Receh.in — Dua celah keamanan kritis pada PHP memicu respons darurat di berbagai negara setelah diketahui dapat memungkinkan peretas mengambil alih server tanpa autentikasi dan membaca data sensitif dari memori sistem.
Kerentanan yang kemudian dikenal sebagai PHP2Shell menjadi perhatian besar bukan hanya karena tingkat bahayanya, tetapi karena PHP merupakan salah satu fondasi utama internet. Perusahaan keamanan siber Wiz memperkirakan teknologi ini digunakan oleh sekitar 70% website di dunia.
Yang membuat kasus ini semakin menarik, celah tersebut telah berada dalam kode PHP selama bertahun-tahun tetapi baru berhasil diungkap dan dikembangkan menjadi eksploit yang praktis dengan bantuan artificial intelligence atau AI.
Kasus PHP2Shell dengan demikian menunjukkan dua sisi AI sekaligus: teknologi yang sama dapat mempercepat pencarian celah keamanan, tetapi juga berpotensi menurunkan biaya dan waktu yang dibutuhkan penyerang untuk mengeksploitasinya.
Apa Itu PHP2Shell?
PHP2Shell merupakan sebutan untuk rangkaian eksploit yang memanfaatkan dua kelompok kerentanan kritis pada inti PHP.
Dua celah tersebut tercatat sebagai CVE-2026-109618 dan CVE-2026-109619.
Menurut Wiz, kerentanan tersebut berhubungan dengan masalah keamanan memori dalam cara PHP menangani kondisi error tertentu.
Dalam skenario yang berhasil dieksploitasi, penyerang dapat menjalankan kode dari jarak jauh tanpa perlu login terlebih dahulu atau membaca isi memori proses PHP.
Isi memori itu berpotensi mengandung password, token autentikasi, API key, hingga sertifikat yang digunakan server.
| Kerentanan | Risiko Utama |
|---|---|
| CVE-2026-109618 | Kebocoran memori dan kemungkinan eksekusi kode jarak jauh |
| CVE-2026-109619 | Korupsi memori dan remote code execution |
Mengapa Dampaknya Bisa Sangat Luas?
PHP digunakan sebagai bahasa pemrograman sisi server di berbagai jenis website.
Ekosistemnya mencakup WordPress, Drupal, Joomla, MediaWiki yang digunakan Wikipedia, toko daring, portal berita hingga sistem milik pemerintah dan perusahaan.
Masalah dalam kasus PHP2Shell bukan berada pada satu plugin atau satu aplikasi tertentu, melainkan pada PHP itu sendiri.
Karena itu, aplikasi yang secara kode terlihat aman tetap bisa terkena dampak apabila berjalan pada versi PHP yang rentan.
Wiz bahkan mendemonstrasikan eksploitasi terhadap instalasi WordPress, Drupal dan Joomla yang menggunakan versi mutakhir pada saat pengujian.
Celah Tersembunyi Lebih dari Satu Dekade
Salah satu hal paling menarik dari PHP2Shell adalah umur celahnya.
Menurut Wiz, setidaknya satu dari kerentanan yang ditemukan dapat memengaruhi versi PHP yang dirilis sejak PHP 5.4.
Artinya, bagian kode yang bermasalah telah bertahan lebih dari satu dekade tanpa tereksploitasi secara praktis atau setidaknya tanpa diketahui secara luas.
Masalahnya bukan karena tidak ada peneliti keamanan yang memeriksa PHP selama periode tersebut.
Justru kasus ini menunjukkan bahwa kompleksitas perangkat lunak modern dapat membuat sebagian kerentanan sangat sulit ditemukan dan lebih sulit lagi diubah menjadi eksploit yang bekerja.
AI Mengubah Ekonomi Peretasan
Di sinilah peran AI menjadi penting.
Wiz menggunakan kombinasi perangkat keamanan berbasis AI dan model frontier untuk membantu menemukan, menguji, serta mengembangkan eksploit terhadap kerentanan PHP.
OpenAI juga menyatakan bekerja bersama peneliti Calif, Wiz, pengembang PHP dan sejumlah perusahaan infrastruktur internet dalam proses penemuan, verifikasi dan koordinasi patch.
AI tidak menciptakan kerentanannya. Celah tersebut telah berada dalam perangkat lunak selama bertahun-tahun.
Yang berubah adalah biaya untuk menemukannya.
Pekerjaan yang sebelumnya mungkin memerlukan tim keamanan elite selama berbulan-bulan kini dapat dipercepat menjadi hitungan hari atau minggu.
Perubahan ini berpotensi mengubah ekonomi keamanan siber: celah yang dulu terlalu rumit untuk dieksploitasi dapat menjadi lebih menarik ketika AI menurunkan kebutuhan waktu, tenaga dan keahlian teknis.
Upaya Eksploitasi Muncul Bahkan Sebelum Pengumuman
Ancaman PHP2Shell tidak sepenuhnya bersifat teoritis.
Amazon Web Services melaporkan mendeteksi upaya eksploitasi yang menyerupai PHP2Shell sejak 17 Oktober 2026, empat hari sebelum kerentanan diumumkan secara publik.
Cloudflare kemudian melaporkan lonjakan besar permintaan yang berusaha mengeksploitasi celah tersebut setelah pengumuman.
Jumlah percobaan disebut meningkat dari ribuan menjadi puluhan ribu hanya dalam waktu singkat, kemudian berkembang menjadi ratusan ribu dan jutaan percobaan.
Banyaknya percobaan tidak berarti seluruh serangan berhasil. Namun angka tersebut menunjukkan betapa cepatnya penyerang mengadopsi informasi tentang kerentanan baru setelah detailnya tersedia.
