PHP2Shell: Celah Kritis PHP yang Ditemukan dengan Bantuan AI, Apa Artinya bagi Pemilik Website?

Pekan lalu, dunia keamanan siber diguncang oleh dua celah kritis pada PHP, bahasa pemrograman yang menjalankan sebagian besar situs web di dunia. Celah yang dijuluki PHP2Shell ini istimewa bukan hanya karena dampaknya yang luas, tetapi juga karena cara menemukannya: dengan bantuan model AI. Bagi Indonesia, tempat banyak situs instansi, toko daring, dan blog dibangun di atas PHP, kabar ini layak dicermati dengan tenang namun serius.

Apa yang terjadi?

Pada 21 Oktober 2026, dua kerentanan pada inti PHP diumumkan ke publik dengan kode CVE-2026-109618 dan CVE-2026-109619. Menurut Google Cloud, keduanya mendapat skor keparahan CVSS 9,2 (kritis). Celah ini memungkinkan penyerang menjalankan kode dari jarak jauh (remote code execution) tanpa perlu login, cukup dengan mengirim permintaan HTTP yang dirancang khusus.

Secara sederhana, masalahnya ada pada cara PHP mengelola memori ketika pemrosesan sebuah permintaan terhenti mendadak:

• CVE-2026-109618 berkaitan dengan penanganan kondisi kehabisan memori (out-of-memory), yang bisa membuat data internal tertinggal dalam keadaan setengah jadi lalu dianggap valid saat pembersihan.
• CVE-2026-109619 adalah celah use-after-free: status internal sebuah permintaan masih tersisa setelah memorinya dibebaskan, lalu bisa terpakai oleh permintaan berikutnya.

Versi yang terdampak sangat panjang, yaitu PHP 5.4 hingga 8.5.11. Perbaikannya tersedia di PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. PHP 8.1 ke bawah sudah berstatus end-of-life, sehingga tidak mendapat perbaikan resmi.

Peran AI dalam penemuan

Di sinilah sisi AI-nya. OpenAI menyebut perusahaan keamanan Calif menemukan salah satu celah memakai model GPT-5.6 Sol dalam inisiatif bernama Patch the Planet, sementara Wiz juga menemukan dan melaporkan kedua celah secara independen. Google menambahkan bahwa model Gemini 4 Argon ikut berkontribusi dalam proses penemuan, analisis, dan validasi perbaikan yang dilakukan Wiz.

Selama sekitar dua bulan sebelum pengumuman, para pengelola PHP, peneliti, dan penyedia keamanan seperti Cloudflare bekerja sama menyiapkan perbaikan. OpenAI menyebut kasus ini sebagai "salah satu masalah keamanan paling berdampak dalam ingatan terakhir" dan menilai AI menemukan celah ini lebih dulu daripada penyerang, sehingga membuka "jendela bagi pihak bertahan" untuk bersiap.

Jendela itu ternyata sempit. Cloudflare melaporkan informasi celah sempat bocor sebelum tanggal rilis resmi dan mereka mengamati lalu lintas serangan. Menurut laporan Associated Press, CEO Cloudflare Matthew Prince menyebut ada "jutaan" upaya eksploitasi dalam hitungan jam setelah pengumuman. FBI dan CISA di Amerika Serikat meminta organisasi segera memperbarui PHP, bahkan menyarankan sistem yang belum bisa diperbarui untuk sementara dimatikan.

Gaung di Indonesia

Badan Siber dan Sandi Negara (BSSN) juga menerbitkan peringatan. Rekomendasinya cukup jelas:

1. Perbarui PHP ke versi yang sudah diperbaiki sesuai jalur versi yang dipakai.
2. Terapkan pembaruan pada seluruh runtime PHP yang melayani web, termasuk PHP-FPM, Apache mod_php, dan php-cgi, lalu restart layanan terkait.
3. Jika pembaruan belum bisa dilakukan, batasi akses jaringan atau isolasi layanan yang terhubung ke internet sampai patch terpasang.

Bagi pemilik situs WordPress atau CMS lain di shared hosting, langkah praktisnya adalah memeriksa versi PHP di panel hosting dan menanyakan status pembaruan kepada penyedia layanan. Jangan berasumsi semuanya sudah aman hanya karena situs masih berjalan normal.

Keterbatasan dan konteks

Ada beberapa hal yang perlu dipahami agar tidak panik berlebihan maupun lengah:

• Belum ada bukti eksploitasi sukses yang meluas. Saat menerbitkan peringatannya, CISA menyatakan belum mengamati eksploitasi yang berhasil. BSSN juga mencatat keberhasilan serangan bergantung pada kondisi pemrosesan permintaan dan konfigurasi PHP.
• WAF hanya penahan sementara. Web application firewall bisa membantu, tetapi tidak menggantikan pembaruan PHP.
• Ceritanya masih berkembang. Pada 23 Oktober, Cloudflare melaporkan celah terkait (CVE-2026-115560) di fitur session upload progress yang juga memengaruhi rilis yang sudah ditambal, dan baru akan diperbaiki di rilis PHP berikutnya. Pantau terus pengumuman resmi.
• Pedang bermata dua. OpenAI sendiri mengakui kemampuan AI yang membantu menemukan celah juga bisa membantu penyerang membuat eksploit lebih cepat. CEO OpenAI Sam Altman, dalam acara di Stanford Graduate School of Business pada 21 Oktober, bahkan berkata ia tidak lagi yakin semua bug bisa ditambal satu per satu, dan pihak bertahan perlu memakai AI untuk membangun pertahanan jenis baru.

Pelajarannya: era ketika celah ditemukan lebih cepat sudah tiba. Kebiasaan memperbarui perangkat lunak secara rutin, mencatat sistem apa saja yang dipakai, dan punya rencana darurat kini bukan lagi pilihan, melainkan kebutuhan dasar.

Coba di Sumber AI

Tidak semua pemilik usaha atau pengelola situs paham istilah seperti use-after-free atau PHP-FPM. Di Sumber AI, Anda bisa memakai fitur chat untuk meminta penjelasan istilah teknis dalam bahasa yang sederhana, menyusun daftar periksa pembaruan untuk tim, atau merancang pesan yang jelas untuk penyedia hosting. Tetap jadikan pengumuman resmi dari PHP, BSSN, dan penyedia layanan Anda sebagai acuan utama, lalu gunakan AI untuk membantu memahami dan menindaklanjutinya. Mulai di sumber.ai.id.

Sumber

• Associated Press via PBS News, "AI discovered a software vulnerability that could impact 70% of websites worldwide. The rush is on to patch it", 22 Oktober 2026: pbs.org
• OpenAI, "Patch the Planet: global response coordination as agents uncover critical vulnerabilities", 21 Oktober 2026: openai.com
• Google Cloud Blog, "Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619": cloud.google.com
• Cloudflare Blog, "Cloudflare deploys protections against php2shell vulnerability": blog.cloudflare.com
• CISA, "Critical Vulnerabilities in PHP Require Immediate Patching": cisa.gov
• Katadata, "BSSN Ungkap Cara Mitigasi Potensi Kena Hack Imbas Celah PHP2Shell": katadata.co.id
• Gizmodo, "Sam Altman: 'I No Longer Think We're Gonna Be Able to Just Patch All the Bugs'", 23 Oktober 2026: gizmodo.com
• Ringkasan diskusi di X: x.com/i/trending/2114059501561160085