JAKARTA, koranmetro.com – Sejumlah situs web pemerintah dan perusahaan di berbagai negara sementara dinonaktifkan pada 21–22 Oktober 2026. Langkah ini diambil sebagai bentuk pencegahan setelah ditemukan dua celah keamanan kritis pada bahasa pemrograman PHP yang menopang sekitar 70 persen situs web di dunia.
Kerentanan tersebut berhasil diungkap dengan bantuan kecerdasan buatan (AI) dan dinilai sebagai salah satu temuan keamanan paling serius dalam sejarah PHP.
Apa yang Terjadi?
Dua celah keamanan, yang terdaftar sebagai CVE-2026-109618 dan CVE-2026-109619 serta dijuluki PHP2Shell, memungkinkan penyerang menjalankan kode berbahaya dari jarak jauh tanpa perlu autentikasi. Celah ini berada di mesin inti PHP, sehingga bahkan situs dengan kode aplikasi yang bersih pun berpotensi terdampak.
Selain remote code execution, kerentanan ini juga bisa dimanfaatkan untuk membaca data sensitif di memori server, seperti kata sandi, token autentikasi, dan kunci API.
PHP digunakan secara luas pada platform populer seperti WordPress, Drupal, Joomla, dan Laravel, serta berbagai layanan pemerintah, toko daring, dan portal berita.
Peran AI dalam Penemuan
Kerentanan ini ditemukan oleh perusahaan keamanan siber Calif dan Wiz dengan bantuan model AI canggih, termasuk GPT-5.6 Sol dari OpenAI dan Gemini dari Google.
Menurut para peneliti, celah tersebut sudah tersembunyi dalam kode PHP selama lebih dari satu dekade. Namun, tingkat kompleksitasnya membuat eksploitasi secara manual sangat sulit. AI membantu mempercepat analisis kode, mengembangkan teknik serangan, dan memvalidasi perbaikan.
OpenAI menyebut temuan ini sebagai salah satu contoh dampak AI terhadap keamanan siber dalam skala internet.
Respons Pengembang dan Otoritas
Pengembang PHP segera merilis perbaikan pada 21 Oktober 2026 untuk versi:
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
Versi PHP 8.1 ke bawah tidak lagi mendapat dukungan resmi.
Badan Keamanan Nasional Amerika Serikat (NSA) serta otoritas di Jepang, Uni Eropa, dan negara lain mendesak organisasi untuk segera memperbarui sistem atau menonaktifkan sementara layanan yang rentan.
Akibatnya, sejumlah situs pemerintah di Eropa, Australia, dan wilayah lain sempat offline sebagai langkah pencegahan. Beberapa rumah sakit, lembaga transportasi, dan media juga melakukan pemeliharaan darurat.
Dampak dan Peringatan
Meskipun belum ada laporan serangan besar-besaran yang berhasil, upaya eksploitasi sudah terdeteksi sejak beberapa hari sebelum pengumuman resmi. Pakar keamanan memperingatkan bahwa sistem yang belum diperbarui tetap berisiko dalam jangka waktu lama.
Pengelola situs web diimbau untuk:
- Segera memperbarui versi PHP
- Memantau log server dari aktivitas mencurigakan
- Mempertimbangkan langkah mitigasi tambahan jika pembaruan belum memungkinkan
Temuan dua celah kritis PHP yang dibantu AI menjadi pengingat kuat bahwa keamanan perangkat lunak sumber terbuka semakin bergantung pada kemampuan deteksi modern. Dengan PHP yang masih menjadi fondasi sebagian besar internet, kecepatan respons dalam memasang patch menjadi sangat krusial.
Bagi pemilik dan pengelola situs, langkah paling penting saat ini adalah memastikan sistem sudah diperbarui ke versi yang aman. Keterlambatan bisa membuka peluang serius bagi pihak yang ingin memanfaatkan celah tersebut.
