JAWA BARAT — Dua kerentanan kritis berkode CVE-2026-109618 dan CVE-2026-109619 di PHP memungkinkan penyerang menjalankan kode berbahaya dari jarak jauh dan berpotensi mengambil alih server. Temuan yang melibatkan bantuan model AI ini menyentuh kode berusia sekitar 20 tahun, dengan skor keparahan mencapai 9,2 dari 10. Pengelola website diminta segera menambal sistem sebelum percobaan eksploitasi meluas.
PHP menopang sekitar 70 persen website di internet, termasuk WordPress, Wikipedia, dan Drupal. Dua celah yang diberi nama PHP2Shell itu menempatkan sebagian besar infrastruktur web global dalam posisi rentan, terutama instalasi PHP versi lama yang sudah tidak menerima patch keamanan.
Seberapa Serius Dampak PHP2Shell
Skor keparahan kedua CVE berada di angka 9,2 dari skala 10. Artinya, penyerang bisa mengeksekusi kode dari jarak jauh tanpa perlu akses fisik ke server.
Yang membuat situasi rumit, celah ini bersarang di kode PHP yang telah dipakai sekitar dua dekade. Versi lawas tanpa dukungan update menjadi titik paling lemah karena tidak lagi mendapat perbaikan resmi.
Peran AI dalam Penemuan Celah
Seorang peneliti keamanan menggunakan model GPT-5.6 Sol untuk mengidentifikasi kedua kerentanan sebelum dieksploitasi lebih luas. Pendekatan ini menunjukkan AI bisa memetakan celah yang sulit terjaring lewat pemeriksaan manual biasa.
Bagi industri keamanan, temuan tersebut memberi sinyal bahwa alat berbasis AI kini berperan ganda: mempercepat deteksi, sekaligus memperpendek jendela waktu bagi pengelola sistem untuk bereaksi.
Serangan Sudah Terdeteksi di Lapangan
Amazon Threat Intelligence mencatat percobaan eksploitasi sejak 17 Oktober melalui sistem honeypot yang sengaja dipasang untuk memancing aktivitas peretas. Cloudflare melaporkan lonjakan dari ribuan percobaan menjadi ratusan ribu hanya dalam beberapa jam setelah celah diumumkan.
Dampaknya sudah terasa. Internet Archive sempat mengalami gangguan saat pengelola melakukan penanganan keamanan. Sejumlah game mobile lawas bahkan ditutup permanen karena teknologinya terlalu sulit diperbarui.
Pola ini memperlihatkan bahwa perangkat lunak yang tak lagi dirawat bisa berubah menjadi pintu masuk serius, bukan sekadar warisan teknis yang bisa diabaikan.
Langkah yang Perlu Diambil Pengelola Website
Prioritas utama adalah memperbarui PHP ke versi yang sudah ditambal. Setelah itu, lakukan audit pada sistem yang masih memakai versi rentan, termasuk situs yang dikelola lewat CMS pihak ketiga.
- Perbarui PHP ke rilis terbaru yang menyertakan patch untuk CVE-2026-109618 dan CVE-2026-109619.
- Periksa seluruh instalasi, termasuk plugin dan tema yang bergantung pada versi PHP lama.
- Jika pembaruan belum memungkinkan, terapkan mitigasi tambahan seperti aturan firewall aplikasi web.
- Dalam kondisi paling berisiko, nonaktifkan sementara website sampai penambalan selesai.
Siapa yang Paling Terdampak
Pengguna umum tidak terkena dampak langsung dari celah ini. Sasaran utamanya adalah server dan layanan yang masih menjalankan PHP tanpa dukungan, termasuk penyedia layanan digital kecil yang menunda migrasi.
Bagi pelaku bisnis digital di Indonesia, risiko muncul ketika situs perusahaan atau aplikasi internal masih berjalan di versi PHP usang. Pemeriksaan rutin terhadap versi runtime menjadi langkah murah yang bisa mencegah kerugian lebih besar.
Pengumuman celah ini menambah tekanan bagi tim IT untuk mempercepat siklus pembaruan. Sebab, jarak antara publikasi kerentanan dan percobaan eksploitasi massal kini diukur dalam hitungan jam, bukan hari.
