Pada 22 Oktober 2026, CSIRT Komdigi mengeluarkan advisori keamanan tentang dua celah kritis di PHP yang dikenal sebagai PHP2Shell. Badan Siber dan Sandi Negara (BSSN) menerbitkan peringatan keamanan yang sama pada hari yang sama. Dua celah itu, CVE-2026-109618 dan CVE-2026-109619, masing-masing mendapat skor CVSS 4.0 sebesar 9,2, kategori kritis. Celah pertama terjadi saat PHP kehabisan memori ketika memproses permintaan HTTP yang dirancang khusus. Celah kedua adalah use-after-free, kondisi saat program memakai kembali memori yang sudah dibebaskan. Keduanya berpotensi dipakai untuk eksekusi kode jarak jauh tanpa autentikasi, yang dalam bahasa sederhananya berarti penyusup bisa menjalankan perintah di server Anda tanpa perlu nama pengguna dan kata sandi.
Bagi pemilik bisnis, ini bukan berita untuk pengembang saja. Situs Anda menyimpan hal-hal yang berharga: katalog, data pelanggan, riwayat pesanan, formulir kontak yang masuk, dan kadang akses ke sistem internal. Celah di inti bahasa pemrograman situs berarti celah itu tidak bergantung pada satu plugin atau satu tema. PHP diperkirakan mendukung sekitar 70 persen situs web dunia, dan luasnya pemakaian itulah yang membuat peringatan ini sampai ke level pemerintah. Server yang tidak diperbarui bisa disusupi tanpa pemiliknya sadar, dan kerugiannya baru terasa belakangan: data pelanggan bocor, halaman diubah, atau situs dipakai untuk menyerang pihak lain.
Dua celah, satu pintu masuk yang sama
Inti masalahnya sederhana untuk dipahami, meski detail teknisnya rumit. PHP memproses permintaan yang dikirim pengunjung situs. Permintaan yang dirancang khusus bisa membuat PHP kehabisan memori atau memakai memori yang sudah dibebaskan, dan dari kekacauan itu penyusup bisa menyelipkan perintahnya sendiri. Skor 9,2 dari 10 menandakan dampaknya berat dan serangannya bisa dilakukan dari jarak jauh. Tidak ada laporan kompromi massal yang terkonfirmasi sampai peringatan ini terbit, tetapi upaya eksploitasi sudah terdeteksi di honeypot dan sistem pemantauan. Artinya, pihak yang mencari celah ini sudah bergerak, dan pemilik situs berpacu dengan mereka.
Peringatan ini juga punya batas waktu yang jelas. Pengembang PHP merilis pembaruan keamanan pada 21 Oktober 2026, sehari sebelum advisori pemerintah terbit. Versi perbaikan yang tersedia adalah PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. Situs yang masih memakai PHP 8.1 ke bawah berada di posisi yang lebih sulit: versi-versi itu sudah end-of-life, sehingga tidak ada perbaikan resmi untuknya. Bagi situs seperti itu, menunda pembaruan bukan lagi soal menunggu jadwal luang, karena tidak ada tambalan yang akan datang. Jalan keluarnya adalah migrasi ke versi yang masih didukung.
Maintenance & Repair
Sistemmu sudah jalan — kami yang menjaga, memantau, dan memperbaikinya, termasuk chatbot dan workflow AI-mu.
Periksa server Anda minggu ini
Pemeriksaan ini tidak butuh keahlian pemrograman dari Anda, tetapi butuh jawaban yang pasti dari orang yang mengurus server Anda. Lima langkah berikut mengikuti mitigasi yang dicantumkan advisori.
1. Tanyakan versi PHP yang dipakai situs Anda. Minta jawaban dalam angka versi, misalnya 8.2 atau 8.1, bukan jawaban "sudah aman". Bandingkan dengan daftar versi perbaikan: 8.5.12, 8.4.27, 8.3.36, atau 8.2.35. Kalau angkanya di bawah itu, situs Anda belum diperbaiki.
2. Perbarui seluruh lingkungan PHP, bukan satu tempat saja. Advisori menyebut tiga bentuk yang harus diperbarui: PHP-FPM, Apache mod_php, dan php-cgi. Situs bisa terlihat sudah diperbarui di satu sisi tetapi masih memakai versi lama di sisi lain, dan celah itu cukup untuk dimasuki.
