PHP2Shell Paksa Situs Pemerintah Offline; Sektor Otomotif dan Manufaktur Patut Cek Paparannya

JAKARTA, KABAR GAS POL — Sebuah celah keamanan pada PHP, bahasa pemrograman yang menurut Wiz menjalankan 70 persen situs web dunia, memaksa pemerintah dan perusahaan di berbagai negara mengambil sistem mereka dari jaringan sejak Rabu (21/10/2026). Kerentanan yang dijuluki PHP2Shell itu ditemukan tim peneliti dengan bantuan model kecerdasan buatan.

Wiz Research menyebut celah tersebut memungkinkan eksekusi kode dari jarak jauh tanpa autentikasi, di samping pengungkapan memori.

Cakupannya luas. Semua versi PHP yang dirilis dalam sepuluh tahun terakhir, dimulai dari 5.4, terkena sedikitnya satu dari kerentanan ini. Temuan itu dikelompokkan dalam dua nomor CVE dengan tingkat keparahan hingga CVSS 9,2. Pengembang PHP merilis patch untuk perbaikan kelemahan keamanan memori pada 21 Oktober 2026.

Di Inggris, Menteri Teknologi Baroness Lloyd menyatakan 32 layanan pemerintah tidak tersedia dan empat lainnya sebagian. Pusat Keamanan Siber Nasional (NCSC) Inggris mengirim 50.000 peringatan kepada organisasi yang terdampak. Pemerintah Korea Selatan menaikkan tingkat peringatan keamanan siber sektor swasta dan menerbitkan panduan bagi puluhan ribu perusahaan.

"Mohon periksa apakah situs web publik Anda menggunakan PHP, dan bersiaplah untuk menerapkan patch perbaikan yang akan dirilis malam ini… secepat mungkin," kata Perdana Menteri Jepang Sanae Takaichi.

Serangan nyata datang cepat. CEO Cloudflare Matthew Prince mengatakan: "Itu melonjak ke puluhan ribu dalam 45 menit pasca pengumuman, ratusan ribu dalam dua jam, dan jutaan sekarang". Cloudflare juga mencatat ribuan upaya eksploitasi dalam 10 jam sebelum pengumuman publik.

Amazon Threat Intelligence menemukan jejak yang lebih awal lagi. Jaringan honeypot MadPot milik Amazon merekam upaya eksploitasi pada 17 Oktober 2026, empat hari sebelum kedua CVE diumumkan.

Ada pula penilaian yang lebih tenang. Ryan Austin, peneliti di perusahaan keamanan siber Calif, mengatakan: "Saat ini tidak terlihat seperti eksploitasi telah menyebar atau meluas". Pakar keamanan siber Prof Alan Woodward berkata, "seseorang telah membocorkan rahasia".

Peran kecerdasan buatan dalam temuan ini menjadi pusat perhatian. Wiz memakai Wiz Atlas, Gemini 4 Argon, dan GPT-5.6 Sol dalam penelitiannya. Wiz menyebut: "Model AI perbatasan secara signifikan mengurangi hambatan itu, mengubah cacat lama menjadi eksploitasi". Raluca Ada Popa dari Google DeepMind menyebut Gemini 4 Argon berkontribusi dalam menemukan kerentanan, mengembangkan eksploit, mendeteksi serangan, dan memvalidasi patch.

CNN membandingkan dampak kerentanan ini dengan bug Heartbleed pada 2014. Patrick Fussell dari IBM memakai perumpamaan: "Bayangkan sebuah kamar hotel tempat Anda checkout, tetapi kunci Anda masih berfungsi". Ia juga mengatakan, "Kecepatan penemuan kerentanan jauh melampaui apa pun yang pernah ada sebelumnya".

"Dengan PHP di balik pangsa web yang sangat besar, paparannya bisa mencapai hampir di mana pun orang menghabiskan uang secara online," kata Nigel Green, CEO deVere Group.