Dua Celah Keamanan PHP Ditemukan AI, Jutaan Situs Web di Berbagai Negara Dinonaktifkan Sementara

Jutaan situs web di seluruh dunia menghadapi risiko serangan siber setelah ditemukannya dua celah keamanan kritis pada sistem Hypertext Preprocessor (PHP). Kerentanan yang dijuluki "eksploitasi PHP2Shell" ini teridentifikasi melalui pemindaian kecerdasan buatan (AI) pada pertengahan Agustus 2026.

Menurut laporan resmi PHP Foundation yang dirilis pada Rabu (21/10), kedua celah tersebut terdaftar dengan kode CVE-2026-109618 dan CVE-2026-109619. Kerentanan ini beroperasi pada sistem manajemen memori dan penanganan kesalahan (error handling) PHP. Kondisi tersebut memungkinkan peretas melakukan penyerangan jarak jauh atau remote code execution (RCE) tanpa autentikasi untuk mengambil alih kendali server serta mencuri data sensitif.

PHP merupakan bahasa pemrograman yang mendasari sekitar 70 persen situs web di internet selama lebih dari 30 tahun, termasuk platform seperti WordPress, Drupal, Joomla, dan Magento. Mengutip The Guardian, jangkauan teknologi ini membuat layanan pemerintah, toko online, perbankan, hingga situs media besar seperti Wikipedia dan Facebook turut terancam.

Sebagai langkah pencegahan, banyak lembaga dan organisasi pemerintah di Amerika Serikat, Inggris, Prancis, Belanda, Kanada, Jepang, Jerman, serta berbagai negara lain telah menonaktifkan sementara layanan web mereka. Keputusan penutupan akses ini diambil menyusul bocornya informasi kerentanan di forum media sosial, yang awalnya dirahasiakan oleh para pengembang.

Penemuan celah keamanan ini melibatkan kerja sama antara perusahaan keamanan siber Calif dan Wiz dengan model AI dari Anthropic serta program Patch the Planet milik OpenAI. Seorang peneliti bernama Ryan A dari Calif turut terlibat dalam proses identifikasi tersebut.

Untuk mengatasi masalah ini, PHP Foundation telah menyediakan versi pembaruan keamanan, yakni PHP 8.5.12, 8.4.27, 8.3.36, dan PHP 8.2.35. Lembaga keamanan siber global seperti NSA, NCSC, dan FBI mendesak pengelola situs web untuk segera memasang pembaruan sistem (patch) atau menonaktifkan layanan sementara jika pembaruan belum dapat dilakukan.

Pakar keamanan siber Sophos Counter Threat Unit, Don Smith, memperingatkan bahwa pelaku ancaman bergerak cepat dengan bantuan AI sehingga kasus PHP2Shell kemungkinan menjadi target prioritas dalam hitungan jam hingga hari ke depan. Penanganan celah ini dinilai menantang karena PHP Foundation hanya didukung oleh 13 pengembang inti yang bekerja secara penuh maupun paruh waktu.