PHP2Shell Retas 70% Internet, Patch Darurat Dirilis

Telset.id – Kerentanan kritis pada PHP yang dijuluki PHP2Shell memaksa jutaan pengguna internet di seluruh dunia berlomba menambal sistem mereka, karena bug ini memungkinkan penyerang membobol server tanpa perlu kata sandi. Dua celah keamanan yang diberi kode CVE-2026-109618 dan CVE-2026-109619 itu telah lama tidak aktif hingga peneliti menemukan cara mengeksploitasinya. PHP sendiri menopang sekitar 70% internet yang menghadap publik, sehingga dampaknya terasa luas dan langsung.

PHP Foundation selaku pengelola perangkat lunak web PHP merilis patch resmi pada Rabu yang dapat menutup celah pada server yang terhubung ke internet. Sebelumnya, yayasan telah memberikan akses awal kepada sejumlah perusahaan internet besar dan penyedia hosting yang bergantung pada PHP. Berkat koordinasi industri selama berminggu-minggu, dunia sejauh ini terhindar dari eksploitasi massal. Namun para peneliti keamanan memperingatkan bahwa situasi belum berakhir dan masih banyak sistem di seluruh dunia yang belum ditambal.

Apa Itu PHP2Shell dan Mengapa Berbahaya?

PHP2Shell digolongkan sebagai remote code execution, jenis celah yang dapat disalahgunakan dari jarak jauh lewat internet tanpa korban harus mengklik tautan atau membuka file. Serangan ini juga tergolong unauthenticated access, artinya penyerang tidak memerlukan kata sandi atau kredensial apa pun untuk masuk ke sistem yang belum ditambal. Begitu berhasil, hacker bisa menanam malware untuk mencuri data atau mempertahankan akses jangka panjang.

Kedua bug pertama kali ditemukan pada 2024, tetapi saat itu dianggap tidak dapat dieksploitasi sehingga tidak ditambal. Peneliti keamanan dari Calif kemudian menemukan cara mengeksploitasinya dan memberi tahu pembuat perangkat lunak. Calif lalu mengontak PHP Foundation yang menjalankan periode perbaikan dan pengungkapan terkoordinasi, termasuk membagikan informasi serta patch di bawah embargo ketat kepada perusahaan besar.

Dampaknya terasa nyata. Mulai Rabu, sejumlah pemerintah mendesak warga dan perusahaan pemilik situs web mengambil langkah mitigasi. Berbagai industri menutup situs dan menarik layanan mereka untuk menambal sistem, termasuk bank, peritel, situs game, toko online, rumah sakit, dan beberapa instansi pemerintah. Platform edukasi Smartschool bahkan tercatat offline akibat dua kerentanan kritis ini.

PHP sangat populer karena gratis, relatif mudah digunakan, dan telah hadir puluhan tahun. Sejumlah situs paling populer di dunia berjalan di atas perangkat lunak yang bergantung pada PHP, seperti WordPress, Drupal, Joomla, dan MediaWiki yang menggerakkan Wikipedia. Popularitas inilah yang membuat satu celah pada PHP berpotensi berdampak ke sebagian besar web. Seperti teknologi lawas lain yang menjadi perekat internet, PHP sering dipelihara pengelola open source yang tidak dibayar dan tak mampu membiayai audit keamanan pihak ketiga.

AI dan Eksploitasi Sebelum Patch

Peneliti di Calif menemukan bug ini sebagai bagian dari audit keamanan kode PHP. Calif berpartisipasi dalam inisiatif Hack the Planet yang digagas pembuat model AI OpenAI dan raksasa keamanan cloud Wiz, yang kemudian memverifikasi proof-of-concept eksploitasi buatan Calif. Dalam tulisannya, Calif menjelaskan AI membantu proses eksploitasi, tetapi sebagian besar pekerjaan tetap bergantung pada pengetahuan peneliti tentang basis kode dan riwayat eksploitasi PHP. “Tidak ada model yang sekadar mampu menggali ‘semua bug’ dengan prompt sederhana. Setidaknya untuk sekarang,” tulis Calif.

Meski detail bug dijaga hingga Rabu, Amazon mendeteksi eksploitasi PHP2Shell sekitar sepekan sebelum patch tersedia. Amazon tidak memastikan bagaimana hacker mengetahui kerentanan tersebut, tetapi menyarankan defender memeriksa bukti eksploitasi sejak 17 Oktober. Ada beberapa teori, mulai dari patch yang langsung dapat diperiksa karena kode PHP bersifat open source, kemungkinan kebocoran atau gangguan komunikasi selama embargo, hingga penemuan mandiri oleh hacker. PHP Foundation menyalahkan satu perusahaan yang merilis patch beberapa jam sebelum embargo berakhir.

Hingga Jumat malam, Palo Alto Networks dan Trail of Bits mengonfirmasi adanya kompromi dan aktivitas pasca-eksploitasi terkait bug PHP. Itu berarti celah ini telah disalahgunakan untuk membobol dan melakukan aktivitas berbahaya pada target yang belum diketahui. Matthew Prince, CEO Cloudflare, menyebut pihaknya melihat lonjakan eksponensial upaya eksploitasi setelah pengungkapan. Situasi ini sejalan dengan peringatan bahwa krisis keamanan siber memang mengancam perusahaan, sebagaimana dibahas dalam laporan Krisis Keamanan Siber.

PHP tidak hanya ditemukan di server web, tetapi juga di alat pengembang, paket command line dan terminal, serta komponen perangkat lunak pada router, perangkat penyimpanan, dan perangkat keamanan enterprise seperti firewall dan VPN. Eksploitasi PHP2Shell diperkirakan masih akan muncul karena tim IT kecil dan pengembang tunggal mungkin lebih lambat memperbarui sistem. Efek riaknya bisa terasa bertahun-tahun, terutama pada sistem legacy yang tidak punya cara untuk diperbarui.

Kemunculan celah seperti ini juga dinilai bukan peristiwa terakhir. PHP termasuk teknologi “memory unsafe” yang rentan terhadap kelas kerentanan tertentu yang dapat memaksa perangkat lunak membocorkan data sensitif dari memori. National Security Agency menyebut sekitar 75% kerentanan yang aktif dieksploitasi memanfaatkan cacat terkait memori. Hal ini mendorong peralihan ke bahasa memory-safe seperti Python, Rust, dan Swift yang dinilai lebih kebal terhadap sebagian besar kerentanan tersebut.

Peristiwa PHP2Shell mengingatkan bahwa infrastruktur digital bergantung pada teknologi lawas yang kerap luput dari perhatian. Sebelumnya, insiden serupa pernah terjadi lewat botnet yang melumpuhkan Dyn pada 2016, ransomware yang menyerang sistem kesehatan Inggris pada 2017, dan pembaruan CrowdStrike yang membuat komputer Windows di seluruh dunia crash pada 2024. Tren pemanfaatan kelemahan teknologi legacy ini juga sejalan dengan sorotan industri terhadap ketahanan sistem, seperti yang tampak dalam diskusi SaaSpocalypse Salesforce. Bagi pemilik situs dan tim IT, langkah paling mendesak tetap satu: pastikan patch PHP2Shell sudah terpasang sebelum celah ini dieksploitasi lebih luas.