TOKYO, Kamis (22/10/2026) - Dua kerentanan kritis ditemukan pada bahasa pemrograman PHP yang digunakan sekitar 70 persen situs web global. Akibat celah keamanan bernama PHP2Shell tersebut, pemerintah sejumlah negara menonaktifkan sementara laman resmi mereka guna mencegah peretasan.
Kerentanan yang teridentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619 itu berdampak langsung pada inti runtime bahasa pemrograman sumber terbuka tersebut. Masalah ini berada pada tingkat fundamental sehingga memengaruhi berbagai infrastruktur peladen dan kerangka kerja web populer di dunia.
Sejauh ini imbas terpantau pada WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Laravel versi 13.x dan 8.x, Symfony 8.1.9, Drupal 11.4.10, hingga Plain mod_php. Celah tersebut memungkinkan peretas mengeksekusi kode berbahaya dari jarak jauh untuk menguasai peladen secara penuh.
Perdana Menteri Jepang Sanae Takaichi bahkan menutup situs web pribadinya sejak Rabu malam guna menghindari potensi pembobolan sistem.
"Apakah situs web kalian aman? Kami sudah menonaktifkan situs kami," kata Takaichi, Kamis (22/10/2026), dikutip dari Kumamoto Asahi Broadcasting.
Melalui akun media sosial X miliknya, Takaichi mendesak para pengelola situs segera memeriksa penggunaan PHP dan memasang pembaruan. "Saya punya permintaan yang sangat mendesak kepada Anda semua agar mengambil tindakan malam ini," tulis Takaichi.
Pemerintah Jepang telah menghentikan sebagian layanan web Kementerian Keuangan serta Kementerian Kesehatan. Menurut Kepala Sekretaris Kabinet Jepang Minoru Kihara, sejauh ini belum ditemukan dampak eksploitasi kerentanan PHP pada situs resmi pemerintah.
Di sektor swasta Jepang, perusahaan jasa keuangan Mitsubishi UFJ Financial Group turut menonaktifkan sementara sebagian layanan internet untuk mengantisipasi gangguan.
Langkah serupa diambil di Eropa dengan penonaktifan situs pemerintah di enam negara pada Rabu, yaitu Jerman, Perancis, Belgia, Belanda, Finlandia, dan Ceko. Penutupan layanan sementara juga dilakukan oleh sejumlah rumah sakit, partai politik, serta pengelola Pelabuhan Rotterdam di Belanda.
Pemerintah Jerman dan Finlandia menyatakan belum mendeteksi adanya insiden keamanan pada sistem mereka. Kantor Pemerintah Ceko menyatakan pemulihan layanan akan berlangsung setelah perbaikan sistem tuntas dipasang.
"Langkah ini bertujuan memastikan situs web beroperasi dengan aman. Selama penonaktifan, situs dan isinya tidak dapat diakses publik," demikian pernyataan Kantor Pemerintah Ceko.
Pengelola ensiklopedia daring Wikipedia, Wikimedia Foundation, turut menonaktifkan sejumlah sistem sebagai tindakan pencegahan.
Perusahaan keamanan siber Calif, Wiz milik Alphabet yang merupakan induk Google, serta Quarkslab bersama OpenAI resmi mengumumkan celah ini pada Rabu (21/10/2026). Tingkat keparahan ancaman dinilai sangat tinggi dengan skor 9,2 dari skala 10 karena berasal dari kesalahan alokasi memori.
Kepala Eksekutif Cloudflare Matthew Prince mengungkapkan bahwa perusahaannya mendeteksi jutaan percobaan serangan peretasan tak lama setelah pengumuman tersebut. Serangan melonjak drastis dari puluhan ribu dalam 45 menit menjadi ratusan ribu dalam tempo dua jam.
"Kini jumlahnya mencapai jutaan," tulis Prince melalui akun X miliknya.
Cloudflare dan perusahaan keamanan watchTowr mendeteksi penyerang terus memodifikasi metode serangan demi menembus sistem pertahanan. Sementara itu, tim Amazon Threat Intelligence melaporkan adanya aktivitas eksploitasi PHP2Shell sejak 17 Oktober dari berbagai kelompok berbeda.
Hingga Kamis, belum ada laporan keberhasilan peretasan pada situs pemerintah yang dinonaktifkan, dan identitas penyerang belum teridentifikasi.
Kelemahan kode pada inti PHP tersebut telah ada selama lebih dari satu dekade, tetapi sulit dieksploitasi karena membutuhkan langkah teknis yang rumit. Pada Agustus 2026, para peneliti menggunakan teknologi kecerdasan buatan untuk merekayasa serangan terhadap peladen.
"Model AI terdepan berhasil mengatasi hambatan itu," kata perwakilan Wiz.
Tanda awal salah satu kerentanan sebenarnya telah dilaporkan sejak 2024, tetapi metode penyerangannya belum dipahami saat itu. "Keterlambatan itu merupakan kegagalan struktural," demikian pernyataan PHP Foundation, organisasi nirlaba pengembang PHP.
Sebagai langkah mitigasi lanjutan, pengembang telah merilis pembaruan keamanan melalui PHP versi 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 pada Rabu (21/10/2026). Badan Keamanan Nasional Amerika Serikat (NSA) serta Badan Keamanan Siber dan Keamanan Infrastruktur AS (CISA) menginstruksikan seluruh pengelola sistem untuk segera memperbarui perangkat lunak mereka atau mematikan peladen yang rentan.
