Celah PHP2Shell Temuan AI Ancam 70 Persen Situs Web; PHP Rilis Tambalan
Tim Wiz Research mengungkap PHP2Shell, dua celah kritis di inti PHP yang ditemukan dengan bantuan model AI dan memungkinkan penyerang menjalankan kode di server tanpa login. Pada 21 Oktober 2026 PHP merilis tambalan untuk empat cabang versi, sementara Wiz menyebut celah ini menyentuh sekitar 70 persen situs web dunia. Temuan ini jadi contoh paling nyata bahwa AI kini mempercepat kerja pemburu celah, baik di pihak bertahan maupun penyerang.
Apa Itu PHP2Shell dan Versi PHP Mana yang Terdampak?
PHP2Shell adalah nama untuk dua celah di mesin PHP, CVE-2026-109618 dan CVE-2026-109619, yang sama-sama berskor CVSS 9,2 atau kritis. Menurut Google Cloud (2026), celah ini ada di PHP 5.4 sampai 8.5.11, dan penyerang cukup mengirim permintaan HTTP khusus tanpa perlu akun untuk mengambil alih server.
Celah pertama muncul ketika PHP kehabisan memori di saat yang salah. Proses bisa terputus ketika data permintaan baru terisi sebagian, lalu tahap pembersihan memperlakukan data rusak itu seolah sah. Celah kedua berasal dari status internal yang tetap tersisa setelah memorinya dibebaskan, sehingga permintaan berikutnya di worker yang sama bisa memakai sisa data lama.
Wiz mencatat empat bug yang bisa dieksploitasi dan dikelompokkan ke dalam dua CVE tersebut. Dalam uji coba, tim Wiz berhasil menjalankan kode dari jarak jauh tanpa autentikasi pada WordPress, Drupal, dan Joomla versi terbaru. Mereka juga menunjukkan kebocoran isi memori proses yang tidak bergantung pada aplikasi apa pun yang berjalan di atas PHP.
Karena masalahnya ada di runtime, memperbarui plugin atau kode situs saja tidak cukup. Help Net Security (2026) menyebut semua instalasi PHP yang melayani permintaan web ikut terdampak, termasuk PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Konfigurasi mod_php dinilai paling berisiko.
Bagaimana AI Membantu Menemukan Celah Ini?
Wiz menemukan PHP2Shell dengan memadukan platform internal Wiz Atlas dan dua model AI, yaitu Gemini 4 Argon dari Google dan GPT-5.6 Sol dari OpenAI. Model AI dipakai untuk mencari celah, menyusun exploit, mendeteksi serangan, dan memvalidasi tambalan, menurut blog Wiz Research yang terbit 21 Oktober 2026.
Bug pertama ditemukan pada 19 Agustus 2026. Sehari kemudian tim Wiz sudah bisa menjalankan kode tanpa login di Drupal, lalu di WordPress pada 21 Agustus 2026. Laporan dikirim ke tim keamanan PHP pada 24 Agustus 2026, dan PHP mulai menyusun perbaikan pada 21 September 2026 sebelum tambalan dirilis sebulan kemudian.
Wiz menyebut model AI membantu menyesuaikan exploit ke berbagai versi PHP, konfigurasi, dan tata letak memori yang berbeda. Pekerjaan semacam ini biasanya makan waktu berminggu-minggu bagi peneliti manusia. Tim Wiz sendiri menilai temuan ini termasuk celah PHP paling parah yang pernah ditemukan, bahkan mungkin dalam sejarah perangkat lunak.
"Using Gemini 4 Argon, the team at Wiz has shown why frontier AI is a game-changer for cyber defense," kata Raluca Ada Popa, Head of Gemini Security di Google DeepMind. Pernyataan itu dimuat di blog Wiz dan menegaskan arah baru riset keamanan yang memakai model AI sebagai mitra kerja peneliti.
Versi Tambalan dan Langkah Penyedia Cloud
PHP merilis versi 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 pada 21 Oktober 2026. Pengumuman resmi di php.net menegaskan tidak ada mitigasi yang lengkap, sehingga memperbarui PHP adalah satu-satunya pilihan aman. PHP 8.1 ke bawah sudah berstatus end of life dan tidak mendapat rilis resmi.
