs sementara saat proses pembaruan dilakukan jauh lebih aman daripada membiarkan server menjadi sasaran empuk peretasan, demikian dikutip NadiKabar dari The Verge, Jumat (23/10/2026).