Dua celah keamanan serius bernama PHP2Shell ditemukan di PHP, bahasa pemrograman yang dipakai banyak situs web. Celah ini bisa dimanfaatkan peretas untuk menjalankan perintah di server dari jarak jauh. Tim pengembang PHP sudah merilis perbaikan resmi pada 14 Oktober 2026, sehari setelah celah ditemukan peneliti keamanan independen pada 12-13 Oktober.
Kerentanan PHP2Shell terdiri atas dua celah dengan kode CVE-2026-109618 dan CVE-2026-109619. Kode CVE adalah nomor identitas publik untuk setiap celah keamanan yang sudah tercatat.
Cara kerjanya cukup sederhana. Peretas mengirim permintaan HTTP yang sudah disisipi kode berbahaya ke sebuah situs. Jika situs itu belum diperbarui, kode tersebut bisa berjalan di servernya. Para ahli menyebut serangan seperti ini Remote Code Execution (RCE), yaitu eksekusi kode dari jarak jauh.
Perbaikan resmi dari PHP Development Team berlaku untuk PHP versi 8.2.x dan 8.3.x. Pengelola situs yang memakai versi tersebut perlu memperbaruinya.
Kedua celah itu ditemukan setelah peneliti memakai teknologi pembelajaran mesin untuk memeriksa kode PHP. Menurut peneliti, bantuan AI mempercepat penemuan dan memperkecil risiko serangan sebelum perbaikan keluar.
Google, OpenAI, dan Amazon disebut ikut memeriksa celah ini dan menyesuaikan sistem internal mereka. Di Eropa, beberapa situs pemerintah dilaporkan sempat ditutup sementara karena menjadi sasaran serangan.
Cloudflare, perusahaan layanan keamanan internet, disebut menyesuaikan harga bagi pelanggan yang belum memperbarui PHP. Alasannya, biaya penanganan dan pemeriksaan keamanan ikut naik. Investing.com Indonesia melaporkan harga saham Cloudflare menguat setelah perusahaan itu mengumumkan peningkatan layanan keamanan.
Soal luas dampaknya, Koran Jakarta menyebut 70 persen situs web di dunia terdampak. Angka itu merujuk pada analisis tim peneliti independen yang pertama menemukan celah. Ada pula versi lain yang menyebut sekitar 70 persen situs berbasis PHP terancam. Cakupan kedua angka itu berbeda, dan cara penghitungannya tidak dijelaskan.
Telset.id menegaskan bahwa perbaikan harus segera dipasang karena celah PHP2Shell dapat memengaruhi jutaan situs web di seluruh dunia.
