Cekricek.id — Dua celah keamanan kritis pada bahasa pemrograman PHP, yang dijuluki PHP2Shell, membuat Wikipedia, 4chan, DeviantArt, hingga sejumlah situs pemerintah di Eropa terganggu atau dimatikan sementara pada Rabu (21/10/2026).
Melansir laporan The Verge, Rabu (21/10/2026), celah itu sudah tersembunyi di PHP sekitar 20 tahun dan berdampak pada semua versi sejak PHP 5. Pengembang PHP memberi tingkat keparahan 9,2 dari skala 10. Celah tersebut memungkinkan penyerang menjalankan kode sendiri di server, mengubah isi situs, dan mengakses data tanpa perlu kata sandi administrator.
PHP dipakai oleh 69,3 persen situs web yang bahasa pemrograman servernya diketahui, menurut layanan survei W3Techs, termasuk Wikipedia dan semua situs berbasis WordPress. Badan Keamanan Nasional AS (NSA), Pusat Keamanan Siber Nasional Inggris, dan tim tanggap darurat komputer Uni Eropa menyarankan organisasi yang belum bisa segera menambal sistemnya agar mematikan situs mereka sementara.
Baca juga Serangan Siber Merambah Sistem Gedung dan Pendingin Makanan
Serangan pun sudah mulai muncul. “Kami melihat serangan-serangan awal mulai bermunculan,” kata Kepala Teknologi Cloudflare, Dane Knecht. Cloudflare memperbarui aturan firewall-nya untuk sementara sampai tambalan tersedia. Sejumlah instansi pemerintah Belanda dan Finlandia juga mematikan situs mereka sebagai langkah pencegahan.
Celah itu ditemukan dengan bantuan kecerdasan buatan. Menurut OpenAI, kelompok keamanan Calif menemukan salah satu celah memakai model GPT-5.6 Sol, sedangkan tim Wiz milik Google menemukannya secara terpisah juga dengan bantuan AI. Salah satu pendiri Wiz, Ami Luttwak, menyebutnya kepada The Wall Street Journal sebagai “kerentanan AI paling parah yang pernah ditemukan.”
Baca juga AS Larang DeepSeek di Instansi Federal, China Protes
Tambalan resmi dirilis pada Rabu pukul 10.00 waktu Timur AS. Pengembang PHP, Gina Peter Banyard, mengatakan penambalan adalah satu-satunya cara mengatasi celah ini, dan jika tidak bisa, mematikan server “mungkin langkah paling masuk akal.”
Penyedia plugin keamanan WordPress, Wordfence, mengingatkan tambalan ini tidak bisa dipasang lewat pembaruan otomatis, sehingga pemilik situs perlu memastikan siapa yang bertanggung jawab memperbarui PHP di servernya. Situs yang masih memakai PHP 8.1 atau versi lebih lama juga diminta meningkatkan versinya karena versi tersebut tidak lagi didukung.
Baca juga Ribuan Tautan Percakapan AI Meta Muse Terlacak di Internet
