NADIKABAR.COM — Dua celah keamanan kritis ditemukan pada PHP, bahasa pemrograman yang digunakan oleh banyak website di seluruh dunia. Kerentanan ini memicu kewaspadaan global karena berpotensi memungkinkan peretas mengambil alih server tanpa memerlukan akun maupun kata sandi.
Kedua celah tersebut dikenal dengan sebutan PHP2Shell dan teridentifikasi sebagai CVE-2026-109618 serta CVE-2026-109619. Masing-masing memiliki tingkat keparahan 9,2 dari skala 10 berdasarkan sistem penilaian CVSS 4.0.
Ancaman ini semakin serius setelah informasi mengenai kerentanan tersebut dilaporkan bocor sebelum pengumuman resmi. Sejumlah peneliti keamanan bahkan memperingatkan potensi serangan massal terhadap server yang belum diperbarui.
Dilansir dari The Hacker News, Kamis (22/10/2026), kedua kerentanan berada pada inti mesin PHP, bukan pada aplikasi atau kode website yang menggunakannya.
Artinya, website dengan kode aplikasi yang aman sekalipun berpotensi terdampak apabila menjalankan versi PHP yang rentan. Bahkan, halaman sederhana yang menggunakan PHP dapat menjadi sasaran serangan.
Kedua celah tersebut berpotensi memungkinkan serangan remote code execution (RCE), yakni menjalankan kode berbahaya dari jarak jauh tanpa autentikasi. Sebuah video yang beredar bahkan diklaim memperlihatkan penggunaan alat bernama PHP2Shell untuk mengeksploitasi kerentanan tersebut pada server website.
Perusahaan keamanan siber Sansec sebelumnya memperingatkan bahwa serangan massal berpotensi dimulai hanya dalam hitungan menit setelah pembaruan keamanan dirilis.
"Kami memperkirakan serangan massal akan dimulai dalam waktu 15 menit setelah perilisan," ujar peneliti Sansec, sebagaimana dikutip PC Gamer.
PHP sendiri merupakan bahasa pemrograman yang banyak digunakan untuk menjalankan berbagai layanan website, termasuk portal berita, toko online, hingga sistem informasi perusahaan dan pemerintahan.
Karena penggunaannya sangat luas, celah keamanan pada PHP berpotensi menimbulkan dampak lintas negara, termasuk terhadap layanan digital di Indonesia
