Rabu pagi, 21 Oktober 2026, sebagian internet di Eropa mendadak gelap. Bukan karena kabel laut putus atau serangan DDoS besar-besaran. Pemerintah Finlandia mematikan sendiri layanan publiknya, Belanda mencabut situs lembaga keamanan sibernya, sejumlah kementerian di Prancis menutup halaman resmi, dan Wikipedia kehilangan beberapa sistem untuk sementara. Semua ini buntut dari dua celah kritis PHP yang sekarang dikenal dengan nama php2shell.
PHP sendiri bukan nama asing buat orang yang pernah ngurus website. Bahasa pemrograman ini jadi mesin di balik WordPress, Drupal, Joomla, Wikipedia, Slack, dan dulu sebagian besar Facebook. Kalau kamu punya blog atau toko online, kemungkinan besar situsmu juga jalan di atas PHP. Wiz Research memperkirakan sekitar 70 persen situs di internet memakai PHP sebagai bahasa sisi server.
Apa sebenarnya yang bocor dari celah kritis PHP ini
Ada dua nomor CVE yang jadi biang masalah: CVE-2026-109618 dan CVE-2026-109619. Dua-duanya dapat skor CVSS 9.2, masuk kategori kritis. Yang bikin repot, penyerang bisa menjalankan kode mereka sendiri di server tanpa perlu login sama sekali. Bukan cuma baca file, tapi eksekusi perintah.
Celah pertama berakar pada cara PHP mengurus memori. Kalau sebuah request menyentuh batas memory_limit di momen yang pas, PHP bisa meninggalkan data internal yang belum selesai diinisialisasi. Data sampah itu kemudian dianggap valid oleh proses berikutnya, dan memori pun kacau. Di Apache dengan mod_php, satu request tanpa autentikasi sudah cukup memicu ini sebelum kode aplikasi jalan.
Celah kedua soal status global yang basi. Fatal error di titik tertentu bikin state internal PHP masih menunjuk ke memori milik request sebelumnya. Worker yang sama lalu memakai memori yang sudah dilepas itu untuk request berikutnya. Wiz mendemonstrasikan ini sebagai remote code execution di Drupal dan WordPress versi terbaru, tanpa kredensial apa pun.
Yang penting digarisbawahi: masalahnya ada di inti PHP, bukan di WordPress atau Drupal. Aplikasi “Hello World” sederhana yang jalan di versi PHP terdampak pun tetap rentan. Makanya patch harus datang dari sisi PHP, bukan dari plugin keamanan atau tema.
Celah kritis PHP ini sudah menganggur sejak 2012
Bagian paling bikin merinding: bug-nya sudah ada lebih dari satu dekade. Wiz menyebut semua versi PHP yang dirilis dalam sepuluh tahun terakhir kena, mundur sampai versi 5.4 yang keluar sekitar 2012. Artinya server yang jarang di-update bukan cuma ketinggalan fitur, tapi sudah lama menyimpan pintu belakang yang belum ketahuan.
PHP Foundation sendiri sebenarnya sudah mencium gelagat aneh di kasus out-of-memory pada 2024. Waktu itu temuannya dianggap tidak signifikan. Baru setelah beberapa tim meneliti dari sudut berbeda, dampak penuhnya kelihatan. Kesimpulannya: rantai eksploitasinya terlalu rumit untuk ditelusuri manusia dengan waktu dan biaya wajar.
AI yang menemukan, bukan manusia
Penemuan itu justru datang dari mesin. Wiz menemukan varian pertama pada 19 Agustus 2026 dan melaporkannya lima hari kemudian. Calif, firma keamanan yang ikut program Patch the Planet bentukan OpenAI, mulai mengaudit PHP pada 30 Juli dan melaporkan remote code execution pada 11 Agustus. Tim internal OpenAI menemukan akar masalah yang sama di hari yang sama, lalu menambah varian serangan lain pada 18 September. Trail of Bits menyusul dengan audit sendiri.
Program Patch the Planet memberi peneliti akses ke model frontier untuk memburu bug di perangkat lunak open source. Wiz menyebut model AI membuat proses yang biasanya makan berbulan-bulan bisa selesai dalam hitungan jam, termasuk menyusun eksploit yang jalan di beberapa aplikasi sekaligus.
Jadi kalau ada yang bertanya kenapa bug 14 tahun tiba-tiba ketemu dalam tiga minggu, jawabannya bukan karena PHP tiba-tiba jadi buruk. Alat yang dipakai mencari jauh lebih tajam sekarang. Efek sampingnya jelas: jumlah laporan kerentanan ke tim PHP melonjak, dan tim itu harus menyortir lebih dari 100 laporan yang ternyata duplikat atau tidak bisa direproduksi sejak Juli.
Situs mana saja yang tumbang
Reaksi pemerintah Eropa cukup dramatis. Finlandia mematikan sementara layanan web publiknya. Badan keamanan siber Belanda mencabut situsnya sendiri, disusul Tweede Kamer, RIVM, dan sejumlah layanan kesehatan. Situs kementerian di Prancis, Belgia, dan Jerman juga ikut gelap. Di Inggris, situs dewan kota Edinburgh sampai beberapa halaman program BBC tidak bisa diakses.
Wikimedia Foundation menurunkan sejumlah sistem sebagai langkah hati-hati sampai semuanya benar-benar ditambal. DeviantArt menulis “sedang maintenance” tanpa menyebut alasan. NSA menyarankan organisasi yang belum bisa update untuk mematikan sistemnya dulu. NCSC Inggris memberi saran serupa, plus mengingatkan soal kemungkinan backdoor yang sudah terpasang.
