SULAWESI BARAT — Kementerian Komunikasi dan Digital memperingatkan ancaman PHP2Shell, dua kerentanan kritis di PHP dengan skor keparahan 9,2 yang memungkinkan penyerang mengeksekusi kode dari jarak jauh tanpa autentikasi. Peringatan disampaikan tim CSIRT Komdigi pada 22 Oktober 2026, sehari setelah tim pengembang PHP merilis pembaruan keamanan untuk kedua celah tersebut. Pengelola situs berbasis PHP diminta memasang patch sebelum eksploitasi meluas ke server yang terhubung langsung ke internet.
Dua celah keamanan yang tercatat sebagai CVE-2026-109618 dan CVE-2026-109619 itu sama-sama menyentuh pengelolaan memori internal PHP. Skor 9,2 versi CVSS 4.0 menempatkan keduanya di kategori critical, level tertinggi dalam skala keparahan kerentanan.
PHP sendiri menjadi fondasi sebagian besar situs web dan aplikasi berbasis web, termasuk WordPress, Drupal, dan Joomla. Artinya, risiko tidak berhenti pada satu aplikasi tertentu, melainkan pada mesin PHP yang menjalankan aplikasi tersebut.
Celah pertama, CVE-2026-109618, muncul dari kondisi out-of-memory saat PHP memproses permintaan HTTP yang dirancang khusus. Gangguan memori itu dalam kondisi tertentu bisa dimanfaatkan penyerang untuk menjalankan kode sendiri.
Celah kedua, CVE-2026-109619, berkaitan dengan use-after-free, yakni proses PHP mengakses referensi memori yang seharusnya sudah dibebaskan. Kondisi ini membuka peluang manipulasi alur eksekusi program.
Keduanya bermuara pada hal yang sama: remote code execution (RCE). Penyerang tidak perlu login lebih dulu untuk mencoba mengeksploitasi server yang rentan.
Instalasi PHP yang melayani permintaan web masuk kategori terdampak, mencakup PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Tim peneliti keamanan Wiz bahkan mendemonstrasikan eksploitasi tanpa autentikasi pada WordPress, Drupal, dan Joomla yang berjalan di atas PHP terdampak.
Server yang terhubung langsung ke internet menjadi prioritas penanganan karena bisa menerima permintaan dari pihak luar kapan saja. Jika celah berhasil ditembus, dampaknya berpotensi luas: pengambilalihan sistem, pencurian informasi sensitif, hingga perubahan atau penghapusan data.
Komdigi menegaskan status rentan tidak berarti situs sudah diretas. Keberhasilan serangan tetap bergantung pada versi PHP, konfigurasi server, dan jalur pemrosesan yang tersedia.
Tim pengembang PHP merilis pembaruan keamanan pada 21 Oktober 2026. Empat versi perbaikan yang disebut dalam advisori keamanan adalah PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35.
Pengguna paket dari distribusi Linux atau penyedia hosting perlu memeriksa advisori vendor masing-masing. Perbaikan keamanan kadang diterapkan lewat backport tanpa mengubah nomor versi dasar, sehingga nomor versi di server belum tentu mencerminkan status patch sebenarnya.
Langkah penonaktifan sementara sebaiknya jadi opsi terakhir, bukan jalan pintas. Mematikan layanan tanpa rencana pemulihan justru bisa memicu gangguan operasional yang lebih besar bagi bisnis digital.
Banyak startup dan UMKM digital di Indonesia menjalankan layanan di atas PHP, mulai dari toko online, platform SaaS, hingga sistem internal. Kesalahan konfigurasi dan versi PHP yang tertinggal sering luput dari audit rutin karena tim fokus pada fitur, bukan infrastruktur.
Peringatan CSIRT Komdigi memberi tenggat tidak resmi: semakin lama server dibiarkan di versi rentan, semakin besar peluang pemindaian otomatis menemukan celahnya. Pemindaian massal terhadap server PHP biasanya berlangsung dalam hitungan hari setelah detail kerentanan dipublikasikan.
Bagi investor dan pengelola bisnis digital, insiden semacam ini juga menjadi pengingat bahwa tata kelola keamanan siber masuk dalam due diligence. Server yang tidak terawat menambah risiko operasional dan reputasi, bukan sekadar masalah teknis tim IT.