BSSN Peringatkan Pengelola Website: Memahami 5 Fakta Kritis di Balik Kerentanan PHP2Shell

Badan Siber dan Sandi Negara (BSSN) resmi mengeluarkan peringatan kepada seluruh pengelola website di Indonesia. Peringatan ini menyusul merebaknya kerentanan kritis pada bahasa pemrograman PHP yang dikenal sebagai PHP2Shell. Celah ini tidak hanya mengancam situs web di Indonesia, tetapi juga telah memicu kekhawatiran global, dengan sejumlah negara mengambil langkah darurat untuk mengamankan infrastruktur digital mereka.

Daftar Isi

• 1. Celah Keamanan yang Berada di Jantung PHP
• 2. Dua Kerentanan dengan Skor Keparahan 9,2
• 3. Ditemukan dengan Bantuan Kecerdasan Buatan
• 4. Dampak yang Jauh Lebih Serius dari Sekadar Website Down
• 5. Merespons Peringatan BSSN: Langkah Nyata bagi Pengelola Website Indonesia

1. Celah Keamanan yang Berada di Jantung PHP

PHP2Shell merupakan celah keamanan yang ditemukan di PHP, bahasa pemrograman sisi server (server-side) yang menjadi fondasi bagi mayoritas situs web dinamis di dunia. Teknologi ini juga menjadi tulang punggung sistem pengelolaan konten populer, seperti WordPress, Drupal, Joomla, dan MediaWiki yang digunakan Wikipedia.

Karena celah ini berada di dalam engine PHP itu sendiri—bukan pada aplikasi tertentu—maka setiap website yang berjalan di atas PHP berpotensi terdampak, terlepas dari sebersih apa pun kode aplikasinya.

2. Dua Kerentanan dengan Skor Keparahan 9,2

PHP2Shell sebenarnya mencakup dua kerentanan yang teridentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619. Keduanya memiliki tingkat keparahan yang sangat tinggi, yakni 9,2 dari skala 10 pada sistem penilaian CVSS.

Skor ini menempatkan PHP2Shell dalam kategori Critical. Jika dieksploitasi, penyerang dapat mengeksekusi kode dari jarak jauh (Remote Code Execution/RCE) tanpa autentikasi, yang berarti kendali penuh atas server yang terdampak.

3. Ditemukan dengan Bantuan Kecerdasan Buatan

Fakta menarik di balik penemuan celah ini adalah peran kecerdasan buatan (AI). Para peneliti di perusahaan keamanan Calif, yang bekerja sama dengan OpenAI, melaporkan celah pertama pada 11 Agustus 2026. Sementara itu, Wiz—perusahaan keamanan milik Google—menemukan celah kedua secara terpisah pada 24 Agustus 2026.

Celah ini sebenarnya sudah ada selama lebih dari satu dekade. Namun, menurut Wiz Research, celah tersebut sulit dieksploitasi karena membutuhkan teknik yang rumit, mulai dari menggabungkan sejumlah kelemahan hingga menyesuaikan dengan kondisi memori server. Berkat bantuan teknologi AI—seperti agen keamanan Wiz Atlas, Google Gemini 4 Argon, dan OpenAI GPT-5.6 Sol—proses penemuan celah itu bisa dipercepat secara signifikan.

Wiz menyebut, bantuan AI memungkinkan tim riset menyesuaikan metode eksploitasi untuk berbagai aplikasi hanya dalam hitungan jam. Satu peneliti bahkan bisa menyelesaikan pekerjaan dalam kurun waktu satu minggu, padahal sebelumnya butuh berbulan-bulan.

4. Dampak yang Jauh Lebih Serius dari Sekadar Website Down

Dampak PHP2Shell bisa jauh lebih serius daripada sekadar website tidak dapat diakses. Celah ini dapat dimanfaatkan peretas untuk:

• Mencuri data sensitif yang tersimpan di server.
• Mengubah isi situs tanpa sepengetahuan pemiliknya.
• Memasang akses tersembunyi (backdoor) yang memungkinkan mereka kembali masuk ke server, bahkan setelah celah keamanan ditambal.

Ini berarti, meskipun sebuah organisasi telah melakukan patch, jika akses tersembunyi sudah terpasang sebelumnya, server tersebut tetap berada dalam kendali penyerang.

5. Merespons Peringatan BSSN: Langkah Nyata bagi Pengelola Website Indonesia

Peringatan yang dikeluarkan BSSN bukanlah imbauan tanpa dasar. Ini adalah sinyal bahwa kerentanan PHP2Shell telah mencapai tingkat yang mengkhawatirkan, dan respons yang lambat dapat berujung pada konsekuensi yang tidak diinginkan. Bagi pengelola website di Indonesia, khususnya yang masih menggunakan CMS populer seperti WordPress, Drupal, Joomla, dan MediaWiki, berikut adalah langkah prioritas yang harus segera dieksekusi:

Pertama, jangan menunda pembaruan. Pastikan versi PHP di server Anda telah mencapai versi yang telah ditambal, yaitu minimal 8.2.35, 8.3.36, 8.4.27, atau 8.5.12. Jika hosting Anda belum menyediakan versi tersebut, segera hubungi penyedia layanan untuk meminta pembaruan. Dalam banyak kasus, penundaan satu hari saja bisa menjadi celah bagi penyerang.

Kedua, lakukan inventarisasi menyeluruh. Jangan hanya memeriksa server utama. Periksa juga shared hosting, VPS, container Docker, server staging, hingga aplikasi internal yang mungkin menggunakan PHP. Seringkali, server yang terlupakan justru menjadi pintu masuk utama.

Ketiga, migrasi dari versi lama. Jika website Anda masih berjalan di PHP 7.4, 8.0, atau 8.1, ketahuilah bahwa versi tersebut sudah tidak menerima pembaruan keamanan. Mempertahankannya sama dengan membiarkan pintu belakang terbuka. Rencanakan migrasi ke cabang yang masih didukung dalam waktu dekat.

Keempat, jangan hanya mengandalkan patch. Pantau log server secara rutin untuk mendeteksi anomali, seperti lonjakan permintaan ke endpoint tertentu atau upaya akses yang tidak wajar. Selain itu, terapkan Web Application Firewall (WAF) dengan aturan spesifik untuk CVE-2026-109618 dan CVE-2026-109619 sebagai lapisan pertahanan tambahan selama masa transisi.

Kelima, siapkan rencana pemulihan. Lakukan backup secara berkala dan pastikan Anda tahu cara memulihkannya. Jika terjadi infiltrasi, kemampuan untuk memulihkan sistem dari cadangan yang bersih akan menyelamatkan Anda dari kerugian yang lebih besar.

Pada akhirnya, peringatan BSSN ini bukanlah sekadar formalitas. Ini adalah panggilan untuk bertindak. Setiap pengelola website, dari institusi pemerintah hingga usaha kecil, memiliki tanggung jawab untuk menjaga keamanan ruang digitalnya. Jangan tunggu sampai website Anda menjadi korban berikutnya. Audit dan perbarui hari ini, selagi masih ada waktu.