Daftar Isi

 

PHP2Shell Mengancam Website Dunia, Ini 9 Fakta Celah Keamanan yang Wajib Diketahui

Keamanan website kembali menjadi perhatian setelah munculnya PHP2Shell, rangkaian celah keamanan berisiko tinggi yang ditemukan pada PHP, salah satu bahasa pemrograman paling banyak digunakan untuk menjalankan situs web. Ancaman ini mendorong Badan Siber dan Sandi Negara (BSSN) mengingatkan pengelola website di Indonesia agar segera memeriksa sistem mereka dan menerapkan pembaruan keamanan yang tersedia.

PHP2Shell menjadi perhatian karena dampaknya tidak terbatas pada gangguan akses website. Jika berhasil dieksploitasi, celah ini berpotensi membuka jalan bagi penyerang untuk menjalankan perintah pada server, mencuri data, mengubah konten situs, hingga memasang akses tersembunyi untuk digunakan kembali pada kemudian hari.

Risikonya juga memiliki jangkauan luas. PHP menjadi fondasi bagi banyak website dan sistem pengelolaan konten, termasuk WordPress, Drupal, Joomla, dan MediaWiki. Artinya, persoalan keamanan pada lingkungan PHP bisa berdampak pada berbagai jenis layanan digital apabila sistem yang digunakan belum terlindungi.

Menariknya, celah yang menjadi perhatian pada 2026 ini dilaporkan telah ada selama lebih dari satu dekade. Kemajuan kecerdasan buatan (AI) turut membantu peneliti menemukan dan mengembangkan metode eksploitasi yang sebelumnya membutuhkan waktu serta keahlian teknis yang jauh lebih besar.

Lantas, apa sebenarnya PHP2Shell, bagaimana celah ini ditemukan, dan apa yang perlu dilakukan pengelola website? Berikut sembilan fakta penting yang perlu diketahui.

1. PHP2Shell Berasal dari Kerentanan pada Bahasa Pemrograman PHP

PHP merupakan bahasa pemrograman yang berjalan di sisi server atau server-side. Bahasa ini memungkinkan website menghasilkan konten secara dinamis, memproses formulir, mengelola sesi pengguna, berinteraksi dengan basis data, hingga menjalankan berbagai fungsi aplikasi web.

Ketika seseorang membuka halaman website yang menggunakan PHP, server dapat menjalankan kode tertentu untuk menghasilkan informasi yang kemudian dikirimkan ke peramban pengguna.

Karena perannya cukup penting, keamanan PHP ikut menentukan keamanan aplikasi yang berjalan di atasnya. Kesalahan pada komponen inti bahasa pemrograman dapat menimbulkan risiko bagi website yang menggunakan versi rentan dalam kondisi yang memungkinkan eksploitasi.

PHP2Shell merujuk pada dua kerentanan yang dilaporkan dalam pemberitaan mengenai insiden ini. Nama tersebut menggambarkan potensi dampaknya: kelemahan pada lingkungan PHP dapat dimanfaatkan untuk memperoleh kemampuan menjalankan perintah pada sistem yang terdampak.

Namun, bukan berarti semua website berbasis PHP otomatis telah diretas. Tingkat risiko setiap situs bergantung pada versi PHP yang digunakan, konfigurasi server, paparan layanan ke internet, dan penerapan pembaruan keamanan.

2. Ada Dua Kerentanan dengan Tingkat Keparahan Tinggi

PHP2Shell mencakup dua kerentanan yang diidentifikasi melalui nomor CVE-2026-109618 dan CVE-2026-109619.

CVE atau Common Vulnerabilities and Exposures merupakan sistem identifikasi yang digunakan untuk memberikan nomor unik pada kerentanan keamanan yang telah dicatat. Dengan identitas tersebut, pengembang, peneliti, dan pengelola sistem dapat merujuk pada masalah yang sama tanpa kebingungan mengenai nama atau deskripsinya.

Menurut informasi dalam sumber yang menjadi acuan, kedua kerentanan tersebut memperoleh skor keparahan 9,2 dari skala 10. Skor setinggi ini menunjukkan bahwa kerentanan perlu mendapat perhatian serius.

Meski demikian, skor keparahan tidak selalu berarti setiap server dapat langsung diserang dengan cara yang sama. Penilaian risiko aktual tetap harus mempertimbangkan kondisi sistem, konfigurasi, serta apakah jalur eksploitasi yang relevan tersedia pada lingkungan tersebut.

