JAKARTA, koranmetro.com – Badan Siber dan Sandi Negara (BSSN) mengeluarkan peringatan keamanan terkait dua celah kritis pada bahasa pemrograman PHP yang dijuluki PHP2Shell. Kerentanan ini dinilai berisiko tinggi karena dapat memungkinkan penyerang mengambil alih server dari jarak jauh. Berikut sembilan fakta penting yang perlu diketahui pengelola website.
1. PHP2Shell Adalah Dua Kerentanan Kritis Sekaligus
PHP2Shell merujuk pada dua celah keamanan dengan kode CVE-2026-109618 dan CVE-2026-109619. Keduanya memiliki skor keparahan 9,2 dari skala 10 (CVSS), sehingga masuk kategori kritis.
2. Berpotensi Eksekusi Kode Jarak Jauh tanpa Autentikasi
Celah ini memungkinkan penyerang menjalankan kode berbahaya di server secara remote tanpa perlu login atau memiliki kredensial. Dalam kondisi tertentu, serangan bisa terjadi bahkan sebelum kode aplikasi website dijalankan.
3. Ditemukan dengan Bantuan AI
Kerentanan ini ditemukan oleh peneliti dari perusahaan keamanan Calif (bekerja sama dengan OpenAI) dan Wiz (milik Google). AI membantu mempercepat penemuan dan pengembangan teknik eksploitasi yang sebelumnya dianggap sangat sulit dilakukan secara manual.
4. Sudah Ada sejak Lama di Kode PHP
Celah tersebut telah tersembunyi dalam kode PHP selama bertahun-tahun (bahkan sejak versi lama). Namun, baru terungkap dan dilaporkan secara formal pada Agustus 2026, lalu diumumkan ke publik sekitar 20–21 Oktober 2026.
5. Mengancam Sekitar 70 Persen Website Dunia
PHP digunakan oleh sekitar 70 persen situs web yang teknologinya dapat diidentifikasi, termasuk platform populer seperti WordPress, Joomla, Drupal, dan berbagai aplikasi berbasis PHP lainnya. Karena celah berada di inti PHP, dampaknya bisa sangat luas.
6. Versi PHP yang Terdampak Cukup Banyak
Hampir semua versi PHP dari yang lama hingga 8.5 berpotensi terdampak. Versi yang sudah mendapatkan perbaikan resmi adalah:
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
Versi 8.1 ke bawah sudah berstatus end-of-life dan tidak lagi mendapat dukungan resmi.
7. BSSN Resmi Mengeluarkan Peringatan
Pada 22 Oktober 2026, BSSN menerbitkan security advisory yang mengimbau seluruh pengelola website di Indonesia untuk segera memeriksa dan memperbarui versi PHP yang digunakan. Peringatan ini juga disosialisasikan bersama Kementerian Komunikasi dan Digital (Komdigi).
8. Mitigasi Utama: Segera Perbarui PHP
Langkah paling efektif adalah memperbarui PHP ke versi yang sudah ditambal. Selain itu, pengelola disarankan:
- Memastikan seluruh lingkungan (PHP-FPM, Apache mod_php, atau cgi) ikut diperbarui
- Me-restart layanan web setelah pembaruan
- Memantau log server dari aktivitas mencurigakan
- Membatasi akses jika pembaruan belum bisa dilakukan segera
9. Sudah Ada Upaya Eksploitasi di Alam Liar
Setelah informasi celah beredar, sejumlah upaya eksploitasi terdeteksi di berbagai honeypot dan sistem pemantauan keamanan. Meskipun belum ada laporan besar tentang kompromi massal yang terkonfirmasi, risiko tetap tinggi bagi sistem yang belum diperbaiki.
Apa yang Harus Dilakukan Pengelola Website?
- Cek versi PHP yang sedang berjalan di server (bukan hanya versi CMS).
- Segera lakukan pembaruan ke versi yang aman.
- Backup data sebelum melakukan update.
- Pantau perkembangan advisory dari BSSN dan sumber resmi PHP.
- Terapkan prinsip keamanan berlapis (firewallwall, monitoring, dan pembatasan akses).
Celah PHP2Shell menjadi pengingat bahwa keamanan infrastruktur dasar seperti bahasa pemrograman server sangat krusial. Karena dampaknya bisa sangat luas, respons cepat dari pengelola website sangat diperlukan.
Jangan menunda pembaruan. Semakin cepat sistem diperbaiki, semakin kecil peluang dimanfaatkan pihak tidak bertanggung jawab. Keamanan website bukan hanya tanggung jawab teknis, tetapi juga bagian dari menjaga kepercayaan pengguna dan kelangsungan layanan digital.
