GLOBAL, HAWA – Sebuah Kerentanan PHP2Shell yang sangat kritis telah ditemukan pada PHP, memicu gelombang respons keamanan siber di seluruh dunia pada 21 Oktober 2026. Celah keamanan ini memungkinkan penyerang menjalankan kode berbahaya dari jarak jauh, berpotensi membocorkan data sensitif atau melumpuhkan layanan web yang tersebar luas, dengan penemuan yang turut dibantu oleh model AI OpenAI, GPT-5.6 Sol.
Dua kerentanan kritis, tercatat sebagai CVE-2026-109618 dan CVE-2026-109619, memengaruhi runtime PHP dan dikenal sebagai php2shell. Penemuan ini merupakan hasil dari inisiatif Patch the Planet yang melibatkan peneliti dari Calif.io dan dukungan dari AI OpenAI, GPT-5.6 Sol. Wiz Research juga menemukan dan melaporkan kedua kerentanan ini secara independen.
Dampak dari Kerentanan PHP2Shell sangat serius, meliputi eksekusi kode jarak jauh (RCE), pencurian data pelanggan, pengambilalihan server web, gangguan layanan, serta penyebaran malware atau backdoor. Hampir 70 persen situs web di seluruh dunia menggunakan PHP, menjadikan kerentanan ini ancaman global.
Sebagai respons cepat, PHP Foundation segera merilis pembaruan keamanan pada 21 Oktober 2026. Pembaruan ini mencakup PHP versi 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. Rilis patch dipercepat menyusul bocornya informasi kerentanan secara daring pada 20 Oktober 2026.
Tak hanya itu, Cloudflare juga bertindak proaktif dengan menerapkan perlindungan Web Application Firewall (WAF) terhadap php2shell sejak 21 Oktober 2026 pukul 03.02 UTC, sekitar sembilan jam sebelum pengungkapan publik. Langkah ini menunjukkan keseriusan mitigasi terhadap potensi eksploitasi Kerentanan PHP2Shell.
“Mulai 21 Oktober pukul 03.02 UTC, pelanggan Cloudflare yang menggunakan WAF gratis maupun berbayar telah dilindungi secara bawaan terhadap php2shell,” kata Cloudflare dalam pernyataannya.
Pemerintah dan lembaga keamanan siber global juga turut mengeluarkan peringatan. CISA, NSA, dan FBI Cyber Division secara serentak mendesak organisasi dan pengelola situs web untuk segera memperbarui versi PHP mereka guna mencegah eksploitasi Kerentanan PHP2Shell.
Salah satu alasan mengapa Kerentanan PHP2Shell ini begitu berbahaya adalah karena ia berada pada runtime inti PHP, bukan hanya pada plugin atau tema situs web. Ini berarti, pembaruan plugin WordPress, Drupal, atau Joomla saja tidak akan cukup untuk menutup celah keamanan ini.
Penelitian menunjukkan kerentanan ini telah ada dalam kode inti PHP sejak PHP 5 dirilis pada Juli 2004, memengaruhi hampir seluruh rilis PHP hingga versi terbaru sebelum patch. Kondisi ini membuat celah keamanan menjadi sangat luas dan berisiko tinggi.
Bagi pengelola situs web, respons yang paling krusial adalah segera memperbarui PHP ke versi yang telah diperbaiki, memeriksa versi PHP yang digunakan pada server, serta mengaktifkan WAF sebagai lapisan mitigasi tambahan. Pemantauan log akses dan pencadangan data rutin juga sangat dianjurkan.
“Situs yang belum diperbarui dan menjalankan PHP 5.4 atau lebih baru berisiko mengalami eksekusi kode jarak jauh, kebocoran data, dan crash,” demikian peringatan dari Cloudflare Developers di platform X.
Meskipun php2shell tidak langsung menyerang ponsel atau browser pengguna, risiko utama tetap berada pada server web yang menjalankan PHP rentan. Pengguna umum diimbau untuk berhati-hati terhadap upaya phishing yang mungkin memanfaatkan isu keamanan ini.
Insiden ini sekali lagi menggarisbawahi peran penting kecerdasan buatan dalam menemukan kerentanan siber. Kolaborasi antara peneliti manusia dan AI seperti GPT-5.6 Sol dari OpenAI terbukti efektif dalam mengidentifikasi ancaman yang tersembunyi selama bertahun-tahun.
