PHP dalam Bahaya: Dua Celah Kritis Bikin Situs Pemerintah Eropa Offline, FBI dan Jepang Keluarkan Peringatan Darurat

Inforiau – 22 Oktober 2026 | Dunia maya diguncang oleh krisis keamanan besar yang berpusat pada PHP, bahasa pemrograman yang menjadi tulang punggung lebih dari 70 persen situs web di seluruh dunia. Dua kerentanan kritis yang teridentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619 telah memicu respons darurat global, mulai dari penutupan situs pemerintah di Eropa hingga peringatan resmi dari FBI dan pemerintah Jepang. Kedua celah ini dinilai memiliki tingkat keparahan 9,2 dari 10 pada skala CVSS v4.0, yang berarti dampaknya sangat merusak dan berpotensi dieksploitasi secara masif.

Menurut laporan yang dihimpun, kerentanan ini memungkinkan penyerang untuk mengeksekusi kode dari jarak jauh tanpa autentikasi dalam konfigurasi server tertentu. Artinya, peretas dapat mengambil alih kendali server, mencuri data sensitif, merusak situs web, atau bahkan mengompromikan seluruh sistem. Tim pengembang PHP pun bergerak cepat dengan merilis tambalan darurat pada Rabu, 21 Oktober 2026, setelah sebelumnya sempat menunda publikasi detail teknis untuk mencegah eksploitasi dini. Namun, jendela waktu antara pengumuman dan penerapan patch menjadi momen paling kritis yang harus diwaspadai semua pihak.

Respons Global: Dari Penutupan Situs hingga Peringatan FBI

Gelombang kepanikan terlihat nyata di Eropa. Situs web pemerintah di Belanda dan Finlandia terpaksa dinonaktifkan sementara sebagai langkah pencegahan. Badan keamanan siber Uni Eropa (CERT-EU) mengeluarkan peringatan tegas agar organisasi yang tidak dapat segera menerapkan patch mempertimbangkan untuk mematikan situs web mereka. “Kami melihat serangan awal mulai muncul dan terus memperbarui mitigasi seiring munculnya vektor baru. Ini hanya tambalan sementara. Segera tambal setelah PHP merilis pembaruan,” ujar Dane Knecht, CTO Cloudflare, melalui media sosial X.

Di Amerika Serikat, FBI melalui Divisi Siber merilis imbauan mendesak. Mereka meminta organisasi untuk segera memperbarui instalasi PHP, menginventarisasi semua sistem yang berjalan di atasnya, dan memantau aktivitas mencurigakan seperti proses PHP yang tiba-tiba membuka shell perintah atau mengunduh file. “Jika pembaruan segera tidak memungkinkan, kami merekomendasikan agar organisasi menonaktifkan sistem hingga dapat dimitigasi sepenuhnya,” tulis FBI. Sementara itu, Perdana Menteri Jepang Sanae Takaichi juga mengeluarkan peringatan “dengan sangat mendesak” agar operator situs web memeriksa penggunaan PHP dan bersiap menerapkan patch. Badan Keamanan Siber Nasional Jepang menambahkan bahwa situs yang tidak dapat ditambal harus segera dihentikan sementara.

Hosting dan Provider: Antara Proteksi Sementara dan Keterlambatan Patch

Di balik layar, para penyedia layanan hosting berjuang keras melindungi jutaan situs yang mereka kelola. Pemeriksaan langsung yang dilakukan jurnalis terhadap dua akun hosting di o2switch mengungkap bahwa pada pukul 16.40, biner PHP yang terpasang masih versi lama (8.3.35 dan 8.4.26), meskipun versi perbaikan (8.3.36 dan 8.4.27) sudah dirilis. Namun, o2switch telah lebih dulu mengantisipasi dengan menonaktifkan fitur session.upload_progress pada pukul 08.07 pagi. Langkah ini memang mengurangi permukaan serangan untuk salah satu dari dua kerentanan, tetapi tidak sepenuhnya menambal masalah. Pihak o2switch menyatakan akan segera menyebarkan patch setelah tersedia dan tervalidasi untuk infrastruktur mereka, sambil menunggu paket perbaikan dari CloudLinux yang juga menyiapkan patch untuk versi PHP lama hingga 5.2.