3. Mulai ulang layanan setelah pembaruan. Pembaruan yang tidak diikuti mulai ulang bisa membuat server tetap menjalankan versi lama di memori. Minta konfirmasi bahwa layanan sudah dimulai ulang dan versi lama tidak lagi berjalan di memori.
4. Pantau log dari aktivitas mencurigakan. Log server mencatat permintaan yang masuk, termasuk pola yang tidak wajar seperti permintaan berulang dengan bentuk aneh. Minta tim yang mengurus server memeriksa log sejak 21 Oktober 2026, tanggal pembaruan keamanan dirilis.
5. Pastikan cadangan data tersedia dan bisa dipakai. Cadangan adalah jalan pulang kalau situs sudah telanjur disusupi: situs bisa dipulihkan ke kondisi sebelum serangan. Cadangan yang tidak pernah diuji sama dengan tidak punya cadangan. Tanyakan kapan terakhir kali cadangan diuji pemulihannya.
Pemeriksaan berkala seperti ini adalah pekerjaan layanan Maintenance & Repair: https://tamatech.id/services/maintenance-services. Layanan ini mengurus pembaruan, pemantauan, dan cadangan server supaya pemilik bisnis tidak perlu mengingat sendiri tanggal rilis tambalan keamanan.
Kalau pembaruan belum bisa dilakukan minggu ini
Ada situs yang tidak bisa diperbarui seketika, misalnya karena aplikasinya masih bergantung pada versi PHP lama atau karena penyedia hosting belum menyediakan versi baru. Advisori memberi dua langkah sementara untuk kondisi itu: batasi akses jaringan ke server sebisa mungkin, dan pastikan cadangan data tersedia. Pembatasan akses jaringan mempersempit jalan masuk penyusup selagi perbaikan disiapkan. Langkah ini bersifat sementara dan tidak menggantikan pembaruan, tetapi lebih baik daripada membiarkan server lama terbuka penuh.
Contoh nyata dari Indonesia menunjukkan pemerintah daerah menanggapi peringatan ini dengan serius. Pemerintah Provinsi Lampung mengunci sementara layanan elektroniknya sebagai langkah pengamanan. Dinas Komunikasi dan Informatika Kalimantan Timur menerbitkan Surat Edaran pada 23 Oktober 2026 yang mewajibkan pembaruan ke standar aman minimal sesuai daftar versi perbaikan, serta migrasi penuh dari PHP 8.1 ke bawah. Kalau instansi pemerintah dengan banyak layanan publik saja mengambil langkah penguncian sementara, pemilik bisnis dengan satu situs tidak punya alasan untuk menganggap peringatan ini bisa ditunda tanpa batas.
Satu hal yang perlu diingat soal waktu. Upaya eksploitasi sudah terlihat di honeypot dan sistem pemantauan, dan jeda antara pengumuman celah dan eksploitasi massal biasanya pendek. Situs yang diperbarui minggu ini menutup pintu sebelum pintu itu ramai dicoba. Situs yang menunggu sampai ada kabar serangan menimpa bisnis sejenis sedang bertaruh bahwa namanya tidak masuk daftar percobaan.
Langkah pertama Anda hari ini singkat: kirim satu pesan kepada orang atau penyedia yang mengurus server Anda, "PHP situs kami versi berapa, dan apakah sudah di atas versi perbaikan 21 Oktober 2026?" Jawaban berupa angka versi adalah awal yang baik. Jawaban yang samar adalah tanda Anda perlu jawaban kedua yang lebih pasti. Kalau jawaban itu ternyata versi lama dan Anda tidak tahu harus mulai dari mana, ceritakan lewat Tanya Tama di situs ini. Kita mulai dari memeriksa versi PHP Anda dulu.
Sumber berita: HarianNusa, 27 Oktober 2026; advisori CSIRT Komdigi, 22 Oktober 2026; peringatan keamanan BSSN, 22 Oktober 2026; Detik iNET sebagai rujukan awal media; Surat Edaran Diskominfo Kalimantan Timur, 23 Oktober 2026.
