Kementerian Komunikasi dan Digital (Komdigi) mengeluarkan peringatan resmi terkait ancaman PHP2Shell, yaitu dua kerentanan keamanan kritis yang memungkinkan peretas menjalankan kode dari jarak jauh tanpa perlu masuk ke sistem yang terdampak. Peringatan tersebut disampaikan lewat tim Computer Security Incident Response Team (CSIRT) Komdigi pada 22 Oktober 2026.
Ancaman Celah Keamanan PHP2Shell
Kedua celah tersebut terdaftar sebagai CVE-2026-109618 dan CVE-2026-109619, dengan masing-masing memperoleh skor 9,2 pada skala CVSS v4.0 yang menunjukkan tingkat keparahan sangat tinggi. Pengembang PHP semula menjadwalkan pengungkapan celah itu pada 22 Oktober 2026, tetapi setelah informasi mengenai kerentanan terlanjur bocor, pembaruan keamanan dirilis lebih cepat pada 21 Oktober 2026 seperti dilaporkan Tech – Berita AI, Gadget, Teknologi dan Sains – CNBC Indonesia (cnbcindonesia.com).
Kerentanan ini ditemukan oleh para peneliti dari Wiz, Calif, dan OpenAI, dengan dampak yang diperkirakan menjangkau hampir seluruh versi PHP sejak versi 5.4. Risiko terbesar dijumpai pada server yang menggunakan Apache mod_php, di mana penyerang cukup mengirimkan satu permintaan HTTP tanpa autentikasi untuk memicu serangan sebelum kode aplikasi dijalankan.
Kondisi ini membuat mekanisme keamanan pada tingkat aplikasi tidak menjamin mampu menghentikan serangan, karena proses eksploitasi dapat berlangsung sebelum aplikasi memproses permintaan tersebut. PHP2Shell kini menjadi perhatian serius bagi pengelola situs web, perusahaan penyedia hosting, pengembang aplikasi, dan organisasi yang mengandalkan bahasa pemrograman PHP.
Server yang Berisiko dan Dampak Kebocoran
Berdasarkan imbauan resmi dari PHP, seluruh instalasi PHP yang melayani permintaan web berpotensi terdampak, termasuk PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Bahkan halaman sederhana dengan tulisan “Hello World” tetap menjadi sasaran jika dijalankan menggunakan versi PHP yang rentan.
Selain eksekusi kode berbahaya, celah ini juga menimbulkan risiko kebocoran informasi dari memori proses PHP yang dapat menyimpan data sensitif seperti kata sandi, token autentikasi, kunci API, dan sertifikat. Para peneliti telah mendemonstrasikan pembacaan memori proses PHP yang berjalan pada aplikasi yang tidak mereka kendalikan.
Pihak PHP telah merilis pembaruan keamanan darurat melalui PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, and PHP 8.2.35. Cloudflare juga mengonfirmasi telah mendeteksi lonjakan lalu lintas serangan yang mencoba memanfaatkan kerentanan itu, sementara PHP Foundation mengubah proses pengambilan keputusan keamanan serta menambah personel.
Komdigi mengingatkan administrator server untuk segera memastikan versi PHP telah diperbarui, memuat ulang proses terkait, serta memeriksa catatan aktivitas server guna mencari tanda-tanda mencurigakan, karena mengandalkan firewall atau perubahan konfigurasi saja tidak cukup.