Baca juga: Microsoft Pakai AI Tambal 1.102 Celah Keamanan Windows, Rekor Sepanjang Sejarah
Cara menambal server yang kena celah kritis PHP
Kabar baiknya, patch sudah tersedia. PHP merilis 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 pada 21 Oktober 2026, dipercepat sehari dari jadwal awal karena nomor CVE sudah bocor di forum. Kalau kamu punya kendali penuh atas server, langkahnya cukup jelas:
- Update paket PHP lewat package manager distro, lalu restart Apache atau PHP-FPM supaya modul baru benar-benar kepakai.
- Kalau pakai Docker, tarik ulang image resmi PHP versi terbaru. Container lama tidak akan menambal dirinya sendiri.
- Cek juga image turunan seperti wordpress:latest atau drupal:latest. Base image-nya ikut menentukan versi PHP di dalamnya.
- Matikan sementara akses publik kalau patch belum bisa dipasang, lalu pantau log untuk aktivitas mencurigakan setelah update.
Untuk pengguna shared hosting, biasanya kamu tidak bisa mengubah versi PHP sendiri. Masuk ke cPanel, cari menu Select PHP Version atau MultiPHP Manager, dan pilih versi yang sudah ditambal. Kalau pilihannya belum ada, hubungi penyedia hosting dan tanyakan jadwal update mereka. Ini bukan hal yang bisa ditunda sampai bulan depan.
WordPress juga tidak menyelesaikan masalah ini lewat auto-update. Wordfence mengingatkan bahwa pembaruan inti, tema, dan plugin tidak menyentuh versi PHP di server. Selama host belum memasang patch, situsmu tetap terbuka meski semua plugin sudah versi terbaru.
Kenapa kebocoran informasi bikin panik
Seharusnya detail teknis baru dibuka pada 22 Oktober. Kenyataannya, pada 20 Oktober sekitar pukul 15.00 UTC, dua nomor CVE itu sudah beredar di forum dan media sosial. Skor yang ikut tersebar salah, ditulis 10.0 padahal aslinya 9.2. Waktu rilis yang disebut juga keliru. PHP pun mempercepat pengumuman resmi.
Meski tidak ada detail teknis yang bocor saat itu, para ahli sudah memperkirakan gelombang serangan. Costin Raiu dari TLP:Black menyebut situasi ini sebagai “race to exploit”, perlombaan siapa yang lebih cepat memanfaatkan bug sebelum mayoritas server ditambal. Profesor Alan Woodward dari Universitas Surrey mengingatkan soal ekor panjang situs yang tidak terawat, yang bisa jadi sasaran selama berminggu-minggu ke depan.
Yang perlu dilakukan pengelola situs di Indonesia
Di Indonesia, PHP punya posisi yang sangat kuat. Mayoritas situs pemerintahan daerah, sekolah, koperasi, sampai UMKM dibangun di atas WordPress atau aplikasi PHP lain, sering kali di shared hosting yang versi PHP-nya ditentukan penyedia. Artinya, kesiapan menambal bug ini sangat bergantung pada hosting masing-masing, bukan pada pemilik situs.
Ada beberapa langkah yang realistis diambil sekarang:
- Cek versi PHP situsmu lewat phpinfo atau menu hosting. Kalau masih di bawah 8.2.35, minta hosting naik versi hari ini.
- Kalau kamu mengelola server sendiri, jadwalkan patch di luar jam sibuk dan siapkan rollback kalau ada plugin yang tidak kompatibel.
- Audit log akses 48 jam terakhir untuk pola aneh, terutama request yang memicu error memori berulang.
- Jangan mengandalkan plugin firewall sebagai pengganti patch. Aturan WAF bisa membantu menahan eksploit yang sudah dikenal, tapi tidak menutup bug di inti bahasanya.
- Simpan backup terakhir di tempat terpisah, karena skenario terburuk selalu berakhir dengan pemulihan dari backup.
Baca juga: GoTo Rilis LLM Open-Source 27 Miliar Parameter: Bisa Pahami Bahasa Jawa sampai Batak, Gratis
Yang menarik buat saya, kasus ini menunjukkan sisi lain dari kemajuan AI. Selama ini kita terbiasa membahas AI dari sisi produktivitas, model makin murah, atau fitur makin pintar. Sekarang AI yang sama dipakai untuk membongkar bug yang selama 14 tahun lolos dari mata manusia. Hasilnya bagus karena patch keluar cepat, tapi juga bikin panik karena semua orang sadar betapa rapuhnya fondasi web yang kita pakai tiap hari.
Buat kamu yang cuma punya satu blog atau toko online, langkahnya sederhana: cek versi PHP, minta hosting update, lalu pastikan situsnya masih normal setelah itu. Tidak perlu ikut panik seperti pemerintah Eropa, tapi juga jangan santai. Celah kritis PHP ini tidak memilih target berdasarkan besar kecilnya situs.
Sumber
1. Wiz Research – PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet
2. The PHP Foundation – Today’s PHP Security Release
3. BBC News – Websites taken down as critical PHP cyber-security update issued
4. The Guardian – Flaw in PHP computer language leads to shutdown of websites around world
5. php.net – Arsip rilis dan pengumuman keamanan PHP 2026
Sumber gambar: Wiz Research (ilustrasi riset PHP2Shell).