Bagi pengelola website, langkah yang paling penting bukan sekadar menghafal nomor CVE. Mereka perlu memastikan apakah server menggunakan versi PHP yang terdampak dan apakah pembaruan yang sesuai sudah diterapkan.

Baca juga : Lampu Kamar Mandi Sebaiknya Tetap Menyala? Ini 5 Alasannya dan Tips Hemat Listrik

3. Kerentanan Dilaporkan pada Agustus 2026

Rangkaian penemuan PHP2Shell melibatkan sejumlah peneliti keamanan siber. Berdasarkan laporan yang dikutip, tim peneliti dari perusahaan keamanan Calif yang bekerja sama dengan OpenAI melaporkan kerentanan pertama pada 11 Agustus 2026.

Selanjutnya, Wiz Research, tim riset keamanan dari perusahaan Wiz yang berada di bawah Google, menemukan kerentanan lainnya secara terpisah. Kerentanan kedua dilaporkan pada 24 Agustus 2026.

Penemuan oleh tim yang berbeda memperlihatkan bahwa persoalan keamanan perangkat lunak bisa menjadi perhatian banyak pihak ketika suatu komponen digunakan secara luas. Peneliti independen, perusahaan keamanan, dan pengembang perangkat lunak dapat melakukan investigasi secara paralel untuk mengidentifikasi masalah sebelum dampaknya meluas.

Dalam proses penanganan kerentanan, pelaporan kepada pengembang menjadi tahapan penting. Pengembang membutuhkan waktu untuk memvalidasi temuan, memahami penyebab masalah, menguji perbaikan, dan menyiapkan pembaruan yang dapat digunakan pengguna.

Koordinasi seperti ini membantu mengurangi risiko ketika informasi mengenai kelemahan keamanan mulai diketahui lebih luas. Karena itu, pengelola website sebaiknya mengikuti pengumuman resmi pengembang, bukan hanya mengandalkan diskusi di forum atau unggahan media sosial.

4. AI Membantu Peneliti Menemukan Celah yang Sudah Lama Ada

Salah satu aspek paling menarik dari PHP2Shell adalah peran kecerdasan buatan dalam proses penelitian keamanan.

Menurut informasi dari Wiz Research, kelemahan yang berkaitan dengan kasus ini telah ada selama lebih dari sepuluh tahun. Namun, mengubah kelemahan tersebut menjadi metode eksploitasi yang praktis bukan perkara mudah. Peneliti perlu menggabungkan beberapa kondisi teknis dan menyesuaikan pendekatan dengan karakteristik aplikasi serta lingkungan server.

Di sinilah AI membantu mempercepat pekerjaan. Model AI dapat mendukung analisis kode, mengidentifikasi pola yang mencurigakan, mengeksplorasi kemungkinan jalur serangan, dan membantu peneliti menguji hipotesis.

Wiz dilaporkan menggunakan agen keamanan Wiz Atlas bersama model Google Gemini 4 Argon dan OpenAI GPT-5.6 Sol dalam risetnya. Sementara itu, tim Calif juga menggunakan GPT-5.6 Sol untuk membantu menemukan kerentanan.

Wiz menyebut pendekatan berbantuan AI memungkinkan peneliti menyesuaikan metode eksploitasi terhadap berbagai aplikasi dalam hitungan jam. Pekerjaan yang sebelumnya berpotensi membutuhkan waktu berbulan-bulan pun dapat dipersingkat secara signifikan dalam kondisi tertentu.

Namun, AI bukan berarti dapat menemukan semua kerentanan secara otomatis atau menjamin setiap hasil analisis benar. Peneliti tetap perlu memverifikasi temuan, menguji perilaku perangkat lunak, dan memastikan dampak teknisnya.

Kasus PHP2Shell sekaligus menunjukkan bahwa AI memiliki dua sisi dalam keamanan siber. Teknologi ini dapat membantu tim pertahanan menemukan kelemahan lebih cepat, tetapi juga berpotensi menurunkan hambatan teknis bagi pihak yang ingin mengembangkan serangan.

5. Dampaknya Bisa Melampaui Website yang Tidak Bisa Diakses

Ketika mendengar sebuah website diretas, sebagian orang mungkin membayangkan halaman situs berubah atau layanan tidak bisa dibuka. Padahal, serangan yang memanfaatkan kerentanan server dapat menimbulkan dampak yang jauh lebih luas.

PHP2Shell berpotensi memungkinkan penyerang menjalankan perintah pada sistem yang rentan jika kondisi eksploitasi terpenuhi. Kemampuan tersebut dapat menjadi titik awal untuk melakukan tindakan berbahaya lainnya.