OVHcloud mengklaim telah menerapkan aturan WAF (Web Application Firewall) pada klaster mereka dan memulai kampanye pemeliharaan. SiteGround menyatakan telah mengaplikasikan proteksi di seluruh server sebelum patch resmi keluar. Cloudflare juga melindungi pelanggan yang menggunakan firewall aplikasinya secara default, termasuk pada paket gratis. Meski demikian, CERT-EU mengingatkan bahwa langkah-langkah sementara ini tidak setara dengan perbaikan menyeluruh. Masalah lain yang tak kalah pelik adalah masih banyaknya server yang menjalankan versi PHP usang. Data dari Mallory menunjukkan hampir 59 persen server terekspos yang menampilkan versi PHP masih menggunakan PHP 8.1 atau lebih lama, yang sudah tidak didukung secara resmi.

Dampak dan Imbauan bagi Pemilik Situs

Kerentanan ini tidak hanya mengancam situs besar, tetapi juga platform populer seperti WordPress, Drupal, Joomla, dan Magento yang berjalan di atas PHP. Bahkan, banyak perangkat lunak yang tidak secara eksplisit menyebut PHP sebagai basisnya tetap terpengaruh. Wordfence, plugin keamanan untuk WordPress, memperingatkan bahwa pembaruan otomatis tidak akan menerapkan perbaikan ini, sehingga pemilik situs harus memastikan siapa yang bertanggung jawab memperbarui PHP di lingkungan mereka. Langkah-langkah yang direkomendasikan meliputi:

Segera perbarui PHP ke versi terbaru yang telah ditambal (8.3.36 atau 8.4.27, dan versi yang sesuai untuk cabang lain).
Jika tidak memungkinkan, nonaktifkan sementara situs web hingga patch dapat diterapkan.
Pantau log server secara aktif untuk mendeteksi aktivitas mencurigakan, seperti eksekusi perintah tak terduga atau upaya pengunduhan file.
Gunakan firewall aplikasi web (WAF) sebagai lapisan pertahanan tambahan.
Pastikan semua komponen, termasuk CMS dan plugin, diperbarui secara rutin.

Para ahli keamanan menyebut momen ini sebagai titik kritis. Jeroen Baert, ilmuwan komputer dari VRT NWS, menyatakan bahwa setelah patch dipublikasikan, para pelaku kejahatan siber justru mengetahui celah yang ada dan dapat memanfaatkannya sebelum semua pihak sempat memperbarui. “Kami berada di semacam titik balik. Sekarang solusi untuk kerentanan telah dipublikasikan, para penjahat maya juga tahu apa yang terjadi. Mereka dapat menyalahgunakan kesalahan ini,” ujarnya. Karena itu, mengambil situs offline untuk sementara waktu dinilai sebagai tindakan pencegahan yang bijak, karena risiko kehilangan data dan akses sistem jauh lebih besar daripada kerugian sementara akibat downtime.

OpenAI melalui akun X-nya mengungkapkan bahwa model mereka membantu peneliti menemukan kedua celah ini, dan menyebutnya sebagai salah satu kerentanan paling penting dalam beberapa waktu terakhir. Sementara itu, watchTowr, perusahaan keamanan siber, mengonfirmasi telah mengamati upaya eksploitasi di jaringan umpan global mereka, dan Cloudflare mendeteksi lalu lintas serangan yang nyata. Meski belum ada bukti suksesnya kompromi besar, fakta bahwa serangan sudah dimulai menegaskan bahwa waktu sangat berharga.

Dengan lebih dari 70 persen situs web global bergantung pada PHP, krisis ini menjadi pengingat keras akan pentingnya tata kelola patch yang cepat dan koordinasi lintas sektor. Pemerintah, penyedia hosting, dan pengembang harus bahu-membahu memastikan pembaruan tidak hanya tersedia, tetapi benar-benar terpasang di server. Bagi pemilik situs, jangan menunggu hingga terlambat. Periksa versi PHP Anda sekarang, terapkan patch, dan jika ragu, matikan sementara layanan Anda. Keamanan siber bukanlah pilihan, melainkan keharusan di era digital yang serba terhubung ini.