Pemerintah dan perusahaan di sejumlah negara mematikan sementara layanan web mereka pekan ini setelah dua celah keamanan kritis pada PHP — bahasa pemrograman yang menopang sekitar 70 persen situs dunia — dibuka ke publik lebih cepat dari rencana. Di Indonesia, Badan Siber dan Sandi Negara (BSSN) dan Kementerian Komunikasi dan Digital (Komdigi) meminta pemilik serta pengelola website bertindak tanpa menunggu.
Celah yang dijuluki PHP2Shell itu terdaftar sebagai CVE-2026-109618 dan CVE-2026-109619. Keduanya diberi skor CVSS v4.0 9,2 dan memungkinkan penyerang menjalankan kode berbahaya dari jarak jauh (remote code execution/RCE) tanpa perlu autentikasi — tanpa kata sandi, tanpa memancing korban mengklik tautan apa pun.
Apa yang sebenarnya bocor
Menurut pengumuman resmi tim keamanan PHP, kedua celah berakar pada cara PHP mengelola memori saat melayani permintaan web:
- CVE-2026-109618 — penanganan kondisi kehabisan memori menghentikan proses PHP saat data internal permintaan baru terisi sebagian, dan proses pembersihan berikutnya bisa membaca data tidak valid itu sebagai data sah.
- CVE-2026-109619 — status internal milik satu permintaan bisa tetap hidup setelah memori pendukungnya dibebaskan. Permintaan berikutnya di pekerja (worker) yang sama berpotensi memakai sisa status itu sebelum inisialisasi normal meresetnya.
PHP merilis perbaikan pada 21 Oktober 2026 untuk versi 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 — sehari lebih cepat dari jadwal, karena detail kerentanan bocor di media sosial dan memaksa Yayasan PHP mengumumkan temuannya sebelum patch lengkap siap.
Mengapa 70 persen internet disebut terdampak
PHP adalah perangkat lunak sumber terbuka berusia puluhan tahun yang menjadi fondasi WordPress, Drupal, Joomla, Magento, hingga MediaWiki yang menjalankan Wikipedia. Perusahaan keamanan Wiz memperkirakan "sekitar 70 persen" internet terkena dampak, meski angka itu belum bisa diverifikasi independen oleh BBC.
Kerusakannya bukan sekadar soal jumlah situs. Karena PHP sering tertanam di balik layar — di panel kontrol, platform hosting bersama, atau produk pihak ketiga — banyak organisasi tidak langsung tahu bahwa sistem mereka memakainya. "Penggunaan PHP sangat merata, ia bisa berada di bawah situs publik, sistem manajemen konten, platform hosting, dan produk pihak ketiga," kata Don Smith dari Sophos Counter Threat Unit.
Situs pemerintah tutup, layanan publik terganggu
Situs RIVM dan parlemen Belanda (Tweede Kamer) tak bisa diakses, begitu pula situs Dewan Kota Edinburgh dan sejumlah laman program BBC. Pemerintah Inggris menyatakan 32 layanannya tidak tersedia dan empat sebagian tidak tersedia — sebagian besar karena langkah pencegahan. NSA di Amerika Serikat menyarankan organisasi yang belum bisa menambal sistemnya untuk mempertimbangkan mematikan sistem tersebut, sementara Perdana Menteri Jepang Sanae Takaichi mengimbau warganya memeriksa apakah situs mereka berjalan di atas PHP.
Peringatan BSSN dan Komdigi
BSSN mengeluarkan security advisory pada Kamis, 22 Oktober 2026. Lembaga itu menyebut versi yang terdampak adalah PHP 8.2, 8.3, 8.4, dan 8.5, sedangkan PHP 8.1 dan yang lebih lama — yang sudah berstatus end-of-life (EOL) — juga berpotensi terdampak. Dalam cuitannya di X, BSSN meminta pemilik dan pengelola website mengambil alih pengamanan untuk menekan risiko serangan siber.
Langkah mitigasi yang direkomendasikan BSSN: memastikan pembaruan diterapkan pada seluruh runtime PHP yang dipakai layanan web; memperbarui ke versi yang sudah diperbaiki; dan bila pembaruan belum bisa dilakukan, membatasi akses jaringan ke sistem terdampak atau mengisolasi layanan yang terhubung ke internet hingga patch terpasang.
Komdigi menegaskan hal senada: "Tindakan utama untuk menutup kedua kerentanan ini adalah memasang security update yang sesuai; perubahan konfigurasi saja tidak memberikan perlindungan menyeluruh." Yayasan PHP menambahkan satu penyesuaian sementara — `session.upload_progress.enabled=0` sampai rilis perbaikan rutin berikutnya — untuk menutup satu vektor RCE yang kecil kemungkinannya.
Serangan sudah terdeteksi, korban belum terkonfirmasi
Amazon mendeteksi upaya eksploitasi PHP2Shell sekitar 17 Oktober, beberapa hari sebelum patch tersedia. Setelah patch dirilis, aktivitas serangan melonjak. Sophos menganalisis upaya penyebaran "Potassium", varian botnet Mirai yang bisa mengunduh malware tambahan dan melancarkan serangan DDoS — namun upaya itu berhasil dihentikan sehingga malware tidak sampai ke sistem target.
Sejauh ini belum ada satu pun vendor keamanan yang melaporkan kompromi sukses di lapangan. Sansec, yang semula memperkirakan eksploitasi massal dalam 15 menit setelah patch, merevisi pandangannya: penyerang butuh pengetahuan rinci tentang server target, dan eksploit publik yang beredar gagal pada instalasi PHP dengan pengaturan bawaan. VulnCheck mengklaim memiliki eksploit yang mampu melewati proteksi address space layout randomization (ASLR) pada konfigurasi produksi, tetapi hanya tersedia bagi pelanggan intelijennya.
Kesimpulannya: situasinya belum menjadi bencana, tapi belum selesai. Jutaan sistem tetap belum ditambal.
Yang perlu dilakukan pengelola situs di Indonesia
Bagi pemilik situs, blog, toko online, atau sistem internal berbasis WordPress, Drupal, Joomla, dan sejenisnya, prioritasnya berurutan:
1. Cek versi PHP yang dipakai hosting — banyak penyedia menyediakan tombol penggantian versi di panel kontrol.
2. Perbarui ke 8.5.12, 8.4.27, 8.3.36, atau 8.2.35 sesuai jalur versi, dan jangan bertahan di PHP 8.1 atau lebih lama yang tak lagi mendapat dukungan resmi.
3. Jangan hanya mengubah konfigurasi dan menganggap aman.
4. Pantau log akses untuk tanda aktivitas mencurigakan, karena eksploitasi bisa terjadi sebelum patch terpasang.
5. Periksa perangkat dan layanan pihak ketiga yang menanam PHP di dalamnya.
Teknologi lama yang menopang hampir seluruh web kini menjadi titik lemah bersama — dan seperti ditulis TechCrunch, ini kemungkinan bukan skandal perangkat lunak besar terakhir. Dengan AI yang mulai dipakai untuk memburu kerentanan, pertanyaan berikutnya bukan lagi apakah temuan seperti PHP2Shell akan terulang, melainkan seberapa cepat industri bisa menambal sebelum penyerang mendahului.