FaktaHari – 24 Oktober 2026 | Dunia maya nyaris mengalami kiamat digital. Pada 21 Oktober 2026, para peneliti keamanan mengungkap dua kerentanan kritis dalam php, bahasa pemrograman yang menopang sekitar 70% situs web di seluruh dunia. Kerentanan yang dijuluki PHP2Shell ini bukan sekadar celah biasa—ia adalah bom waktu yang telah tertanam selama lebih dari satu dekade dan kini ditemukan oleh kecerdasan buatan (AI). Jika dieksploitasi, penyerang dapat mengeksekusi kode dari jarak jauh (Remote Code Execution/RCE) tanpa autentikasi, seolah-olah diberikan kunci master untuk mengendalikan hampir seluruh infrastruktur internet.
Perusahaan keamanan siber Wiz, yang dimiliki Google, menyebut temuan ini sebagai “salah satu kerentanan paling parah dalam sejarah perangkat lunak”. Skor CVSS v4.0 mencapai 9,2—level kritis. Dua celah tersebut diberi kode CVE-2026-109618 dan CVE-2026-109619. Yang pertama berkaitan dengan penghancuran memori saat terjadi kondisi kehabisan memori (Out of Memory/OOM), di mana data permintaan yang hanya terinisialisasi sebagian kemudian diperlakukan sebagai data valid saat pembersihan. Yang kedua adalah masalah status global lama yang tetap tersisa setelah memori dibebaskan, sehingga worker proses yang sama dapat menggunakan status usang tersebut sebelum direset untuk permintaan berikutnya.
Tim keamanan php bergerak cepat. Pada hari yang sama, mereka merilis patch untuk versi 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. Semua pengguna diimbau untuk segera memperbarui sistem. FBI pun turun tangan dengan peringatan darurat, meminta para pelaku usaha untuk menambal atau mematikan sistem yang rentan. “Jika pembaruan segera tidak memungkinkan, FBI sangat menyarankan untuk mengambil sistem offline sampai mitigasi penuh tercapai,” demikian pernyataan FBI. NSA juga memperingatkan bahwa penyerang dapat mengambil alih server web, mencuri data, atau melumpuhkan layanan.
Meski demikian, respons publik terbilang adem ayem. Hanya sedikit situs dan layanan yang dilaporkan offline saat pemasangan patch. Media massa nyaris tidak berkedip. Namun di balik ketenangan itu, ada operasi penyelamatan senyap yang melibatkan ribuan insinyur, administrator sistem, dan pembuat kebijakan. Inilah kemenangan besar pertama bagi “pihak baik” di era keamanan siber berbasis AI—sebuah bukti bahwa kolaborasi manusia dan mesin dapat mencegah bencana.
Mengapa AI berperan penting? Alat berbasis AI memungkinkan peneliti menemukan pola kerentanan yang sangat dalam dan rumit, yang mungkin tidak terdeteksi oleh audit manual. Namun, AI juga mempercepat kemampuan penyerang dalam menemukan celah. Inilah pedang bermata dua. Dalam kasus PHP2Shell, AI membantu mengidentifikasi cacat yang telah bersembunyi selama bertahun-tahun, sehingga patch bisa dibuat sebelum ada laporan eksploitasi massal.
Bagi pengguna biasa, insiden ini adalah pengingat bahwa keamanan online tidak berhenti pada kata sandi yang kuat. Berikut langkah-langkah yang dapat diambil untuk melindungi akun dan perangkat:
- Aktifkan autentikasi multi-faktor (MFA) dan gunakan kata sandi unik untuk setiap akun. Manajer kata sandi dapat membantu.
- Perbarui perangkat, aplikasi, dan router secara otomatis. Jangan abaikan pembaruan untuk perangkat yang terhubung ke internet.
- Waspadai pesan keamanan mendesak yang meminta Anda mengklik tautan atau memberikan informasi pribadi—ini bisa jadi upaya phishing yang memanfaatkan berita kerentanan.
- Pantau transaksi bank secara rutin dan gunakan passkey jika tersedia.
- Untuk pemilik situs web, segera koordinasikan dengan tim IT atau penyedia hosting untuk mengidentifikasi sistem yang rentan dan menerapkan patch. Jika tidak memungkinkan, matikan sementara sistem tersebut.
Para ahli juga menekankan pentingnya inventarisasi aset: organisasi harus memetakan di mana saja php digunakan, memprioritaskan sistem yang menghadap internet dan produk vendor yang membundel php. Pemantauan log server web untuk aktivitas mencurigakan—seperti proses php yang tiba-tiba meluncurkan shell perintah atau mengunduh file—sangat dianjurkan. Jika terjadi kompromi, isolasi sistem, simpan log, dan laporkan ke otoritas setempat.
Kisah PHP2Shell bukanlah akhir dari ancaman. Justru ini adalah awal dari lanskap keamanan siber yang lebih kompleks, di mana AI menjadi senjata utama. Namun setidaknya untuk saat ini, pihak baik telah mencetak gol. Patch telah tersedia, kesadaran meningkat, dan kolaborasi lintas sektor—dari peneliti hingga penegak hukum—telah mencegah apa yang bisa menjadi bencana global. Pelajaran berharganya: dalam dunia yang saling terhubung, keamanan adalah tanggung jawab bersama. Jangan menunggu hingga bom waktu meledak; perbarui sistem Anda hari ini.
