Kerentanan PHP Kritis Ancam Jutaan Situs, Patch Darurat Dirilis
ORBITINDONESIA.COM – Kerentanan PHP kritis dengan skor CVSS 9,2 mengguncang keamanan internet, karena dua celah baru berpotensi memberi peretas kendali jarak jauh atas server. Para pakar memperingatkan, tanpa patch PHP darurat, jutaan situs web bisa menjadi sasaran serangan massal dalam hitungan menit.
PHP Foundation mengungkap dua kerentanan serius, CVE-2026-109618 dan CVE-2026-109619, yang berdampak pada “semua instalasi PHP yang melayani permintaan web” sejak PHP 5 yang rilis Juli 2004. Namun, hanya PHP 8.2 ke atas yang masih didukung resmi dan akan menerima patch, sementara versi lama bergantung pada perbaikan pihak ketiga.
Dalam advisori resminya, PHP Foundation menegaskan tidak ada mitigasi yang benar-benar tuntas selain memperbarui sistem. “Tidak ada mitigasi lengkap, memperbarui adalah satu-satunya pilihan aman,” tulis mereka.
Situasi ini berbahaya karena PHP adalah lapisan fondasional yang sering tertanam lama dalam infrastruktur, lalu terlupakan dan tidak diperbarui. Ketika komponen setua itu rapuh, efeknya bisa merembet ke ekosistem web yang lebih luas.
Lukasz Olejnik, konsultan keamanan independen dan peneliti tamu di King’s College London, menyebut ini bukan latihan. Ia menekankan PHP telah menjadi bahasa skrip esensial sejak 1990-an dan menopang platform seperti WordPress, Drupal, hingga Magento.
Olejnik mengibaratkan skala penggunaan PHP seperti infrastruktur kritis. “Dampaknya sangat besar,” katanya, seraya mengingatkan skenario terburuk berupa malware yang “wormable” dan menyebar cepat ke banyak bagian internet.
Kekhawatiran utama tim keamanan adalah penyerang bergerak lebih cepat daripada administrator sistem. Cloudflare bahkan melaporkan sudah “melihat serangan awal muncul” sebelum rincian kerentanan dipublikasikan dan perbaikan dirilis.
Sansec memperkirakan serangan massal bisa dimulai “dalam 15 menit” setelah rilis patch. Prediksi ini menegaskan pola lama: ketika celah kritis diumumkan, waktu aman untuk bereaksi menyusut drastis.
Davi Ottenheimer, konsultan keamanan dan kepatuhan, memberi analogi yang menohok tentang titik masuk serangan. “Sebagian besar web berjalan di PHP dan bug ini ada di antarmuka unggah berkas yang seperti pintu depan tanpa kunci,” ujarnya.
Ia menambahkan penyerang tidak perlu tahu situs apa yang disasar atau perangkat lunak apa yang dipakai. Satu unggahan yang dirancang khusus ke server yang bisa ditemukan sudah cukup untuk menjalankan serangan.
Menjelang ketersediaan versi PHP yang ditambal, beberapa organisasi memilih mematikan situs sebagai langkah pencegahan. Reuters melaporkan sejumlah situs pemerintah Finlandia, beberapa situs pemerintah Prancis, serta situs Port of Rotterdam sempat tidak dapat diakses.
Langkah “mematikan layanan” terdengar ekstrem, tetapi masuk akal ketika risiko eksekusi kode jarak jauh mengintai. Dalam krisis siber, ketersediaan layanan kadang harus dikorbankan demi mencegah kompromi yang lebih dalam.
Faktor percepatan lain adalah penggunaan AI dalam riset dan eksploitasi. Olejnik memperingatkan, “AI membuat eksploitasi kerentanan seperti ini menjadi sangat penting secara segera, benar-benar dalam satu menit atau kurang.”
Wiz yang dimiliki Google menyatakan penelitinya menemukan kerentanan sebagian dengan bantuan alat AI. OpenAI dan firma keamanan Calif juga menyebut menemukan isu serupa secara independen dan bekerja bersama.
Wiz menamai demonstrasi eksploitasi mereka php2shell dan menyebut pada beberapa kasus eksploitasi bisa dilakukan “cukup mudah.” Ini bukan sekadar bug teoretis, melainkan jalur serangan yang dapat dipraktikkan.
