Kementerian Komunikasi dan Digital mengeluarkan peringatan resmi pada 22 Oktober 2026 terkait dua kerentanan kritis PHP2Shell. Celah ini memicu lonjakan jutaan serangan siber dan ancaman kebocoran data di berbagai situs web serta aplikasi berbasis PHP di seluruh dunia.
Tim Computer Security Incident Response Team Komdigi mencatat dua kerentanan bernama PHP2Shell dengan kode CVE-2026-109618 dan CVE-2026-109619. Kedua celah tersebut memiliki skor keparahan 9,2 berdasarkan CVSS versi 4,0 dan memungkinkan peretas menjalankan kode jarak jauh tanpa perlu login.
Informasi kerentanan bocor ke publik lebih awal dari jadwal resmi. Akibatnya, pengembang PHP mempercepat rilis pembaruan keamanan pada 21 Oktober 2026 untuk versi 8.2.35, 8.3.36, 8.4.27, dan 8.5.12. Cloudflare dan Amazon Web Services melaporkan lonjakan trafik serangan hingga jutaan kali lipat dalam hitungan jam setelah celah terekspos.
Dampak terhadap Situs dan Aplikasi Populer
Bahasa pemrograman PHP menopang sekitar 70 persen situs web global. Banyak aplikasi populer dan platform digital bergantung pada bahasa ini. Celah PHP2Shell berpotensi membuka akses ke data pengguna, termasuk informasi pribadi, riwayat transaksi, dan kredensial akun.
Di Jepang, rangkaian serangan siber dalam beberapa pekan terakhir menyebabkan kebocoran puluhan juta data pelanggan dari berbagai layanan. Perusahaan perangkat lunak SOURCENEXT melaporkan 22,51 juta data terdampak. Layanan pemesanan perjalanan Skyticket mencatat 14,64 juta data, sementara jaringan restoran Burger King mengalami 11,18 juta data bocor.
Operator transportasi JR East dan jaringan minimarket Lawson juga melaporkan insiden serupa. Pakar keamanan siber menilai serangan berbasis kecerdasan buatan mempercepat penemuan dan eksploitasi celah pada aplikasi seluler maupun server.
Peringatan Resmi dan Respons Pemerintah
Komdigi melalui CSIRT mendesak seluruh pengelola sistem digital untuk segera memperbarui versi PHP. Peringatan tersebut sejalan dengan situasi darurat di berbagai negara. Sejumlah situs pemerintah dan perusahaan global terpaksa menonaktifkan layanan sementara demi mencegah pembobolan data.
Co-founder perusahaan keamanan siber Aikido Security, Madeline Lawrence, menyatakan bahwa perusahaan kini berada dalam pertarungan kecepatan. Ia menekankan, perusahaan-perusahaan harus memperbarui sistem sebelum peretas yang memanfaatkan kecerdasan buatan berhasil mengeksploitasi celah PHP2Shell tersebut.
Pengamat keamanan dari Indonesia Cyber Security Forum, Ardi Sutedja K, memperingatkan risiko lebih lanjut. Jika celah tidak segera ditambal, peretas dapat menyandera sumber daya, memicu penutupan akses oleh mesin pencari, hingga mencuri data pengguna secara massal.
Langkah Mitigasi yang Disarankan
Pengelola website dan aplikasi harus segera memperbarui PHP ke versi yang sudah ditambal. Restart seluruh proses PHP dan periksa log sistem menjadi langkah wajib setelah pembaruan. Pengguna hosting bersama disarankan menghubungi penyedia layanan untuk memastikan patch diterapkan.
Bagi pengguna akhir, langkah sederhana tetap relevan. Gunakan kata sandi unik untuk setiap layanan, aktifkan autentikasi dua faktor, dan waspadai tautan mencurigakan. Data yang sudah bocor di masa lalu tetap berisiko jika kredensial belum diganti.
Situasi ini menegaskan pentingnya pembaruan sistem secara rutin. Ancaman siber berbasis AI terus berkembang dan celah pada infrastruktur dasar seperti PHP dapat berdampak luas terhadap privasi data masyarakat digital.
