PHP Merilis Patch untuk Tutup Dua Celah Kritis PHP2Shell

Dua kerentanan kritis pada bahasa pemrograman PHP memicu peringatan keamanan global setelah upaya eksploitasi mulai terdeteksi pada server website. Dilansir dari Detik iNET, Kamis (22/10/2026), kedua celah tersebut memungkinkan penyerang menjalankan kode dari jarak jauh tanpa akun maupun kata sandi, sehingga pengelola layanan digital perlu segera memasang pembaruan keamanan.

Kedua celah yang dikenal sebagai PHP2Shell itu tercatat dengan nomor CVE-2026-109618 dan CVE-2026-109619. Masing-masing memperoleh skor keparahan 9,2 dari skala 10 berdasarkan sistem penilaian CVSS 4.0.

Kerentanan tersebut berada pada inti mesin PHP, bukan pada kode aplikasi website. Akibatnya, situs yang aplikasinya telah dibuat dengan aman tetap berisiko apabila menjalankan versi PHP yang rentan, termasuk halaman website sederhana.

Eksploitasi kedua celah itu dapat memicu eksekusi kode jarak jauh atau remote code execution (RCE) tanpa autentikasi. Informasi mengenai kerentanan juga dilaporkan bocor sebelum pengumuman resmi, sementara sebuah video yang beredar diklaim memperlihatkan penggunaan alat PHP2Shell untuk menyerang server.

Perusahaan keamanan siber Sansec memperingatkan bahwa serangan dapat meningkat dengan cepat setelah pembaruan keamanan tersedia. Peneliti perusahaan tersebut menyampaikan perkiraan waktu dimulainya serangan massal.

"Kami memperkirakan serangan massal akan dimulai dalam waktu 15 menit setelah perilisan," ujar peneliti Sansec, sebagaimana dikutip PC Gamer.

Cloudflare turut mengonfirmasi adanya lalu lintas serangan yang menargetkan kedua kerentanan tersebut. Perusahaan infrastruktur internet itu kemudian memperbarui mekanisme perlindungannya untuk menghadapi metode eksploitasi yang terus berkembang.

Chief Technology Officer Cloudflare, Dane Knecht, menjelaskan bahwa timnya memantau aktivitas serangan dan menyesuaikan langkah mitigasi berdasarkan perkembangan ancaman.

"Kami melihat serangan awal mulai bermunculan dan terus memperbarui mitigasi seiring ditemukannya metode serangan baru," ujar Knecht melalui X, sebagaimana dikutip The Hacker News.

Cloudflare juga menerapkan perlindungan melalui web application firewall (WAF) untuk membantu memblokir upaya eksploitasi PHP2Shell. Namun, mekanisme tersebut tidak menggantikan patch resmi yang diperlukan untuk memperbaiki kerentanan pada perangkat lunak.

Dampak ancaman ini turut mendorong sejumlah pemerintah mengambil tindakan pencegahan. Reuters melaporkan bahwa beberapa website pemerintah di Eropa dinonaktifkan sementara pada Rabu (21/10/2026) untuk mengurangi risiko serangan siber.

Di Belanda, layanan MijnOverheid, sistem identitas digital DigiD, dan website pusat keamanan siber nasional sempat tidak dapat diakses. Pemerintah Jerman juga mengonfirmasi penonaktifan sejumlah website yang dikelola penyedia layanan teknologi informasi federal ITZBund, sedangkan Prancis dan Finlandia dilaporkan melakukan langkah pengamanan serupa.

Perdana Menteri Jepang Sanae Takaichi turut memperingatkan pengelola website agar memeriksa penggunaan PHP dan mempersiapkan pembaruan keamanan. Dalam unggahan melalui akun X resminya pada Rabu (21/10/2026), ia meminta tindakan segera untuk mengurangi risiko eksploitasi.

"Ini adalah permintaan yang sangat mendesak kepada semua pihak untuk mengambil tindakan malam ini," ujar Sanae Takaichi dalam unggahannya, sebagaimana dilaporkan ITmedia.

Takaichi juga meminta pengelola memeriksa teknologi yang digunakan pada situs mereka dan menyiapkan pemasangan pembaruan perbaikan.

"Periksa apakah website yang Anda operasikan menggunakan PHP dan bersiaplah untuk menerapkan patch perbaikan sesegera mungkin," ujar Sanae Takaichi.

Ia menyebut penghentian layanan sementara sebagai pilihan apabila pembaruan tidak dapat segera diterapkan.

"Jika sulit menerapkan patch dengan cepat, menghentikan sementara website juga dapat menjadi salah satu langkah efektif untuk mengurangi risiko," ujar Sanae Takaichi.

Penonaktifan website pemerintah tersebut merupakan langkah pencegahan dan tidak dengan sendirinya membuktikan bahwa layanan terkait telah berhasil diretas.

Tim pengembang PHP merilis pembaruan keamanan pada Rabu (21/10/2026) untuk mengatasi kedua kerentanan tersebut. Versi yang mencakup perbaikan adalah PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35.

PHP digunakan secara luas untuk menjalankan berbagai layanan digital, mulai dari portal berita dan toko daring hingga sistem informasi perusahaan serta pemerintahan. Kerentanan pada komponen inti bahasa pemrograman ini berpotensi memengaruhi website di berbagai negara, termasuk Indonesia.