Menurut riset Wiz, kerentanan dapat memungkinkan penyerang tanpa autentikasi mengeksekusi kode di server terdampak atau membaca memori proses sensitif. Memori itu bisa memuat kata sandi, token autentikasi, API key, dan sertifikat dari permintaan lain atau dari server itu sendiri.
Rincian awal kerentanan sebenarnya sudah disinggung pada 20 Oktober lewat pemberitahuan singkat di situs PHP. Saat itu, PHP Foundation memberi “pemberitahuan awal” dan menyebut kedua celah berstatus kritis dengan skor 9,2 dari 10 pada CVSS, tanpa mengungkap detail teknis.
Peringatan itu juga menyatakan mereka dapat merilis lebih cepat jika detail menjadi publik atau ada bukti eksploitasi aktif. Sejumlah laporan dari Bleeping Computer dan Ars Technica menyebut sebagian detail kemungkinan bocor sebelum jadwal publikasi resmi.
Pemberitahuan dini memberi sebagian tim kesempatan menyiapkan proses patch, inventaris aset, dan rencana downtime. EU-CERT dan badan siber Australia juga mengingatkan tim TI untuk siap memperbarui secepat mungkin, termasuk kemungkinan menonaktifkan situs saat perbaikan diterapkan.
Di Inggris, National Cyber Security Center (NCSC) menerbitkan peringatan agar organisasi “bersiap untuk pembaruan segera” pada sistem yang memakai PHP. NCSC menulis, bila remediasi segera tidak memungkinkan, organisasi perlu mempertimbangkan mematikan sistem sampai mitigasi penuh dilakukan.
NCSC menekankan pentingnya mengidentifikasi sistem yang menjalankan PHP di seluruh infrastruktur. Fokusnya terutama pada sistem yang terhubung internet dan perlu dipantau untuk tanda eksploitasi.
Setelah itu, langkah kunci adalah menerapkan pembaruan PHP begitu tersedia dan terus memantau pembaruan dari vendor aplikasi. Banyak produk mungkin memakai PHP di dalam layanan mereka, sehingga patch tidak selalu datang langsung dari tim internal.
FBI juga mengingatkan prosedur respons insiden ketika tanda kompromi ditemukan. Brett Leatherman, asisten direktur siber FBI, menulis: “Jika Anda menemukan tanda kompromi, isolasi sistem, simpan log server web dan PHP, dan laporkan ke kantor FBI setempat.”
Menurutnya, laporan itu membantu mengidentifikasi aktor dan memperingatkan organisasi lain sebelum menjadi korban. Ini menegaskan bahwa respons teknis dan koordinasi penegakan hukum sama-sama penting ketika serangan menyebar cepat.
Terjemahan akurat inti berita ini sederhana namun mengerikan: dua kerentanan PHP memungkinkan kendali jarak jauh dan pembacaan memori, dan dampaknya menjangkau instalasi sejak 2004. Karena PHP menjadi tulang punggung web modern, kerentanan PHP kritis berarti risiko sistemik, bukan insiden lokal.
Masalah utamanya bukan hanya ada celah, melainkan lokasi celah yang disebut terkait antarmuka unggah berkas. Dalam praktik keamanan, fitur upload adalah permukaan serangan favorit karena berada di tepi aplikasi, menerima input tak tepercaya, dan sering dipakai tanpa pemeriksaan ketat.
Klaim Ottenheimer bahwa penyerang “tidak perlu tahu” target spesifik menyorot model serangan oportunistik. Penyerang cukup memindai internet, menemukan endpoint rentan, lalu menembakkan payload seragam untuk memperoleh foothold.
Di sinilah ketimpangan waktu menjadi brutal: patch butuh proses, sedangkan eksploitasi butuh skrip. Prediksi Sansec tentang serangan massal dalam 15 menit menggambarkan ekonomi serangan modern yang mengandalkan otomatisasi.
Cloudflare yang sudah melihat “serangan awal” sebelum rilis detail memperkuat dugaan bahwa informasi teknis bocor atau sudah direkayasa balik. Dalam ekosistem kerentanan, kebocoran kecil saja dapat mengubah “pemberitahuan dini” menjadi “perlombaan senjata.”
