Celah PHP2Shell Ancam Server dan Data Jutaan Situs Web

Dua kerentanan kritis pada PHP memicu langkah pengamanan darurat di sejumlah layanan internet besar. Celah bernama PHP2Shell memungkinkan penyerang menjalankan kode dari jarak jauh tanpa harus masuk menggunakan akun resmi. Dilansir dari Detik iNET, ancaman ini mendorong pengelola situs untuk segera memperbarui sistem atau menonaktifkan layanan sementara.

Wikipedia, 4chan, DeviantArt, serta layanan permainan Pokémon Home dan Pokémon Champions termasuk platform yang disebut mengambil tindakan darurat. Badan keamanan siber Amerika Serikat, NSA, dan lembaga Inggris, NCSC, juga mengimbau pengelola situs agar menghentikan sementara operasional sistem jika pembaruan keamanan belum dapat diterapkan.

PHP merupakan bahasa pemrograman yang digunakan oleh sekitar 69,3% situs web di seluruh dunia. Teknologi ini juga menjadi fondasi bagi situs yang dibangun menggunakan WordPress, sehingga kerentanan pada PHP berpotensi berdampak luas terhadap layanan berbasis teknologi tersebut.

PHP2Shell adalah sebutan untuk dua celah keamanan yang tercatat dengan identitas CVE-2026-109618 dan CVE-2026-109619. Keduanya memungkinkan terjadinya eksekusi kode jarak jauh tanpa autentikasi, atau unauthenticated Remote Code Execution (RCE).

Dalam kondisi tersebut, penyerang dapat menjalankan instruksi berbahaya pada server dari lokasi lain tanpa terlebih dahulu memasukkan kata sandi atau menggunakan akun administrator. Kemampuan ini membuat kerentanan tersebut berisiko tinggi bagi sistem yang belum mendapatkan perbaikan.

Dampak yang mungkin timbul mencakup beberapa aspek utama:

• Penguasaan server: Penyerang berpotensi mengambil kendali penuh atas server tanpa memerlukan akses administrator.
• Pencurian informasi: Basis data, kata sandi pengguna, kunci API, dan sertifikat kriptografi dapat menjadi sasaran pencurian.
• Penyalahgunaan infrastruktur: Server yang berhasil dikuasai dapat digunakan untuk menyebarkan perangkat lunak berbahaya atau melancarkan serangan terhadap server lain.

Besarnya risiko tersebut turut menjadi perhatian firma keamanan Wiz dan OpenAI. Keduanya menilai PHP2Shell sebagai salah satu insiden keamanan perangkat lunak paling parah dalam sejarah.

Kerentanan lama yang kini lebih mudah ditemukan

Salah satu aspek yang membuat PHP2Shell menjadi perhatian adalah lamanya kerentanan tersebut berada di dalam kode. Celah ini dilaporkan telah tersembunyi selama kurang lebih 20 tahun sebelum dampak eksploitasinya menjadi ancaman yang lebih nyata.

Sebelumnya, pemanfaatan celah tersebut memerlukan rangkaian teknik serangan yang kompleks. Tingkat kesulitannya bahkan berada pada batas kemampuan analisis manual manusia, sehingga proses menemukan dan menyusun cara eksploitasi bukan perkara sederhana.

Kondisi berubah ketika kelompok peneliti Calif menggunakan model kecerdasan buatan GPT-5.6 Sol untuk membantu mengungkap kerentanan tersebut. Firma Wiz juga memanfaatkan teknologi AI dalam proses analisisnya.

Kemampuan AI yang membantu peneliti menemukan celah ternyata juga dapat dimanfaatkan untuk tujuan berbahaya. Rangkaian eksploitasi yang sebelumnya sulit dirancang kini dapat disusun dengan lebih mudah dan praktis, sehingga risiko penyalahgunaan oleh peretas meningkat.

Cloudflare turut mengonfirmasi adanya gelombang awal serangan yang telah memanfaatkan kerentanan tersebut di dunia nyata. Temuan ini menunjukkan bahwa ancaman PHP2Shell bukan hanya persoalan teoretis, melainkan sudah memasuki tahap eksploitasi.

Langkah perlindungan bagi pengguna dan pengelola situs

Bagi pengguna internet biasa, PHP2Shell tidak secara langsung menyerang ponsel pintar atau komputer pribadi. Meski demikian, pengunjung tetap berisiko apabila membuka situs yang telah dikuasai penyerang dan digunakan untuk menyebarkan perangkat lunak berbahaya.

Risiko tersebut membuat keamanan server menjadi penting, termasuk bagi pemilik situs berbasis WordPress dan pelanggan layanan hos web seperti GoDaddy, Hostinger, serta Bluehost. Pengelola perlu memastikan bahwa sistem yang digunakan sudah memperoleh pembaruan keamanan yang sesuai.

Beberapa langkah yang disarankan untuk mengurangi risiko meliputi:

1. Memperbarui PHP: Periksa versi PHP yang berjalan pada server, kemudian pasang pembaruan keamanan terbaru yang telah dirilis.
2. Meninggalkan versi usang: Situs yang masih menggunakan PHP 8.1 atau versi lebih lama disarankan untuk melakukan peningkatan karena versi tersebut tidak lagi menerima perbaikan resmi.
3. Memeriksa teknologi platform: Pengguna Squarespace dan Wix disebut relatif aman dari kerentanan khusus PHP ini karena kedua layanan tersebut tidak menggunakan PHP sebagai teknologi yang mendasarinya.

Jika pembaruan belum dapat dilakukan, penghentian sementara situs menjadi pilihan yang lebih aman dibandingkan membiarkan server tetap beroperasi dalam kondisi rentan. Imbauan ini menekankan pentingnya menutup celah keamanan sebelum layanan kembali diakses publik.

Informasi mengenai PHP2Shell tersebut dikutip dari Detik iNET yang merujuk pada pemberitaan The Verge, Jumat (23/10/2026). Kerentanan ini menjadi pengingat bahwa perangkat lunak yang telah digunakan selama bertahun-tahun tetap dapat menyimpan risiko serius ketika metode untuk mengeksploitasinya semakin mudah dilakukan.