PHP2Shell Mengancam Keamanan Website di Seluruh Dunia, Pengelola Situs Diminta Segera Memperbarui Sistem

YOGYAKARTA — Dunia keamanan siber kembali menjadi perhatian setelah ditemukannya kerentanan kritis pada PHP, bahasa pemrograman yang digunakan secara luas untuk membangun website dan aplikasi berbasis web. Kerentanan yang dikenal dengan nama PHP2Shell ini berpotensi membuka celah bagi penyerang untuk menjalankan perintah berbahaya pada server tanpa harus memiliki akun atau melakukan autentikasi terlebih dahulu.

Berdasarkan laporan keamanan yang dipublikasikan pada 21 Oktober 2026, PHP2Shell berkaitan dengan dua kerentanan yang teridentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619. Keduanya memiliki tingkat keparahan kritis dengan skor CVSS 4.0 sebesar 9,2. Jika berhasil dieksploitasi, celah tersebut dapat memungkinkan penyerang menjalankan kode dari jarak jauh (Remote Code Execution/RCE) atau mengakses informasi sensitif yang tersimpan dalam memori proses PHP. [Sumber: Wiz Research dan Canadian Centre for Cyber Security]

Mengapa PHP2Shell Menjadi Ancaman Serius?

PHP merupakan salah satu teknologi utama dalam pengembangan website modern. Bahasa pemrograman ini digunakan oleh berbagai sistem manajemen konten, termasuk WordPress, Drupal, dan Joomla, serta beragam aplikasi bisnis dan layanan digital.

Hal yang membuat PHP2Shell perlu mendapat perhatian khusus adalah letak kerentanannya yang berada pada inti mesin PHP (PHP runtime), bukan semata-mata pada kode aplikasi atau plugin tertentu. Artinya, memperbarui plugin atau tema website saja belum tentu menyelesaikan masalah apabila versi PHP yang digunakan server masih rentan.

Dalam kondisi tertentu, kerentanan tersebut dapat dimanfaatkan untuk menjalankan kode berbahaya, mengakses data sensitif, mengubah isi website, hingga mengganggu operasional layanan digital. Risiko ini terutama perlu diperhatikan oleh pengelola server yang menjalankan PHP dengan versi terdampak dan belum memasang pembaruan keamanan.

Website Berbasis PHP Perlu Segera Melakukan Pemeriksaan

Ancaman PHP2Shell menjadi pengingat bahwa keamanan website tidak cukup hanya dengan memasang sertifikat SSL, menggunakan kata sandi yang kuat, atau memperbarui tampilan aplikasi. Keamanan juga bergantung pada perangkat lunak server, konfigurasi sistem, pengelolaan hak akses, serta pemantauan aktivitas yang mencurigakan.

Tim pengelola website dan administrator server disarankan melakukan beberapa langkah berikut:

1. Memeriksa versi PHP. Identifikasi seluruh server dan aplikasi yang menggunakan PHP, khususnya layanan yang dapat diakses langsung melalui internet.

2. Memasang pembaruan keamanan. Gunakan versi PHP yang telah diperbaiki, yaitu PHP 8.5.12, 8.4.27, 8.3.36, atau 8.2.35, sesuai cabang versi yang digunakan dan dukungan penyedia sistem.

3. Mengevaluasi versi lama. PHP 8.1 dan versi yang lebih lama memerlukan perhatian khusus karena sebagian besar sudah tidak memperoleh pembaruan keamanan reguler dari proyek PHP. Administrator perlu memeriksa ketersediaan perbaikan dari vendor atau merencanakan migrasi ke versi yang masih didukung.

4. Memantau aktivitas server. Periksa log server, proses yang berjalan tidak wajar, perubahan file website yang tidak dikenal, serta indikasi akses atau eksekusi kode mencurigakan.

5. Menyiapkan pencadangan dan respons insiden. Pastikan tersedia cadangan data yang dapat dipulihkan dan prosedur penanganan apabila ditemukan indikasi kompromi.

Pembaruan PHP merupakan langkah mitigasi utama. Perlindungan tambahan seperti Web Application Firewall (WAF) dapat membantu menyaring permintaan berbahaya, tetapi tidak seharusnya menggantikan pemasangan pembaruan keamanan.

Momentum Meningkatkan Literasi Keamanan Siber

Munculnya PHP2Shell juga menjadi pengingat penting bagi mahasiswa dan praktisi teknologi informasi bahwa kemampuan membangun aplikasi harus diimbangi pemahaman mengenai keamanan perangkat lunak.

Dalam pengembangan web, mahasiswa tidak hanya perlu menguasai HTML, CSS, JavaScript, PHP, dan basis data, tetapi juga memahami manajemen pembaruan, keamanan konfigurasi server, pengujian kerentanan, pengelolaan autentikasi, serta perlindungan data pengguna.

Bagi pengembang aplikasi, peristiwa ini menunjukkan bahwa kerentanan dapat muncul pada lapisan teknologi yang mendasari aplikasi, sekalipun kode aplikasi itu sendiri telah dirancang dengan baik. Oleh karena itu, pemantauan buletin keamanan resmi dan penerapan praktik secure software development perlu menjadi bagian dari proses pengembangan sistem informasi.

Waspada, tetapi Jangan Panik

PHP2Shell menunjukkan bahwa satu kerentanan pada komponen fundamental dapat berdampak luas terhadap ekosistem website. Meski demikian, bukan berarti seluruh website di dunia telah diretas atau otomatis berada dalam kondisi kompromi. Tingkat risiko bergantung pada versi PHP, konfigurasi server, penerapan pembaruan, dan kondisi masing-masing sistem.

Pengelola website perlu mengutamakan pemeriksaan teknis dan pembaruan keamanan berdasarkan informasi resmi. Sementara itu, pengguna internet disarankan tetap berhati-hati ketika mengakses layanan digital dan mengikuti pengumuman keamanan dari penyedia layanan yang digunakan.

Di tengah meningkatnya ketergantungan masyarakat pada teknologi digital, keamanan siber bukan lagi sekadar urusan administrator server, melainkan tanggung jawab bersama untuk menjaga keberlangsungan layanan, kerahasiaan data, dan kepercayaan publik.

Sumber referensi:

• Wiz Research — PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet

• Canadian Centre for Cyber Security — Critical vulnerabilities impacting PHP

• Cloudflare — Cloudflare deploys protections against php2shell vulnerability

• PHP Security Advisories — https://www.php.net/security