Celah Keamanan pada PHP, 70 Persen Website di Dunia Ikut Terdampak

JAKARTA – Sebuah peringatan keamanan siber berskala global telah memicu kekacauan di dunia maya. Situs web milik pemerintah, media, dan berbagai organisasi di seluruh dunia terpaksa dinonaktifkan atau mengalami gangguan pada Rabu (21/10/2026) menyusul ditemukannya dua celah keamanan kritis pada PHP, bahasa pemrograman yang menjadi tulang punggung sebagian besar internet. Celah kerentanan yang dinamai CVE-2026-109618 dan CVE-2026-109619 secara kolektif disebut sebagai PHP2Shell, merupakan dua kerentanan berdampak tinggi pada PHP versi 5.4–8.5 yang memungkinkan eksekusi kode jarak jauh (remote code execution/RCE). Keberadaan kerentanan ini diumumkan kepada publik pada 20 Oktober 2026.

Celah keamanan tersebut ditemukan oleh kecerdasan buatan (AI) dan oleh perusahaan keamanan siber Wiz disebut sebagai "kerentanan paling parah yang pernah ditemukan" oleh teknologi tersebut. Perbaikan (patch) darurat telah dirilis pada Rabu sore, namun skala kerentanannya memaksa banyak pihak untuk mengambil langkah drastis.

Berdampak Global

Pemerintah Finlandia dilaporkan telah menutup sementara layanan web publik mereka. Badan keamanan siber Belanda juga mengumumkan penonaktifan situs web mereka sendiri karena kerentanan ini. Di Jepang, Perdana Menteri Sanae Takaichi melalui sebuah unggahan di platform X, mendesak publik untuk memeriksa apakah situs web mereka yang dapat diakses publik menggunakan PHP.

Dampak yang paling luas dirasakan oleh pengguna internet adalah gangguan pada Wikipedia. Yayasan Wikimedia, yang mengelola ensiklopedia online tersebut, menyatakan bahwa mereka telah menonaktifkan sejumlah sistem lain sebagai langkah pencegahan hingga dapat ditambal dengan aman. Akibatnya, sebagian pengguna tidak dapat mengakses bagian-bagian tertentu dari Wikipedia pada hari Rabu.

Selain itu, situs web Dewan Kota Edinburgh menjadi tidak dapat diakses, begitu pula dengan situs online untuk beberapa program BBC, termasuk Doctor Who dan The Traitors. Platform seni DeviantArt juga mengumumkan bahwa mereka "sementara tidak aktif untuk pemeliharaan" tanpa merinci alasannya.

Ancaman Serangan dan Respons Pemerintah

Badan Keamanan Siber Nasional (NCSC) Inggris, bersama dengan mitra di Uni Eropa dan Australia, telah mendesak organisasi yang menggunakan PHP untuk segera menerapkan perbaikan. NCSC menekankan, "Jika remediasi segera tidak dapat dilakukan, organisasi harus mempertimbangkan untuk menonaktifkan sistem hingga dapat sepenuhnya dimitigasi."

Badan Keamanan Nasional (NSA) AS juga mengeluarkan saran serupa, memperingatkan bahwa "kerentanan ini sering kali menyediakan jalur langsung ke sistem file atau basis data server." Sementara itu, Gedung Putih menyatakan bahwa lembaga-lembaga federal sedang bekerja sama dengan laboratorium AI terkemuka untuk mempercepat perbaikan masalah ini.

Ancaman serangan siber mulai terlihat. Dane Knecht, Chief Technology Officer di perusahaan infrastruktur internet Cloudflare, mengungkapkan bahwa pihaknya "melihat serangan awal mulai muncul dan sedang memperbarui mitigasi seiring munculnya vektor-vektor baru."

Kronologi Penemuan dan Skala Kerentanan pada Bahasa Pemrograman PHP

Kerentanan ini ditemukan oleh para peneliti di perusahaan Calif dan Wiz, yang merupakan bagian dari program bernama Patch the Planet yang diinisiasi oleh OpenAI. Program ini memberi mereka akses ke alat AI canggih untuk menemukan dan memperbaiki celah pada bahasa pengembangan web.

OpenAI menyebut penemuan ini sebagai "salah satu masalah keamanan paling berdampak dalam ingatan baru-baru ini." Celah ini telah luput dari deteksi selama lebih dari satu dekade dan baru ditemukan dalam beberapa minggu setelah menggunakan alat AI canggih.

Wiz memperkirakan bahwa "sekitar 70%" dari internet terdampak, meskipun angka ini belum dapat diverifikasi secara independen. Meskipun Yayasan PHP berencana merilis penemuan dan perbaikan lengkap pada akhir bulan ini, detail kerentanan bocor di media sosial pada hari Selasa, memaksa mereka untuk mempercepat pengumuman.

CERT-EU (Tim Tanggap Darurat Komputer Uni Eropa) menyatakan bahwa kerentanan ini berpotensi memungkinkan "eksekusi kode jarak jauh tanpa autentikasi," yang dapat digunakan peretas untuk memasang malware dan melumpuhkan situs web. Meskipun belum jelas versi PHP mana yang terdampak, CERT-EU memperkirakan hal ini dapat memengaruhi semua versi sejak PHP 5 yang diluncurkan pada tahun 2004. Yayasan PHP sendiri baru merilis pembaruan untuk versi terbaru, dan mendesak pengguna PHP 8.1 atau yang lebih lama untuk segera meningkatkan versi mereka.

PHP adalah bahasa pemrograman yang dibuat untuk pengembangan web dan digunakan pada server untuk menjalankan apa yang Anda lihat saat mengunjungi sebuah situs. Meskipun tidak semua situs web menggunakannya, PHP menggerakkan sebagian besar internet, termasuk platform seperti WordPress, Drupal, Joomla, dan Magento, maupun framework web development populer seperti Code Igniter dan Laravel.

Bahan bacaan :

- PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet -- https://www.wiz.io/blog/php2shell-php-rce

- Websites taken down worldwide as critical cyber-security update issued -- https://www.bbc.com/news/articles/cmly0lg3w5x2o