Website Pemerintah hingga Layanan Publik Ikut Ditutup
Kekhawatiran terhadap PHP2Shell mendorong sejumlah lembaga memilih langkah ekstrem: menonaktifkan layanan untuk sementara.
Sejumlah situs pemerintah di Eropa, layanan pemerintah daerah di Skotlandia, serta institusi publik lain sempat tidak dapat diakses setelah peringatan keamanan dikeluarkan.
Wikimedia juga menonaktifkan sebagian sistemnya sebagai tindakan pencegahan.
Langkah tersebut memperlihatkan biaya ekonomi nyata dari sebuah kerentanan besar.
Bahkan jika serangan tidak pernah berhasil, organisasi tetap dapat menghadapi downtime, biaya audit keamanan, pembaruan sistem, investigasi, serta potensi kehilangan transaksi selama sistem dimatikan.
Risiko Bisnis Lebih Besar daripada Sekadar Website Error
Bagi perusahaan, celah semacam PHP2Shell bukan sekadar persoalan website tidak bisa dibuka.
Jika eksploitasi berhasil, risikonya dapat meluas ke pencurian data pelanggan, kredensial internal, token akses, serta sistem lain yang terhubung dengan server.
Konsekuensinya bisa berupa biaya pemulihan, gangguan operasi, kompensasi pelanggan, tuntutan hukum, penalti regulasi, hingga kerusakan reputasi.
Untuk perusahaan yang bisnisnya sangat bergantung pada layanan digital, downtime beberapa jam saja dapat berarti kehilangan transaksi yang material.
Karena itu, biaya keamanan siber semakin sulit dipandang hanya sebagai biaya teknologi. Ia merupakan bagian dari risiko operasional dan risiko keuangan perusahaan.
Ada Implikasi bagi Investor
Bagi investor saham, kasus PHP2Shell memberi pelajaran yang lebih luas.
Semakin digital sebuah perusahaan, semakin besar ketergantungannya pada infrastruktur perangkat lunak yang tidak seluruhnya dibangun sendiri.
Bank digital, e-commerce, fintech, marketplace, perusahaan cloud, data center, hingga operator telekomunikasi bergantung pada puluhan atau bahkan ratusan komponen perangkat lunak pihak ketiga.
Satu celah dalam komponen yang sangat luas digunakan dapat menghasilkan biaya yang tidak terlihat sebelumnya di laporan keuangan.
Investor karena itu dapat mulai memperhatikan beberapa hal: belanja keamanan siber, rekam jejak kebocoran data, ketergantungan pada sistem lama, kualitas tata kelola teknologi, serta kemampuan perusahaan merespons insiden.
Perusahaan yang terlihat efisien karena menekan belanja TI belum tentu benar-benar lebih sehat jika penghematan tersebut menghasilkan utang teknologi dan risiko keamanan yang besar.
Cloudflare Sudah Pasang Perlindungan Otomatis
Sejumlah penyedia infrastruktur internet bergerak sebelum kerentanan diumumkan luas.
Cloudflare menyatakan pelanggan yang menggunakan Web Application Firewall atau WAF, termasuk pengguna paket gratis, memperoleh perlindungan otomatis terhadap pola eksploitasi PHP2Shell sejak 21 Oktober 2026.
Namun WAF bukan pengganti pembaruan PHP.
Solusi utama tetap memasang versi PHP yang sudah diperbaiki karena kerentanan berada pada mesin PHP itu sendiri.
Versi PHP yang Sudah Diperbaiki
Pengembang PHP merilis pembaruan darurat pada 21 Oktober 2026.
| Cabang PHP | Versi yang Sudah Ditambal |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Pengelola server disarankan memperbarui PHP sesegera mungkin dan memastikan layanan PHP dimulai ulang setelah pembaruan diterapkan.
Bagi pengguna WordPress, memperbarui WordPress atau plugin saja tidak cukup apabila versi PHP di server masih rentan.
Jika website menggunakan managed hosting, pemilik situs perlu memastikan penyedia hosting telah memperbarui runtime PHP yang digunakan.
Paradoks AI: Menemukan Celah sekaligus Membuat Serangan Lebih Murah
PHP2Shell mungkin akan dikenang bukan hanya sebagai kerentanan PHP.
Kasus ini memberikan gambaran awal bagaimana AI dapat mengubah siklus keamanan perangkat lunak.
Di sisi pertahanan, AI dapat memeriksa jutaan baris kode, menemukan pola anomali, membantu membuat eksploit untuk membuktikan risiko, lalu membantu memvalidasi patch.
Namun kemampuan yang sama pada akhirnya juga tersedia bagi penyerang.
Kompleksitas kode selama ini secara tidak langsung menjadi salah satu penghalang eksploitasi. Sebagian celah mungkin diketahui secara teoritis tetapi terlalu mahal untuk dikembangkan menjadi serangan nyata.
AI berpotensi menghapus sebagian penghalang tersebut.
Jika itu terjadi, konsekuensinya sederhana: jumlah kerentanan yang secara ekonomis layak dieksploitasi bisa meningkat.
Catatan kerentanan: PHP2Shell mengacu pada rangkaian eksploit terhadap CVE-2026-109618 dan CVE-2026-109619. Dampak aktual bergantung pada versi PHP, konfigurasi server, dan kondisi eksploitasi.
Catatan angka 70%: Estimasi penggunaan PHP pada sekitar 70% website berasal dari Wiz. Angka tersebut tidak berarti 70% website pasti berhasil diretas.
Catatan serangan: Jumlah percobaan eksploitasi tidak sama dengan jumlah sistem yang berhasil ditembus.
Disclaimer: Artikel ini bersifat informatif. Pengelola sistem sebaiknya mengikuti panduan resmi PHP dan penyedia infrastruktur masing-masing untuk tindakan mitigasi.
0 Komentar