BANDUNG — Kerentanan berjenis Remote Code Execution pada engine C PHP telah terpendam selama 14 tahun sebelum akhirnya diekspos ke publik. Dua bug dengan identitas CVE-2026-109618 dan CVE-2026-109619 terungkap tepat sebelum rilis resmi tambalan dilakukan.
Skor ancaman keduanya mencapai CVSS 9.2, level kritis yang nyaris setara kerusakan maksimal. Tim intelijen keamanan Sansec bahkan memperingatkan gelombang serangan massal berpotensi meledak hanya 15 menit setelah patch terbit.
PHP2Shell Beredar Bebas, Siapa Pun Bisa Mengunduh
Yang memperparah situasi, tool eksploitasi bernama PHP2Shell sudah bocor dan bisa diunduh bebas di internet. Perangkat itu memungkinkan penyerang menjalankan perintah dari jarak jauh secara instan.
Lewat tool tersebut, hacker dapat membajak sekaligus menguasai server korban secara utuh. Prosesnya tanpa perlu memasukkan kombinasi sandi atau melewati prosedur login sama sekali.
Target paling empuk adalah platform niaga yang dibangun dengan sistem populer seperti WooCommerce dan Magento. Keduanya banyak dipakai pelaku UMKM dan toko online di berbagai daerah, termasuk Jawa Barat.
PHP 8.1 ke Bawah: Server Lama Tanpa Tambalan
Pengembang PHP memastikan tambalan resmi hanya didistribusikan untuk versi 8.2 ke atas. Artinya, pemilik website yang masih mengandalkan PHP 8.1 ke bawah tidak mendapat perlindungan patch keamanan.
Mereka menghadapi gempuran peretas dengan pertahanan yang sudah tidak diperbarui. Server lawas itu praktis dibiarkan terbuka tanpa fungsi pengaman pada pintu utamanya.
Jika dianalogikan, internet saat ini layaknya kota besar yang seluruh bangunan vitalnya mendadak kehilangan kunci. Penjahat siber bisa bebas keluar masuk sistem perbankan digital atau basis data sekolah untuk mencuri uang dan merampas identitas warga.
Langkah Mitigasi Darurat untuk Developer dan Hosting
Developer dan penyedia layanan hosting diminta segera mengambil alih kendali dan melakukan tindakan mitigasi darurat. Prioritas pertama adalah mematikan fungsi eksekusi rentan dari dalam file php.ini.
Fungsi yang wajib dinonaktifkan meliputi exec, system, shell_exec, dan passthru. Keempatnya menjadi jalur utama yang dipakai PHP2Shell untuk menjalankan perintah berbahaya di server korban.
Pemilik toko online yang belum sanggup melakukan mitigasi mandiri disarankan berkoordinasi dengan penyedia hosting masing-masing. Pengecekan versi PHP di panel hosting menjadi langkah awal sebelum memutuskan migrasi ke versi 8.2 atau lebih baru.
