PHP2Shell Guncang Dunia Maya: Dua Celah Kritis di PHP Memicu Kepanikan Global
Inforiau – 23 Oktober 2026 | Dunia teknologi digemparkan oleh temuan dua php vulnerabilities yang sangat kritis dan memungkinkan eksekusi kode jarak jauh tanpa autentikasi. Celah keamanan yang dijuluki “PHP2Shell” ini telah ada selama bertahun-tahun dalam bahasa pemrograman PHP yang menjadi tulang punggung sebagian besar situs web di internet. Penemuan ini pertama kali diungkap oleh alat kecerdasan buatan (AI) dan langsung memicu peringatan darurat dari berbagai badan keamanan siber di seluruh dunia.
Pada 21 Oktober 2026, tim keamanan PHP secara resmi merilis versi tambalan untuk dua php vulnerabilities tersebut, yaitu PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. Kedua celah memiliki nomor CVE-2026-109618 dan CVE-2026-109619 dengan skor severity 9.2 (Critical) pada skala CVSS v4.0. Meskipun beberapa laporan menyebutkan skor 10.0, penilaian resmi PHP adalah 9.2. Skor setinggi itu menandakan bahwa php vulnerabilities ini hampir mencapai tingkat bahaya tertinggi dan berpotensi dieksploitasi secara masif.
Kepala Keamanan Siber Singapura, Gwenda Fong, melalui unggahan di LinkedIn pada 22 Oktober 2026, mendesak seluruh organisasi di Negeri Merlion untuk segera bertindak. “Pesan saya kepada setiap organisasi di Singapura sederhana: Jangan menunggu,” tegasnya. Fong, yang juga menjabat sebagai CEO Cyber Security Agency of Singapore (CSA), mengingatkan bahwa banyak organisasi, terutama usaha kecil dan menengah yang bergantung pada vendor TI eksternal, mungkin tidak menyadari bahwa sistem mereka terdampak. CSA pun bekerja sama dengan berbagai pihak untuk mempercepat proses penambalan.
Dampak dari php vulnerabilities ini tidak main-main. Di Belanda, situs layanan kewarganegaraan sempat diturunkan sementara. Di Prancis, langkah serupa dipertimbangkan untuk situs-situs prefektur. Negara-negara seperti Denmark, Norwegia, Finlandia, Jepang, dan Korea Selatan mengeluarkan peringatan krisis siber dan segera melakukan pembaruan. Bahkan Türkiye melalui Direktorat Keamanan Sibernya menginstruksikan institusi publik dan swasta untuk bermigrasi ke versi PHP yang aman, serta melakukan pemindaian keamanan nasional. FBI dan NSA Amerika Serikat juga turut memperingatkan publik mengenai celah berbahaya ini.
Di India, CERT-In menandai kedua php vulnerabilities sebagai ancaman kritis. Sementara itu, di Jepang, tim keamanan PHP telah mengeluarkan pemberitahuan awal pada 21 Oktober sekitar pukul 04.30 waktu setempat, sebelum akhirnya merilis tambalan pada pukul 23.00. JPCERT/CC juga menerbitkan peringatan pada 22 Oktober. Para ahli menekankan bahwa keberadaan celah ini tidak serta-merta berarti data pribadi telah bocor, namun risiko teoretis terhadap situs yang menyimpan informasi sensitif tetap tinggi.
Langkah-langkah yang perlu segera dilakukan oleh organisasi meliputi:
- Mengidentifikasi sistem internal yang menggunakan PHP dan memeriksa versi yang aktif.
- Segera memperbarui ke versi PHP terbaru yang telah ditambal (8.5.12, 8.4.27, 8.3.36, atau 8.2.35).
- Melakukan pemindaian kerentanan dan pemantauan teknis secara berkala.
- Meningkatkan kesadaran akan pentingnya keamanan siber di lingkungan kerja.
Bagi pengguna internet sehari-hari, tetap waspada dan menerapkan langkah keamanan digital dasar sangat dianjurkan. Sementara itu, para pelaku bisnis dan institusi diminta untuk tidak menunda tindakan. Meskipun tambalan resmi telah tersedia, tanggung jawab untuk mengidentifikasi sistem yang terdampak dan memperbarui instalasi PHP sepenuhnya berada di tangan masing-masing organisasi.
Dengan skala penyebaran PHP yang sangat luas, php vulnerabilities ini menjadi pengingat keras bahwa ketergantungan pada perangkat lunak open source yang telah lama berjalan tanpa pembaruan dapat menjadi bumerang. Kolaborasi antara pemerintah, sektor swasta, dan komunitas keamanan siber menjadi kunci untuk mencegah eksploitasi lebih lanjut. Jangan tunggu sampai celah ini dimanfaatkan oleh aktor jahat—segera ambil tindakan dan pastikan infrastruktur digital Anda aman.
About the Author