Untuk pengguna yang masih memakai versi lama, Help Net Security (2026) mencatat ada backport sumber minimal untuk PHP 7.4, 8.0, dan 8.1 bagi yang membangun PHP sendiri. Distribusi Linux dan vendor dukungan jangka panjang juga sudah menerima tambalan sebelum rilis publik, jadi admin perlu mengecek kanal pembaruan vendor masing-masing.
Cloudflare memasang aturan WAF sekitar 9 jam sebelum pengumuman publik, dan sejak 21 Oktober 2026 pukul 03.02 UTC pelanggan paket gratis maupun berbayar terlindungi secara default. Cloudflare juga melaporkan sudah melihat lalu lintas serangan dan upaya penyerang mengubah payload untuk menembus aturan tersebut.
Google Cloud meminta pelanggan segera pindah ke PHP 8.2 atau lebih baru lalu melakukan deploy ulang. Google menambahkan 23 deteksi baru di paket aturan Mandiant Frontline Threats dan menawarkan image WizOS PHP yang sudah ditambal tanpa biaya selama 60 hari. Amazon Threat Intelligence bahkan mencatat percobaan eksploitasi di honeypot MadPot pada 17 Oktober 2026, empat hari sebelum pengumuman.
Dampak bagi Perusahaan dan Situs Web di Indonesia
Perusahaan Indonesia yang menjalankan WordPress, Drupal, Joomla, Magento, atau aplikasi PHP buatan sendiri perlu memperbarui PHP ke salah satu versi tambalan hari ini juga. Server yang tidak bisa langsung ditambal sebaiknya dilindungi WAF atau dimatikan sementara, sesuai saran NCSC Inggris yang dikutip Help Net Security (2026).
Risikonya besar karena banyak situs perusahaan, kampus, dan instansi di Indonesia dibangun di atas PHP dan dikelola lewat shared hosting yang versinya jarang diperbarui. Celah yang memungkinkan pengambilalihan server tanpa login juga membuka jalan ke basis data pelanggan, kredensial, dan dokumen internal yang tersimpan di server yang sama.
Dari sisi hukum, kebocoran data akibat server yang tidak ditambal termasuk kegagalan pelindungan data pribadi. Pasal 46 UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi mewajibkan pengendali data memberi tahu subjek data dan lembaga secara tertulis paling lambat 3 x 24 jam. Pemberitahuan itu minimal memuat data yang terungkap, kapan dan bagaimana kebocoran terjadi, serta upaya penanganannya.
Bagi tim TI di Indonesia, langkah yang paling masuk akal adalah menginventarisasi semua server PHP, termasuk perangkat tertanam dan aplikasi lama, lalu memprioritaskan yang terbuka ke internet. Kasus PHP2Shell juga menunjukkan bahwa AI kini mempercepat penemuan celah, sehingga jarak antara pengumuman dan serangan nyata akan makin pendek.
(Burung Hantu Infratek / Berbagai Sumber)
⚠️ Berita ini seluruhnya diriset, ditulis, dan dikembangkan dengan bantuan AI internal Burung Hantu Infratek.
🦉 Burung Hantu Infratek adalah software house dan system integrator yang sudah berpengalaman lebih dari 5 tahun dalam pengembangan dan implementasi generative AI pada berbagai perusahaan dan institusi.
Berita Terkait Keamanan Siber AI
🛡️ Claude Temukan 493 Isu Keamanan di 25 Proyek Open Source, Termasuk OpenSSH
🚫 LiteLLM 1.107.0 Dibobol; Pencuri Kredensial Menyusup Lewat PyPI dan Docker
⚔️ Microsoft Ungkap Storm-0940 Pakai Agen AI ARTEX Serbu 2.250 Tenant
📊 Ancaman Siber di Era AI: Membaca Data BSSN 2025 untuk Perusahaan Indonesia
Sumber dan Referensi
[1] PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet - Wiz Blog
[2] PHP 8.5.12, 8.4.27, 8.3.36 Released - PHP.net
[3] PHP2Shell: Critical PHP vulnerabilities patched, update now! - Help Net Security
[4] Cloudflare deploys protections against php2shell vulnerability - Cloudflare Blog
[5] Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619 - Google Cloud Blog
[6] UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi - JDIH BPK