Fakta bahwa hanya PHP 8.2+ menerima patch resmi menambah lapisan risiko yang jarang dibahas publik. Banyak organisasi masih menjalankan versi lama karena ketergantungan aplikasi, keterbatasan anggaran, atau takut downtime, sehingga mereka berada di zona abu-abu perbaikan.
Ketergantungan pada patch pihak ketiga atau distribusi legacy adalah kompromi operasional. Ia bisa menyelamatkan sementara, tetapi juga memperpanjang umur teknologi usang yang pada akhirnya makin mahal dipertahankan.
Dimensi AI mempercepat dua sisi sekaligus: penemuan dan eksploitasi. Wiz mengakui penggunaan alat AI untuk menemukan celah, dan Olejnik menekankan AI membuat eksploitasi menjadi urusan “semenit,” yang berarti penyerang pun bisa memanfaatkan otomatisasi serupa.
Ini menggeser paradigma keamanan dari “patch dalam hitungan hari” menjadi “patch dalam hitungan jam.” Pada skala internet, jam yang terlambat bisa berarti ribuan server sudah dipasang webshell atau dicuri tokennya.
Riset Wiz menyebut risiko pembacaan memori proses, yang sering diabaikan dibanding eksekusi kode. Padahal kebocoran token autentikasi, API key, dan sertifikat bisa menjadi jembatan serangan ke layanan lain, termasuk cloud, CI/CD, dan database.
Karena itu, patch saja mungkin tidak cukup sebagai pemulihan. Organisasi perlu menganggap kemungkinan kebocoran kredensial, lalu merotasi kunci, meninjau log, dan memeriksa indikasi kompromi.
Langkah NCSC untuk menginventaris sistem PHP terdengar administratif, tetapi di sinilah banyak organisasi gagal. Tanpa peta aset yang akurat, patch darurat menjadi upaya menebak, dan server yang terlupakan justru menjadi titik masuk penyerang.
Rekomendasi FBI untuk mengisolasi sistem dan menyimpan log menekankan disiplin forensik. Tanpa log, organisasi tidak bisa memastikan apa yang dicuri, kapan akses terjadi, dan bagaimana penyerang bergerak di jaringan.
Kisah kerentanan PHP kritis ini memperlihatkan paradoks internet: fondasi yang paling umum justru paling rentan menciptakan krisis massal. Kita membangun web di atas komponen yang “dianggap selalu ada,” lalu lupa bahwa yang selalu ada juga selalu menjadi target.
Ketika PHP Foundation menyatakan “tidak ada mitigasi lengkap,” itu sebetulnya kritik halus pada budaya menunda pembaruan. Banyak organisasi memperlakukan patch sebagai gangguan, padahal dalam konteks CVSS 9,2, patch adalah bagian dari kelangsungan bisnis.
Penutupan sementara situs pemerintah di Finlandia, Prancis, dan Rotterdam menunjukkan keputusan yang tidak populer namun rasional. Di era layanan digital, mematikan situs beberapa jam mungkin lebih murah daripada berbulan-bulan pemulihan dan krisis kepercayaan publik.
AI membuat narasi ini makin tajam: kemampuan menemukan celah meningkat, tetapi kemampuan menyerang juga melonjak. Jika pertahanan tidak mengadopsi otomatisasi dan kesiapan setara, kesenjangan akan selalu dimenangkan pihak penyerang.
Pelajaran terbesar ada pada “warisan” teknologi, bukan pada bug semata. Selama internet masih dipenuhi sistem lama yang tidak didukung, setiap kerentanan kritis akan selalu menemukan korbannya yang paling mudah.
Kerentanan PHP kritis ini bukan sekadar berita keamanan, melainkan pengingat bahwa internet adalah jaringan ketergantungan yang rapuh. Saat satu pintu depan “tanpa kunci” ditemukan, jutaan rumah digital ikut terancam.
Patch cepat, inventaris aset, dan respons insiden yang disiplin kini menjadi standar minimum, bukan praktik ideal. Pertanyaannya, setelah krisis ini berlalu, apakah organisasi akan benar-benar merapikan warisan sistemnya, atau kembali menunda sampai alarm berikutnya berbunyi.
(Orbit dari berbagai sumber, 26 Oktober 2026)
