*Pemberi Harapan Palsu
**Personal Home Page / PHP: Hypertext Preprocessor

Kita semua tahu Microsoft Windows mendominasi pasar komputer dunia hingga lebih dari 70%. Kita mempercayainya karena setiap hari kita melihat logonya, mulai dari laptop di meja kerja, komputer kasir di toko tempat Anda belanja, hingga layar ATM. Namun, ada satu raksasa digital yang tidak pernah Anda lihat, tetapi diam-diam menguasai aktivitas internet kita sehari-hari: PHP (Personal Home Page / PHP: Hypertext Preprocessor). Jika Windows adalah raja yang tampak di layar monitor komputer, maka PHP adalah penguasa tak terlihat di balik layar layanan internet dan intranet.

PHP2Shell menyebabkan Hari Patch Sedunia

Temuan PHP2Shell merupakan salah satu peristiwa bersejarah di dunia keamanan siber. Ini adalah salah satu bukti paling nyata bahwa model kecerdasan buatan (AI) tingkat lanjut (Frontier AI) mampu membongkar celah keamanan kritis yang tersembunyi selama lebih dari 10 tahun di dalam inti (core engine) bahasa pemrograman PHP. Celah ini sangat sulit ditemukan oleh manusia karena kerumitannya dan waktu yang sangat panjang yang dibutuhkan untuk membuktikannya.

Celah ini mencakup kerentanan dengan tingkat bahaya tertinggi, Critical Severity 9,2 dari 10, dengan identifikasi CVE-2026-109618 dan CVE-2026-109619. Kerentanan ini memungkinkan peretas mengambil alih server (RCE, Remote Code Execution), dan lebih parahnya lagi, peretas bahkan tidak perlu memiliki akun atau login ke sistem untuk melakukan peretasan.

Mengenal Ancaman "PHP2Shell"

Jika situs web diibaratkan sebagai sebuah gedung layanan, PHP adalah ruang mesin sekaligus dapur pengolah data di dalamnya. Rangkaian celah keamanan kritis yang dijuluki PHP2Shell ini memungkinkan peretas mengambil alih ruang mesin tersebut melalui dua celah mematikan yang masing-masing bisa dieksploitasi sendiri:

• CVE-2026-109618 (Korupsi Memori saat Kehabisan Memori): Peretas mengirimkan permintaan data khusus yang membuat server kehabisan memori di saat yang salah. PHP berhenti ketika data internalnya baru setengah disiapkan, lalu proses pembersihan memperlakukan data rusak itu seolah-olah valid. Kondisi ini membuka jalan bagi peretas untuk menjalankan kode asing.
• CVE-2026-109619 (Sisa Memori Basi / Use-After-Free): Data internal milik satu permintaan tertinggal setelah memorinya dibebaskan, lalu dipakai oleh permintaan berikutnya. Celah ini juga bisa dimanfaatkan untuk membocorkan isi memori server dan menjalankan kode dari jarak jauh.

Kedua celah memberikan peretas kendali atas server dengan hak akses proses web (web worker). Dengan akses ini peretas dapat menjalankan perintah jarak jauh untuk menyedot, memodifikasi, hingga menghapus basis data dan file situs.

Yang membuat PHP2Shell sangat berbahaya adalah peretas tidak membutuhkan nama pengguna (username) maupun kata sandi (password) untuk melancarkan aksinya. Cukup dengan mengirimkan permintaan pemicu error dari luar situs web, peretas dapat langsung menguasai sistem dalam sekejap.

Daftar PHP yang terdampak dan aman

Kerentanan PHP2Shell bawaan core engine PHP ini berdampak pada hampir semua versi PHP. Semua versi PHP 5.x, 7.x, 8.0 dan 8.1 adalah versi yang paling rentan karena sudah tidak mendapatkan patch resmi otomatis, sebab produknya sudah End of Life. Versi PHP yang rentan dan harus segera di-patch adalah versi PHP 8.2.34, 8.3.35, 8.4.26, 8.5.11 dan versi sebelumnya.

PHP yang sudah di-patch adalah versi 8.2.35, 8.3.36, 8.4.27 dan 8.5.12.

Mengapa server dan layanan pemerintahan banyak di-takedown dulu?

Meskipun PHP mendominasi situs web di internet, jumlah sistem yang bekerja di belakang layar sebenarnya jauh lebih banyak. Satu situs web publik umumnya didukung oleh beberapa sistem internal yang saling terhubung di jaringan komputer kantor (intranet). Di sistem internal inilah PHP versi jadul (versi 5 dan 7) paling banyak digunakan. Perusahaan sengaja tidak memperbarui sistem di dalam ini karena kinerjanya sudah stabil dan aman dari gangguan luar, sehingga mereka tidak mau mengambil risiko sistem tersebut menjadi error jika di-update.

Namun masalahnya, jika salah satu sistem PHP berhasil diretas, maka akan terjadi lateral movement atau pergerakan lintas jaringan. Jadi membiarkan PHP usang di dalam intranet dengan adanya celah keamanan PHP2Shell ini ibarat menyimpan bom waktu dalam sistem Anda. Beberapa RCE (Remote Code Execution) tingkat tinggi memiliki kemampuan worm, di mana jika berhasil menginfeksi satu server, maka akan otomatis memindai dan menginfeksi server PHP lainnya tanpa bantuan manusia, dan dalam waktu singkat seluruh sistem akan bisa diakses oleh peretas.

Dan bahayanya tidak hanya datang dari luar yang memanfaatkan lateral movement, tetapi juga bahaya lain seperti insider threat, yaitu serangan dari dalam oleh aktor jahat di dalam intranet, atau laptop karyawan yang terinfeksi malware dan terhubung ke jaringan intranet.

Take Down Berapa Lama?

Ketika kerentanan diumumkan dan detail cara mengeksploitasinya beredar di internet, peretas hanya butuh hitungan menit untuk membuat skrip otomatis untuk menyerang sasarannya. Sebaliknya, bagi tim IT, memperbarui versi PHP yang usang membutuhkan waktu mingguan atau bulanan karena kode yang tidak kompatibel harus ditulis ulang. Jadi ini memang pilihan pahit yang harus diambil, dan take down ini masih lebih baik daripada sistemnya berhasil disusupi atau diambil alih oleh peretas.

salam,
Alfons Tanujaya