Salah satu risikonya adalah pencurian data. Jika server menyimpan informasi sensitif atau memiliki akses ke basis data, penyerang mungkin dapat mencoba mengambil informasi yang tidak seharusnya mereka akses.

Penyerang juga berpotensi mengubah konten website, menyisipkan kode berbahaya, atau mengganggu layanan. Dalam kasus tertentu, server yang telah dikuasai dapat dimanfaatkan untuk menyerang sistem lain atau menjalankan aktivitas ilegal.

Risiko lainnya adalah pemasangan backdoor, yaitu mekanisme akses tersembunyi yang memungkinkan penyerang kembali masuk ke sistem. Keberadaan backdoor menjadi persoalan serius karena memperbarui perangkat lunak saja belum tentu menghilangkan seluruh jejak kompromi.

Jika website diketahui telah dieksploitasi, pengelola perlu melakukan pemeriksaan insiden, mencari indikasi akses tidak sah, meninjau akun dan kredensial, serta memastikan tidak ada mekanisme akses tersembunyi yang tertinggal.

Dengan kata lain, menambal celah merupakan langkah penting, tetapi tidak selalu cukup jika penyerang sudah lebih dahulu berhasil masuk.

6. Berpotensi Berdampak pada Banyak Website di Seluruh Dunia

PHP memiliki posisi penting dalam ekosistem web. Berdasarkan data W3Techs yang dikutip dalam laporan sumber, bahasa pemrograman ini digunakan oleh sekitar 70 persen website yang teknologi pemrograman sisi servernya dapat diidentifikasi.

Angka tersebut menggambarkan luasnya penggunaan PHP dan menjelaskan mengapa kerentanan pada bahasa ini bisa mendapat perhatian global.

WordPress, misalnya, menggunakan PHP sebagai bagian penting dari sistemnya. Banyak website perusahaan, blog, portal berita, toko daring, hingga situs organisasi juga bergantung pada aplikasi berbasis PHP.

Meski demikian, angka 70 persen tersebut tidak boleh diartikan bahwa 70 persen website dunia pasti rentan terhadap PHP2Shell. Tidak semua situs menggunakan versi PHP yang terdampak, dan tidak semua konfigurasi menyediakan kondisi yang memungkinkan eksploitasi.

Website yang menggunakan PHP juga bisa memiliki lapisan perlindungan tambahan, seperti pembatasan akses, pemantauan keamanan, dan konfigurasi server yang tepat.

Namun, skala penggunaan PHP membuat proses inventarisasi menjadi sangat penting. Pengelola website harus mengetahui teknologi yang digunakan, versi perangkat lunak yang berjalan, serta komponen mana yang perlu diperbarui.

Tanpa inventarisasi yang baik, organisasi bisa saja tidak menyadari bahwa ada server lama atau aplikasi yang terlupakan dan masih terhubung ke internet.

7. Sejumlah Negara Mengambil Langkah Pencegahan

Dampak potensial PHP2Shell membuat sejumlah negara mengambil langkah untuk mengurangi risiko terhadap layanan digital mereka.

Indonesia melalui BSSN mengeluarkan peringatan kepada pengelola website agar melakukan langkah pengamanan. Jepang juga dilaporkan meminta organisasi terkait memeriksa apakah website publik mereka menggunakan PHP.

Sementara itu, laporan Reuters menyebut sejumlah situs atau layanan publik di Belanda, Denmark, Finlandia, dan Prancis sempat dinonaktifkan atau ditempatkan dalam mode pemeliharaan sebagai langkah pencegahan.

Tindakan seperti menonaktifkan sementara layanan memang dapat mengurangi paparan risiko pada situasi tertentu, terutama jika pengelola belum dapat memastikan keamanan sistem. Namun, langkah tersebut juga memiliki konsekuensi karena masyarakat mungkin kehilangan akses ke layanan penting.

Keputusan semacam ini biasanya perlu mempertimbangkan tingkat risiko, urgensi layanan, ketersediaan sistem cadangan, dan kemampuan tim teknis menerapkan mitigasi.

Bagi organisasi, respons terbaik bukan hanya bereaksi setelah peringatan diterbitkan. Pemantauan kerentanan, pencatatan aset digital, dan prosedur pembaruan rutin seharusnya menjadi bagian dari pengelolaan sistem sehari-hari.

