AI Temukan Celah Berbahaya di Mesin Penggerak Hampir 70% Situs Web

MERANGIN, 26 Oktober 2026. Dua celah keamanan kritis pada PHP, bahasa pemrograman yang dipakai sekitar 7 dari 10 situs web di dunia, diumumkan pada 21 Oktober 2026. Celah yang dijuluki PHP2Shell ini ditemukan dengan bantuan kecerdasan artifisial (AI). Menurut laporan WIRED, upaya serangan mulai terjadi hanya dalam hitungan jam setelah informasinya terbuka. Para pengelola situs diminta segera memperbarui PHP di server masing-masing.

PHP adalah bahasa yang berjalan di sisi server. Saat pengunjung membuka sebuah halaman, server yang menjalankan PHP menyusun isi halaman lalu mengirimkannya ke peramban. Banyak sistem pengelola konten populer, termasuk WordPress, berjalan di atasnya.
PHP2Shell terdiri dari dua celah, yaitu CVE-2026-109618 dan CVE-2026-109619, dengan skor keparahan 9,2 dari 10. Keduanya memungkinkan penyerang menjalankan kode dari jarak jauh tanpa perlu akun login. Yang membuatnya serius, celah ini berada pada mesin PHP itu sendiri, bukan pada kode aplikasi. Karena itu, situs yang kodenya aman pun tetap bisa terpapar.

Peran AI menjadi sorotan utama. Menurut WIRED, peneliti perusahaan keamanan Calif adalah yang pertama menemukan celah ini pada awal Agustus, sebagian dengan alat AI mutakhir dan sebagian dengan keahlian manusia. Sebagian masalah dasarnya sebenarnya sudah dikenali sejak 2024, tetapi dianggap terlalu rumit untuk dieksploitasi. Peneliti Wiz, Sagi Tzadik, menjelaskan bahwa celah itu lama diketahui tim PHP, namun tidak ditangani karena tidak bisa dimanfaatkan penyerang manusia. Wiz menyatakan seorang peneliti dengan AI mutakhir menyelesaikan dalam seminggu pekerjaan yang biasanya memakan waktu berbulan-bulan bagi tim kelas dunia.

Tim PHP merilis perbaikan darurat pada 21 Oktober 2026, sehari lebih cepat dari jadwal karena detailnya bocor. Lembaga siber seperti NSA di Amerika Serikat dan NCSC di Inggris mendorong pengelola sistem untuk memperbarui atau mematikan sistem yang belum bisa diperbaiki. Di Finlandia, penyedia layanan TI pemerintah menurunkan layanan jaringan publik sebagai langkah pencegahan, dan SiliconANGLE melaporkan bahwa banyak pemerintah daerah, sekolah, dan perusahaan swasta mengikuti anjuran tersebut.

Penyerang pun bergerak cepat. WIRED mengutip analisis Cloudflare bahwa jutaan upaya eksploitasi terjadi dalam hitungan jam setelah celah diumumkan. Namun gambaran keberhasilan serangan masih beragam. Pada tulisan 24 Oktober, WIRED melaporkan bahwa PHP Foundation belum melihat eksploitasi yang berhasil dan banyak eksploit yang beredar tampaknya tidak efektif. Sebagian media keamanan lain melaporkan eksploitasi aktif, sehingga perkembangan terbaru perlu terus dipantau.

Para pakar mengimbau agar masyarakat waspada, bukan panik. Jake Williams, mantan peretas NSA, memperkirakan akan ada lebih banyak celah berumur panjang seperti ini, tetapi jumlahnya terbatas dan sedikit perangkat lain yang jangkauannya sebesar PHP. Ryan Austin dari Calif menegaskan bahwa tidak ada model AI yang bisa menemukan semua celah hanya dengan perintah sederhana, setidaknya untuk saat ini. Peneliti keamanan Niels Provos mengaku tidak terlalu khawatir karena menemukan celah ini tetap membutuhkan tim yang sangat terampil.

Apa yang Perlu Dilakukan Pengelola Situs?
1. Periksa versi PHP di server atau hosting. Pastikan sudah memakai 8.5.12, 8.4.27, 8.3.36, atau 8.2.35, atau paket distribusi yang memuat perbaikannya.
2. Ingat bahwa memperbarui WordPress atau plugin tidak cukup. Menurut The Hacker News, pembaruan PHP datang dari paket server, penyedia hosting, atau citra kontainer.
3. Mulai ulang layanan setelah pembaruan, yaitu Apache, PHP-FPM, dan pekerja PHP yang berjalan lama.
4. Hubungi penyedia hosting bila situs tidak dikelola sendiri, dan tanyakan status pembaruannya.
5. Waspadai versi yang sudah tidak didukung. PHP 8.1 ke bawah tidak lagi menerima rilis resmi, meski tim PHP menerbitkan tambalan sumber minimal untuk 7.4, 8.0, dan 8.1.
6. Pertimbangkan mematikan sistem sementara bila belum bisa diperbarui, sesuai anjuran sejumlah lembaga siber.

Pelajaran bagi Siswa
Kasus ini menjadi bahan belajar yang menarik bagi siswa Informatika dan Koding dan Kecerdasan Artifisial. Pertama, AI dapat dipakai pembela maupun penyerang, sehingga yang menentukan adalah kesiapan manusia dalam menambal celah. Kedua, keamanan bergantung pada lapisan di bawah aplikasi, bukan hanya pada kode yang kita tulis. Ketiga, laporan awal sering berbeda soal seberapa luas serangan benar-benar berhasil, sehingga kita perlu membandingkan beberapa sumber sebelum menyimpulkan.

PHP2Shell menunjukkan bahwa jarak antara pengungkapan sebuah celah dan upaya eksploitasinya kini bisa hanya hitungan jam. Pesan terpentingnya sederhana: perbarui PHP, pastikan penyedia hosting ikut memperbarui, dan jangan menunda.

Sumber
PPC Land. "Cloudflare blocks php2shell exploits 9 hours before PHP flaws went public." https://ppc.land/cloudflare-blocks-php2shell-exploits-9-hours-before-php-flaws-went-public/