Dua Celah Kritis PHP Tersembunyi Satu Dekade, Situs Pemerintah di Berbagai Negara Dinonaktifkan

Dua kerentanan dengan tingkat kritis pada bahasa pemrograman PHP, yakni CVE-2026-109618 dan CVE-2026-109619, ditemukan setelah tersembunyi selama lebih dari satu dekade. Celah ini memungkinkan pelaku kejahatan siber menjalankan kode dari jarak jauh di inti PHP, yang berpotensi membahayakan data sensitif dan jaringan.

Penemuan tersebut dilakukan oleh dua perusahaan keamanan siber, Calif dan Wiz, dengan memanfaatkan teknologi kecerdasan buatan (AI). Menurut keterangan sumber, Calif mendeteksi celah itu pada 1 Agustus menggunakan large language model (LLM). Sementara itu, Wiz mengandalkan platform Wiz Atlas berbasis AI serta model Google Gemini 4 Argon dan OpenAI GPT-5.6 Sol.

Fakta bahwa AI mampu mendeteksi kerentanan yang luput selama bertahun-tahun memunculkan kekhawatiran baru. Teknologi serupa dinilai dapat digunakan oleh peretas untuk mengeksploitasi celah tersebut guna melakukan pembobolan.

PHP merupakan bahasa pemrograman open source yang telah digunakan lebih dari 30 tahun untuk menjalankan sebagian besar situs web global. Sistem manajemen konten (CMS) populer seperti WordPress, Drupal, Joomla, dan Magento juga dibangun dengan teknologi ini.

Kekhawatiran akan eksploitasi mendorong banyak pengelola situs web, terutama lembaga pemerintah yang menyimpan data sensitif, langsung menonaktifkan layanan mereka sebagai langkah pencegahan. Tindakan ini diambil setelah muncul peringatan bahwa peretas mulai memanfaatkan celah keamanan tersebut.

PHP Foundation menyampaikan seruan pengamanan pada Rabu (21/10) untuk mencegah pembobolan. Mereka telah merilis versi perbaikan, yaitu PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35.

Pada hari yang sama, lembaga keamanan siber di berbagai negara mengimbau pengguna PHP untuk segera menerapkan pembaruan atau menonaktifkan situs sementara hingga perbaikan selesai. FBI juga mendesak organisasi pemerintahan dan pengelola situs web melalui unggahan di X pada Rabu (21/10) agar mengambil langkah pengamanan server.