8. Pembaruan Keamanan PHP Telah Dirilis

Untuk menangani PHP2Shell, tim pengembang PHP dilaporkan merilis pembaruan keamanan pada 21 Oktober 2026. Versi yang disebutkan dalam sumber meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35.

Pengelola website perlu memastikan versi yang digunakan dan memilih pembaruan yang sesuai dengan cabang PHP masing-masing. Nomor versi saja tidak cukup: pengguna juga perlu memeriksa pengumuman resmi untuk mengetahui cakupan perbaikan serta persyaratan pembaruan.

Sebelum melakukan pembaruan pada website produksi, sebaiknya buat cadangan data dan konfigurasi, lalu uji kompatibilitas aplikasi pada lingkungan pengujian jika tersedia. Langkah ini membantu mengurangi risiko gangguan layanan akibat perubahan versi.

Setelah pembaruan diterapkan, verifikasi bahwa server benar-benar menjalankan versi yang telah diperbaiki. Jangan hanya mengandalkan status pembaruan pada panel hosting karena beberapa server dapat menggunakan konfigurasi atau instalasi PHP yang berbeda.

Wiz Research juga dilaporkan bekerja sama dengan penyedia teknologi, termasuk Cloudflare, Google Cloud, Microsoft, Akamai, dan AWS, untuk membantu menangani persoalan tersebut.

Pengelola website yang menggunakan layanan hosting terkelola tetap perlu menghubungi penyedia layanan untuk memastikan tindakan mitigasi telah diterapkan. Namun, tanggung jawab pengguna terhadap aplikasi, plugin, tema, dan kredensial yang mereka kelola tetap harus diperhatikan.

9. Pengelola Website Perlu Memeriksa Sistem, Bukan Hanya Memperbarui PHP

Langkah menghadapi PHP2Shell sebaiknya dilakukan secara menyeluruh. Pembaruan perangkat lunak merupakan prioritas, tetapi keamanan website juga bergantung pada kondisi sistem secara keseluruhan.

Pertama, identifikasi seluruh server, website, dan aplikasi yang menggunakan PHP. Jangan lupa memeriksa subdomain, server pengujian, serta aplikasi lama yang mungkin tidak lagi dikelola secara aktif.

Kedua, perbarui PHP ke versi yang telah diperbaiki sesuai rekomendasi resmi. Jika pembaruan langsung belum memungkinkan karena kendala kompatibilitas, konsultasikan dengan penyedia hosting atau tim teknis untuk menentukan mitigasi sementara yang tepat.

Ketiga, tinjau log server dan aktivitas yang mencurigakan. Perhatikan indikasi akses tidak sah, perubahan berkas yang tidak dikenal, akun baru yang tidak dapat dijelaskan, serta proses yang berjalan di luar kebiasaan.

Keempat, pastikan plugin, tema, framework, dan komponen lain juga menggunakan versi yang aman. Website WordPress yang menjalankan PHP terbaru sekalipun masih dapat menghadapi risiko dari plugin rentan atau konfigurasi yang buruk.

Kelima, gunakan autentikasi yang kuat, batasi hak akses berdasarkan kebutuhan, dan simpan cadangan secara berkala. Cadangan yang terisolasi dari server utama akan lebih berguna ketika sistem harus dipulihkan setelah insiden.

Jika ditemukan indikasi kompromi, jangan berasumsi bahwa pembaruan otomatis menyelesaikan seluruh masalah. Lakukan investigasi, cabut akses yang tidak sah, ganti kredensial yang berpotensi bocor, dan pulihkan sistem dari sumber yang telah diverifikasi aman.

Kesimpulan

PHP2Shell menjadi pengingat bahwa kerentanan pada komponen dasar internet dapat berdampak luas, terutama ketika teknologi tersebut digunakan oleh banyak website. Kasus ini juga memperlihatkan bagaimana AI mampu mempercepat penelitian keamanan, sekaligus menuntut organisasi agar lebih sigap dalam mendeteksi dan menangani kelemahan perangkat lunak.

Bagi pengelola website, prioritas utama adalah memeriksa penggunaan PHP, menerapkan pembaruan keamanan yang sesuai, dan memastikan tidak ada tanda-tanda eksploitasi pada server. Jika sistem telanjur diretas, penanganannya harus mencakup investigasi serta pemulihan, bukan sekadar memasang tambalan.

Pada akhirnya, keamanan website bukan pekerjaan sekali selesai. Pembaruan rutin, pemantauan aktivitas, pencadangan data, dan pengelolaan akses yang baik menjadi fondasi untuk menjaga layanan digital tetap aman di tengah perkembangan ancaman siber.