.webp)
Daftar Isi
Admin IT akan di-PHP oleh PHP kalau mau minta libur akhir pekan ini. PHP yang pertama artinya Pemberi Harapan Palsu. PHP yang kedua artinya Personal Home Page/Hypertext PreProcessor. Inilah kehebohan yang terjadi saat ini.
Kita semua tahu Microsoft Windows mendominasi pasar komputer dunia hingga lebih dari 70%. Kita mempercayainya karena setiap hari kita melihat logonya-mulai dari laptop di meja kerja, komputer kasir di toko tempat Anda belanja, hingga layar ATM.
Namun, ada satu raksasa digital yang tidak pernah Anda lihat, tetapi diam-diam menguasai aktivitas internet kita sehari-hari: PHP (Personal Home Page/PHP:Hypertext PrProcessor). Jika Windows adalah raja yang tampak di layar monitor komputer, maka PHP adalah penguasa tak terlihat di balik layar layanan internet dan intranet.
SCROLL TO CONTINUE WITH CONTENT
PHP2Shell menyebabkan Hari Patch Sedunia
Temuan PHP2Shell merupakan salah satu peristiwa bersejarah di dunia keamanan siber. Untuk pertama kalinya, model kecerdasan buatan (AI) tingkat lanjut (Frontier AI) berhasil membongkar celah keamanan kritis yang tersembunyi selama lebih dari 10 tahun di dalam inti (core engine) bahasa pemrograman PHP dan sangat sulit ditemukan oleh manusia tantangan kerumitan dan waktu sangat panjang yang dibutuhkan.
Celah ini mencakup kerentanan dengan tingkat bahaya tertinggi Critical Severity 9,2 dari 10. Dengan identifikasi CVE-2026-109618 dan CVE-2026-109619. Kerentanan ini memungkinkan peretas mengambil alih server (RCE Remote Code Execution) dan lebih parahnya lagi, peretas bahkan tidak memiliki akun atau login ke sistem untuk melakukan peretasan.
Mengenal Ancaman PHP2Shell
Jika situs web diibaratkan sebagai sebuah gedung layanan, PHP adalah ruang mesin sekaligus dapur pengolah data di dalamnya. Rangkaian celah keamanan kritis yang dijuluki PHP2Shell ini memungkinkan peretas mengambil alih ruang mesin tersebut melalui dua celah mematikan:
- CVE-2026-109618 (Manipulasi Memori): Peretas mengirimkan permintaan data khusus yang melampaui batas tampung memori server. Kondisi gagal memori ini meruntuhkan lapisan keamanan sistem dan membuka celah bagi peretas untuk menyisipkan kode asing.
- CVE-2026-109619 (Kendali Penuh Jarak Jauh/Remote Code Execution): Memanfaatkan pertahanan yang sudah terbuka, celah kedua ini memberikan peretas hak akses tertinggi layaknya pemilik sistem. Peretas dapat menjalankan perintah jarak jauh untuk menyedot, memodifikasi, hingga menghapus basis data internal.
Yang membuat PHP2Shell sangat berbahaya adalah peretas tidak membutuhkan nama pengguna (username) maupun kata sandi (password) untuk melancarkan aksinya. Cukup dengan mengirimkan pemicu error dari luar situs web, peretas dapat langsung menguasai sistem utama dalam sekejap.
Daftar PHP yang terdampak dan aman
Kerentanan PHP2Shell bawaan core engine PHP ini berdampak pada hampir semua versi PHP. Semua versi PHP 5.x, 7.x, 8.0 dan 8.1 bawaan awal adalah versi yang paling rentan karena sudah tidak mendapatkan patch resmi otomatis karena produknya sudah End of Life.
Versi PHP yang rentan dan harus segera di patch adalah versi PHP 8.2.34 , 8.3.35, 8.4.26, 8.5.11 dan versi sebelumnya. PHP yang sudah di-patch adalah versi 8.2.35, 8.3.36, 8.4.27 dan 8.5.12.
Mengapa server dan layanan pemerintahan banyak di-takedown dulu?
Meskipun PHP mendominasi situs web di internet, jumlah sistem yang bekerja di belakang layar sebenarnya jauh lebih banyak. Faktanya, satu situs web publik biasanya didukung oleh minimal 4 sistem internal yang saling terhubung di jaringan komputer kantor (intranet). Di sistem internal inilah PHP versi jadul (versi 5 dan 7) paling banyak digunakan. Perusahaan sengaja tidak memperbarui sistem di dalam ini karena kinerjanya sudah stabil dan aman dari gangguan luar, sehingga mereka tidak mau mengambil risiko sistem tersebut menjadi error jika di-update.
Namun masalahnya, jika salah satu sistem PHP berhasil diretas, maka akan terjadi lateral movement atau pergerakan lintas jaringan. Jadi membiarkan PHP usang di dalam intranet dengan adanya celah keamanan PHP2Shell ini ibarat menyimpan bom waktu dalam sistem anda. Beberapa RCE (Remote Code Execution) tingkat tinggi memiliki kemampuan worm dimana jika berhasil menginfeksi satu server, maka akan otomatis memindai dan menginfeksi server PHP lainnya tanpa bantuan manusia dan dalam waktu singkat seluruh sistem akan bisa diakses oleh peretas.
Bahayanya tidak hanya datang dari luar yang memanfaatkan lateral movement, tetapi juga bahaya lain seperti insider threat dimana serangan dari dalam oleh aktor jahat di dalam intranet atau ada laptop karyawan yang terinfeksi malware dan terhubung ke jaringan intranet.
Take down berapa lama?
Ketika kerentanan diumumkan dan detail cara mengeksploitasi beredar di internet, peretas hanya butuh bilangan menit untuk membuat skrip otomatis untuk menyerang sasarannya. Sebaliknya, bagi tim IT, memperbarui versi PHP yang usang membutuhkan waktu mingguan atau bulanan karena kode yang tidak kompatibel harus ditulis ulang. Jadi ini memang pilihan pahit yang harus diambil dan take down ini masih lebih baik daripada sistemnya berhasil disusupi atau diambil alih oleh peretas.
*Alfons Tanujaya adalah pakar keamanan siber, pendiri PT Vaksincom dan aktif memberikan edukasi dan menulis tentang malware dan sekuriti bagi komunitas IT Indonesia.
