Liputan6.com, Jakarta - Jika Microsoft Windows dikenal sebagai penguasa komputer dunia dengan pangsa pasar mencapai lebih dari 70 persen, ada satu raksasa digital lain yang bekerja secara diam-diam namun menguasai hampir seluruh aktivitas internet sehari-hari: PHP (Hypertext Preprocessor).
Bila Windows adalah raja yang tampak di layar visual pengguna, maka PHP merupakan penguasa tak terlihat di balik layar yang menggerakkan sistem layanan internet maupun intranet.
Advertisement
Namun, ketenangan ekosistem digital tersebut mendadak terguncang. Temuan celah keamanan siber kritis berjuluk PHP2Shell menjadi sejarah baru dalam lanskap keamanan siber global.
Untuk pertama kalinya, model kecerdasan buatan tingkat lanjut (Frontier AI) berhasil mengidentifikasi celah keamanan kritis yang telah tersembunyi selama lebih dari satu dekade di dalam inti (core engine) bahasa pemrograman PHP--sebuah kerentanan yang sangat sulit dideteksi oleh manusia akibat tingkat kerumitan yang tinggi serta membutuhkan waktu penelusuran yang amat panjang.
Pakar Keamanan Siber dari Vaksincom, Alfons Tanujaya, menjelaskan bahwa celah keamanan ini memiliki tingkat bahaya berada di kategori puncak (critical severity) dengan skor 9,2 dari 10. Kerentanan tersebut terdaftar secara resmi dengan identifikasi CVE-2026-109618 dan CVE-2026-109619.
"Celah ini memungkinkan peretas mengambil alih kendali server secara penuh (Remote Code Execution/RCE). Yang lebih mengkhawatirkan, penyerang bahkan tidak memerlukan hak akses, nama pengguna (username), ataupun kata sandi (password) untuk membobol sistem," ujar Alfons kepada Tekno Liputan6.com, Minggu (25/10/2026).
Mengibaratkan situs web sebagai sebuah bangunan layanan publik, PHP berperan sebagai ruang mesin sekaligus dapur pengolah data utama di dalamnya. Rangkaian celah keamanan PHP2Shell memungkinkan peretas menguasai ruang mesin tersebut melalui dua tahapan eksploitasi yang mematikan:
- CVE-2026-109618 (Manipulasi Memori): Peretas mengirimkan permintaan data khusus yang dirancang untuk melampaui batas kapasitas memori server. Kondisi gagal memori (memory failure) ini secara seketika meruntuhkan benteng pertahanan sistem dan membuka celah masuk bagi penyusupan kode asing.
- CVE-2026-109619 (Kendali Penuh Jarak Jauh/ RCE): Memanfaatkan celah pertahanan yang telah terbuka, kerentanan kedua ini memberikan hak akses tertinggi (root/administrator) kepada peretas. Dengan hak akses ini, peretas dapat menjalankan perintah dari jarak jauh untuk mengunduh, mengubah, hingga menghapus basis data internal secara total.
"Ancaman ini menjadi sangat krusial karena peretas cukup memicu error dari luar situs web untuk menguasai server utama dalam hitungan detik," Alfons menjelaskan.
Daftar Versi PHP yang Terdampak dan Aman
Dampak kerentanan bawaan pada core engine PHP ini meluas ke hampir seluruh versi yang beredar di masyarakat:
- Versi Sangat Rentan (End of Life/EOL): Seluruh versi PHP 5.x, 7.x, 8.0, dan 8.1 bawaan awal merupakan versi yang paling berisiko tinggi. Versi-versi ini sudah tidak lagi mendapatkan pembaruan atau patch keamanan otomatis dari pengembang.
- Versi Wajib Segera di-patch: PHP versi 8.2.34, 8.3.35, 8.4.26, 8.5.11, serta versi-versi di bawahnya.
- Versi Aman (Sudah di-patch): PHP versi 8.2.35, 8.3.36, 8.4.27, dan 8.5.12.
Mengapa Server dan Layanan Pemerintah Harus Disetop Sementara?
PHP sendiri menopang sekitar 70 persen situs web di dunia, mulai dari toko online dan portal berita hingga layanan pemerintah.
Alfons menuturkan, di balik satu situs web publik yang terlihat di internet, umumnya terdapat setidaknya empat sistem internal pendukung yang saling terhubung dalam jaringan komputer kantor (intranet).
"Di area intranet inilah PHP versi lama (versi 5 dan 7) banyak terpasang. Banyak instansi dan perusahaan enggan memperbarui versi PHP internal ini karena pertimbangan stabilitas operasional serta menghindari risiko kerusakan sistem (error) saat proses update," ujarnya.
Namun, menurut Alfons, membiarkan PHP usang berada dalam jaringan intranet di tengah munculnya ancaman PHP2Shell sama saja dengan menyimpan bom waktu.
"Jika satu sistem berhasil disusupi, peretas dapat melakukan pergerakan lintas jaringan. Beberapa eksploitasi RCE tingkat tinggi bahkan memiliki kemampuan seperti worm, yakni secara otomatis memindai dan menginfeksi server PHP lain di dalam jaringan tanpa bantuan manusia dalam waktu singkat," ungkapnya.
Ancaman tidak hanya bersumber dari serangan luar. Risiko juga timbul dari ancaman internal, baik dari peretas dalam jaringan maupun perangkat laptop karyawan yang terinfeksi malware saat terhubung ke intranet.
Dilema Penghentian Layanan
Ketika detail eksploitasi kerentanan beredar luas di internet, peretas hanya membutuhkan waktu hitungan menit untuk membuat skrip serangan otomatis.
Sebaliknya, administrator jaringan dan tim IT memerlukan waktu berpekan-pekan hingga berbulan-bulan untuk memperbarui versi PHP usang, mengingat kode aplikasi lama yang tidak kompatibel harus ditulis ulang.
"Oleh karena itu, tindakan menonaktifkan sementara (take down) server atau layanan publik menjadi langkah mitigasi darurat yang paling rasional untuk diambil," kata Alfons.
Ia menilai, penghentian sementara layanan jauh lebih aman dibandingkan membiarkan sistem kritis disusupi, diacak-acak, atau dikuasai penuh oleh pihak tidak bertanggung jawab.