PHP2Shell: Celah PHP Warisan 2012 yang Dibongkar AI, Puluhan Juta Website Kini Diuji Bencana

Sebuah celah keamanan berumur lebih dari satu dekade bernama PHP2Shell menjadi topik terpanas di dunia teknologi pekan ini. Dua kerentanan kritis pada inti mesin PHP — CVE-2026-109618 dan CVE-2026-109619 — memiliki skor keparahan 9,2 dari skala 10 (CVSS 4.0), dan berpotensi memungkinkan penyerang menjalankan kode dari jarak jauh tanpa autentikasi apa pun.

Yang membuatnya viral: celah itu baru terungkap setelah peneliti dibantu kecerdasan buatan. Sejak 21 Oktober 2026, situs pemerintah di Belanda, Finlandia, Prancis, Denmark, hingga Jerman memilih mematikan layanan sementara demi menutup celah ini. Wikimedia Foundation juga menonaktifkan sejumlah sistemnya sampai patch dipasang.

AI yang Menemukan Celah 20 Tahun

Penelitian dilakukan Wiz Research dengan memanfaatkan sejumlah model AI, termasuk Gemini 4 Argon dan GPT-5.6 Sol. Pada pengumuman resmi Google Cloud, CISO Chris Betz dan Head of Gemini Security Raluca Ada Popa menjelaskan bahwa Gemini membantu menemukan kerentanan, membangun metode pengujian serangan, hingga memverifikasi perbaikannya bekerja.

Alurnya menarik: penelitian mulai 19 Agustus 2026, sehari kemudian eksekusi kode jarak jauh tanpa autentikasi terbukti bisa dilakukan pada Drupal, lalu pada 21 Agustus dicontohkan juga pada WordPress. Temuan dilaporkan ke tim keamanan PHP pada 24 Agustus, dan baru diumumkan ke publik 21 Oktober setelah patch tersedia.

"Pekerjaan yang sebelumnya diperkirakan membutuhkan tim ahli selama berbulan-bulan dapat diselesaikan seorang peneliti dalam sekitar satu minggu," tulis detikInet mengutip keterangan para peneliti.

Mengapa Hampir Seluruh Web Terancam

PHP2Shell bahaya karena ia hidup di PHP itu sendiri, bukan di satu aplikasi tertentu. Sansec melaporkan kode rawan ini berasal dari PHP 5.4 tahun 2012 dan konfigurasi default ternyata terekspos. Dengan sekitar 70-80 persen website yang diketahui bahasa servernya memakai PHP — setara puluhan juta situs — dampaknya melanda seluruh ekosistem web, termasuk WordPress dan Drupal yang menyala di jutaan server.

Perkiraan Unit 42 menyebut lebih dari 22,6 juta instance PHP yang terekspos internet berpotensi rentan. Yang lebih mengkhawatirkan, di antara server yang memperlihatkan versinya, cabang PHP yang tidak lagi didukung (5.4-8.1) tiga kali lipat lebih banyak daripada yang masih diperbarui — dan cabang itu tidak akan mendapat rilis resmi apa pun.

Alarm Global: dari NSA sampai BSSN

Badan keamanan siber Amerika Serikat (NSA) secara resmi memperingatkan: patch PHP atau matikan situsnya. Di Indonesia, BSSN juga mengeluarkan peringatan serupa dan meminta pengelola website segera bertindak, dilaporkan Kompas.com dan Medcom.id.

Tim developer PHP sendiri sudah merilis pembaruan keamanan darurat pada 21 Oktober 2026. CNN Indonesia dan CNBC Indonesia melaporkan patch tersebut telah tersedia, dengan daftar versi PHP yang sudah aman.

Apa yang Harus Dilakukan Pemilik Website

Buat pengelola website — apalagi yang memakai WordPress, Laravel, atau CMS berbasis PHP — langkahnya sederhana namun jangan ditunda:

Pertama, cek versi PHP di server Anda hari ini juga. Kedua, update ke versi PHP yang sudah memuat perbaikan resmi dari tim PHP. Ketiga, kalau server memakai versi tua yang tak lagi didukung, itu alarm merah: karena tak ada patch resmi, satu-satunya jalan adalah migrasi ke versi terkini atau memisahkan layanan dari internet.

Pesan paling penting dari kasus ini bukan soal PHP saja, melainkan pergeseran cara kerja keamanan siber: AI kini mampu menemukan lubang yang selama 14 tahun luput dari ribuan peneliti. Situs yang belum diperbarui tinggal mengandalkan keberuntungan — dan keberuntungan bukan strategi keamanan.