Daftar Isi
Teknologi web open-source lintas dekade, PHP, hampir melumpuhkan internet global setelah peneliti menemukan dua kerentanan kritis yang dapat dieksploitasi. Celah yang dinamai PHP2Shell ini memaksa berbagai pihak di seluruh dunia untuk segera memperbarui sistem mereka guna mencegah serangan peretas jahat.
Ancaman Celah Keamanan PHP2Shell
Celah keamanan tersebut secara resmi terdaftar sebagai CVE-2026-109618 dan CVE-2026-109619. Berdasarkan laporan TechCrunch, kerentanan ini memungkinkan pihak luar menyusup ke dalam sistem online yang menggunakan PHP tanpa memerlukan kata sandi untuk mengakses atau mengubah data.
The PHP Foundation selaku pengelola perangkat lunak web tersebut merilis tambalan keamanan resmi yang langsung mencegah server web dari potensi serangan. Sebelum rilis publik, yayasan telah memberikan akses awal kepada beberapa perusahaan internet besar serta penyedia web hosting utama untuk melakukan pembaruan lebih cepat.
Berkat koordinasi industri yang ketat, dunia secara luas berhasil menghindari eksploitasi massal internet. Pemerintah di berbagai belahan dunia mulai mengimbau warga serta perusahaan yang memiliki situs web untuk mengambil tindakan mitigasi risiko di sistem masing-masing.
Sejumlah industri terpaksa menutup sementara situs web dan layanan mereka untuk melakukan pembaruan sistem. Bank, pusat perbelanjaan, situs permainan, toko online, rumah sakit, hingga beberapa instansi pemerintah menurunkan server mereka guna mencegah serangan lanjutan.
Kendati demikian, para peneliti keamanan memperingatkan bahwa situasi belum sepenuhnya aman karena masih banyak sistem di seluruh dunia yang belum ditambal dan rentan terhadap pencurian data. Peristiwa ini juga diprediksi bukan insiden keamanan perangkat lunak terakhir, dengan kemunculan kecerdasan buatan yang berpotensi mempercepat penemuan kerentanan baru di masa mendatang.
Asal-Usul dan Tingkat Keparahan Bug
Peneliti keamanan dari Calif menemukan dua kerentanan tersebut pada PHP, yakni bahasa pemrograman yang banyak digunakan untuk membangun situs web dan aplikasi web baik di internet maupun jaringan lokal perusahaan. PHP bersifat open-source dan gratis, sehingga menjadi salah satu bahasa pemrograman web paling populer di dunia.
Dua bug tersebut sebenarnya sudah ditemukan sejak tahun 2024 namun sempat dinilai tidak dapat dieksploitasi dan dibiarkan tanpa tambalan. Peneliti keamanan baru-baru ini menemukan cara untuk memanfaatkan celah tersebut dan segera melaporkannya kepada pengembang perangkat lunak.
Celah PHP2Shell sangat berbahaya karena dapat disalahgunakan dari jarak jauh melalui internet tanpa memerlukan korban mengeklik tautan atau membuka berkas. Kerentanan ini dikategorikan sebagai eksekusi kode dari jarak jauh yang memberikan peretas kendali penuh atas sistem yang terdampak.
Selain itu, celah khusus ini memungkinkan penyusupan ke sistem online mana pun yang belum ditambal tanpa memerlukan kredensial atau kata sandi apa pun. Peretas dapat memanfaatkan akses tersebut untuk memasang perangkat lunak berbahaya, mencuri data, atau mempertahankan akses jangka panjang ke dalam sistem.
Dampak Luas pada Infrastruktur Web
Kerentanan ini berdampak sangat luas mengingat sekitar 70 persen situs web di internet mengandalkan PHP. Meskipun penggunaannya perlahan menurun seiring beralihnya pengembang ke bahasa pemrograman yang lebih baru, PHP tetap menjadi fondasi situs-situs populer seperti WordPress, Drupal, Joomla, dan Wikipedia.
Banyak teknologi lama penopang internet dikembangkan oleh pengelola open-source yang tidak digaji, sehingga sering kali tidak memiliki anggaran untuk ulasan keamanan pihak ketiga. Peneliti keamanan dari Calif menemukan bug tersebut saat melakukan audit keamanan kode PHP melalui inisiatif Hack the Planet dari OpenAI dan Wiz.
Meskipun upaya kerahasiaan dijaga ketat sebelum rilis resmi, Amazon melaporkan telah mendeteksi aktivitas eksploitasi PHP2Shell sekitar sepekan sebelum tambalan dirilis. Raksasa keamanan siber Palo Alto Networks dan Trail of Bits mengonfirmasi adanya kompromi aktif dan aktivitas pasca-eksploitasi yang menargetkan celah tersebut menjelang akhir pekan.
CEO Cloudflare Matthew Prince menyatakan perusahaannya mencatat lonjakan eksponensial dalam upaya eksploitasi bug tersebut pasca-pengungkapan publik. Penggunaan PHP yang tidak hanya terbatas pada server web, melainkan juga perangkat pengembang, router, dan perangkat keamanan perusahaan, membuat proses pembaruan masih akan memakan waktu.
Peristiwa ini mengingatkan pada insiden teknologi besar sebelumnya seperti serangan botnet Dyn pada tahun 2016, serangan ransomware WannaCry pada 2017, dan gangguan global akibat pembaruan CrowdStrike pada tahun 2024. Para ahli mencatat bahwa bahasa pemrograman lama seperti PHP rentan terhadap masalah memori, yang mendorong pergeseran industri ke bahasa yang lebih aman seperti Python, Rust, dan Swift.
Sumber: TechCrunch
