bit/nusantara

BSSN Ingatkan Celah Kritis PHP2Shell, Ribuan Situs Terancam Serangan

Redaksi Bit Nusantara ·

Ekspose panjang spektakuler dari peluncuran roket di bawah langit malam yang cerah dan bertabur bintang, menampilkan jejaknya.
Ilustrasi · Foto: SpaceX / Pexels

TL;DR · Ringkasan

BSSN memperingatkan pengelola situs di Indonesia soal dua celah kritis PHP2Shell yang membuka jalan bagi penyerang menjalankan kode berbahaya dari jarak jauh. Celah itu diumumkan global pada Rabu, 21 Oktober 2026, memicu penonaktifan situs pemerintah dan perusahaan di sejumlah negara serta lonjakan serangan. Pemerintah Indonesia mewaspadai dampaknya sejak Kamis, 22 Oktober 2026.

Poin kunci

  • Dua kerentanan PHP2Shell, CVE-2026-109618 dan CVE-2026-109619, bernilai 9,2 dari skala 10.
  • BSSN menyarankan pembaruan PHP, penerapan pada seluruh runtime, dan pembatasan akses jaringan bila pembaruan belum bisa dilakukan.
  • Cloudflare mencatat ribuan upaya eksploitasi sekitar 10 jam sebelum pengumuman publik, lalu jutaan setelahnya.
  • Situs pemerintah di sejumlah negara Eropa dinonaktifkan sementara, dan Perdana Menteri Jepang menutup situs pribadinya.
  • Survei wmtips mencatat PHP dipakai pada 81,9 persen situs Indonesia dengan platform terdeteksi.

JAKARTA, BIT NUSANTARA — Badan Siber dan Sandi Negara (BSSN) memperingatkan pengelola situs web di Indonesia agar segera menyikapi dua celah keamanan kritis yang dijuluki PHP2Shell. Kedua celah itu berpotensi dimanfaatkan penyerang untuk menjalankan kode berbahaya dari jarak jauh.

Pemerintah Indonesia mulai mewaspadai isu kerentanan pada bahasa pemrograman PHP ini sejak Kamis, 22 Oktober 2026. Sehari sebelumnya, Rabu 21 Oktober, peringatan keamanan siber global telah dikeluarkan untuk mendesak operator situs memasang perbaikan darurat.

PHP2Shell terdiri atas CVE-2026-109618 dan CVE-2026-109619, masing-masing bernilai 9,2 dari skala 10. Menurut BSSN, celah pertama muncul akibat kesalahan penanganan kondisi kehabisan memori, sedangkan celah kedua timbul karena sistem masih mengakses memori yang sudah dibebaskan. Kondisi kehabisan memori itu dapat dipicu lewat permintaan HTTP.

BSSN menyarankan pengelola memperbarui PHP ke versi yang sudah diperbaiki dan menerapkannya pada seluruh runtime. Bila pembaruan belum memungkinkan, akses jaringan perlu dibatasi.

Sistem yang masih memakai PHP 5 atau 7 mungkin memerlukan migrasi dan pengujian ulang.

PHP menopang sekitar 70 persen situs web yang bahasa pemrograman sisi servernya dapat diidentifikasi, berdasarkan data W3Techs. Di Indonesia, survei wmtips terhadap 33.049 situs mendapati PHP terpasang pada 81,9 persen situs dengan platform terdeteksi. Sekitar 5,3 persen situs berbahasa server-side yang diketahui masih memakai PHP 5, yang tak lagi mendapat pembaruan keamanan.

Di luar negeri, dampaknya sudah terlihat. Situs pemerintah di enam negara Eropa, yakni Jerman, Perancis, Belgia, Belanda, Finlandia, dan Ceko, dinonaktifkan sementara. Pemerintah Inggris menonaktifkan 32 layanannya sebagai langkah pencegahan. Wikimedia, pemerintah Finlandia, dan Dewan Kota Edinburgh juga menutup sebagian sistem atau situs mereka.

Perdana Menteri Jepang Sanae Takaichi bahkan menutup situs pribadinya sejak Rabu malam demi menghindari peretasan. "Kami menyampaikan permintaan mendesak ke semua orang untuk mengambil tindakan malam ini," kata Sanae Takaichi. Di Jepang, maskapai ANA, operator kereta JR West, dan bank MUFG turut melaporkan layanan mereka ditangguhkan.

Tekanan serangan terhadap celah ini tergolong tinggi. Amazon juga menyatakan lebih dulu menjadi sasaran serangan beberapa hari sebelum isu ini terbuka.

Meski begitu, PHP Foundation menilai belum ada serangan yang terbukti berhasil. Direktur eksekutifnya, Elizabeth Barron, menyebut yang ada hanyalah eksploitasi yang tidak lengkap, salah arah, dan tidak berfungsi. Badan Keamanan Nasional AS (NSA) mengimbau organisasi menonaktifkan sistem PHP bila tidak dapat segera menambal.

Kedua celah ini ditemukan dengan bantuan kecerdasan buatan. Perusahaan Calif menemukannya pada Agustus memakai model GPT-5.6 Sol milik OpenAI. Peneliti juga memakai model AI dari Gemini dan OpenAI sebelum pengungkapan pada 21 Oktober 2026. Informasi ini disampaikan ke publik setelah PHP Foundation menemukan solusi.

Praktisi keamanan siber Alfons Tanujaya menilai imbauan lembaga seperti BSSN perlu disusul langkah terkoordinasi yang lebih tegas. Ia menambahkan bahwa migrasi dari PHP versi lama ke versi baru dapat memakan waktu berhari-hari hingga berbulan-bulan.

Pengelola juga diminta tidak menjadikan tampilan normal sebagai tolok ukur keamanan. Situs terdampak dapat tetap diakses dan terlihat wajar meski server di belakangnya telah disusupi.

"Tidak adanya gejala, tidak menjamin sistem bersih," kata Prof. Dr. Ahmad M Ramli.

// Analisis redaksi

pendapat Redaksi Bit Nusantara · terpisah dari fakta

Bila angka-angka di bahan dibaca bersama, eksposur Indonesia berpotensi lebih besar daripada rata-rata dunia. PHP dipakai pada sekitar 70 persen situs secara global, sedangkan survei terhadap situs Indonesia menunjukkan angka 81,9 persen. Perbedaan itu patut dicermati karena imbauan BSSN menyasar populasi situs yang lebih bergantung pada PHP dibanding pengelola di banyak negara lain.

Persoalan lain adalah kesenjangan antara imbauan dan penerapan. Pembaruan dari PHP lama ke versi baru dapat memakan waktu berhari-hari hingga berbulan-bulan, sementara sebagian situs masih memakai PHP 5 yang tak lagi mendapat pembaruan keamanan. Ditambah catatan bahwa situs yang disusupi bisa tampak normal, pengelola dengan sistem lama berpotensi menghadapi jeda risiko yang cukup panjang. Pernyataan PHP Foundation bahwa belum ada serangan berhasil dapat dibaca sebagai kabar baik, tetapi lonjakan upaya eksploitasi yang dicatat Cloudflare menjadi pertanyaan terbuka soal seberapa lama kondisi itu bertahan.