Mengenal PHP2Shell: Celah Berbahaya 20 Tahun yang Bisa Di-Hack Berkat AI

Jakarta -

Gelombang kepanikan tengah melanda jagat maya setelah ditemukannya dua celah keamanan kritis berlabel PHP2Shell. Celah ini memaksa berbagai platform populer seperti Wikipedia, 4chan, DeviantArt, hingga game Pokémon Home dan Pokémon Champions melakukan tindakan darurat.

Bahkan, badan keamanan siber AS (NSA) dan Inggris (NCSC) mengimbau pengelola situs untuk mematikan sistem mereka sementara jika belum sanggup melakukan pembaruan.

Lantas, apa sebenarnya PHP2Shell, seberapa berbahaya dampaknya bagi pengguna internet, dan bagaimana bug kuno ini bisa mendadak mengancam jutaan situs web?

Apa Itu PHP2Shell dan Mengapa Sangat Berbahaya?

Secara sederhana, PHP adalah bahasa pemrograman utama yang menopang sekitar 69,3% situs web di seluruh dunia, termasuk semua situs yang dibangun menggunakan platform WordPress.

PHP2Shell merupakan julukan untuk dua celah keamanan kritis (CVE-2026-109618 dan CVE-2026-109619) yang ditemukan pada bahasa PHP. Celah ini memungkinkan terjadinya unauthenticated Remote Code Execution (RCE)--sebuah istilah teknis yang berarti peretas dapat menyusup dan menjalankan kode berbahaya dari jarak jauh.

Bahaya utama dari PHP2Shell meliputi:

• Pengambilalihan Server: Peretas dapat menguasai server situs web secara penuh tanpa memerlukan kata sandi (password) atau akun administrator.
• Pencurian Data Sensitif: Peretas dapat mencuri isi basis data (database), kata sandi pengguna, API keys, hingga sertifikat kriptografi.
• Penyebaran Malware: Server yang telah dikuasai bisa diubah menjadi sarana untuk menyebarkan malware atau dijadikan alat untuk menyerang server lain.

Firma keamanan Wiz dan OpenAI bahkan menilai PHP2Shell sebagai salah satu insiden keamanan siber paling parah dalam sejarah perangkat lunak.

Mengendap 20 Tahun: Dulu Rumit, Kini Mudah Dieksploitasi AI

Hal yang paling mengejutkan dari PHP2Shell adalah usianya. Celah ini sebenarnya sudah mengendap diam-diam di dalam kode PHP selama kurang lebih 20 tahun.

Mengapa baru mengancam sekarang? Dahulu, untuk mengeksploitasi celah ini dibutuhkan rantai langkah teknis (attack chain) yang sangat rumit dan berada di batas luar kemampuan analisis manusia secara manual.

Namun, peta permainan berubah setelah kelompok peneliti Calif memanfaatkan model AI GPT-5.6 Sol, serta firma Wiz yang juga menggunakan AI untuk membongkar celah tersebut.

Sayangnya, teknologi AI menjadi pedang bermata dua. Dengan bantuan model AI canggih saat ini, rantai eksploitasi yang dahulunya hampir mustahil dilakukan oleh manusia kini menjadi sangat mudah dan praktis untuk dieksekusi oleh peretas.

Pihak Cloudflare bahkan mengonfirmasi telah mendeteksi adanya gelombang serangan awal yang mulai memanfaatkan celah ini di alam liar.

Apa yang Harus Dilakukan Pengguna dan Pemilik Situs?

Bagi pengguna internet awam, ancaman ini tidak menyerang perangkat smartphone atau PC secara langsung. Namun, situs yang telah diretas dapat membahayakan pengunjung melalui penyebaran malware.

Bagi pemilik situs web (terutama pengguna WordPress dan layanan web hosting seperti GoDaddy, Hostinger, atau Bluehost):

1. Segera Update PHP: Periksa versi PHP yang digunakan dan perbarui ke versi patch keamanan terbaru yang telah dirilis.
2. Tinggalkan PHP Versi Lama: Jika situs masih menjalankan PHP 8.1 atau versi yang lebih tua, sangat disarankan untuk melakukan upgrade karena versi lama sudah tidak mendapatkan penambal resmi.
3. Pengguna Platform Non-PHP: Pengguna layanan seperti Squarespace atau Wix tergolong aman karena platform tersebut tidak menggunakan bahasa PHP.

Mematikan situs sementara saat proses pembaruan dilakukan jauh lebih aman daripada membiarkan server menjadi sasaran empuk peretasan, demikian dikutip detikINET dari The Verge, Jumat (23/10/2026).

(asj/asj)