Celah keamanan PHP: apakah situs WordPress Anda terdampak?

Dua hari terakhir, kata "PHP" ada di mana-mana dalam berita. Di Belanda, DigiD, akses warga ke layanan pemerintah, sempat mati. Di Finlandia, sejumlah situs pemerintah dimatikan sebagai tindakan pencegahan. Di AS, FBI dan NSA meminta organisasi mematikan server mereka jika belum bisa menambal. Di Turki, Direktorat Keamanan Siber Kepresidenan memulai pemindaian nasional.

Dalam artikel ini kami menjelaskan apa yang terjadi tanpa membanjiri Anda dengan detail teknis. Lalu, langkah demi langkah, kami bahas cara operator tur mengetahui apakah situsnya terdampak, apa yang perlu dilakukan hari ini, dan cara bersiap lebih baik ke depannya.

Dasarnya dulu: apa itu PHP?

PHP adalah bahasa pemrograman yang bekerja di balik layar banyak situs web. Saat pengunjung membuka situs Anda, kode yang menyusun halaman, mengubah formulir kontak menjadi email, atau menyimpan pemesanan ke database sering kali ditulis dengan PHP.

Meski belum pernah mendengarnya, kemungkinan besar Anda menggunakannya di suatu tempat. WordPress, WooCommerce, Joomla, Drupal, dan banyak plugin pemesanan siap pakai berjalan dengan PHP. Menurut FBI, sekitar 70% situs web di dunia menggunakan PHP.

Apa yang terjadi?

Pada 20–21 Oktober 2026, tim PHP merilis pembaruan darurat untuk dua celah keamanan kritis. Keduanya tercatat sebagai CVE-2026-109618 dan CVE-2026-109619 dan bersama-sama dikenal sebagai "PHP2Shell". Keduanya mendapat skor keparahan 9,2 dari 10.

Mengapa ini serius: dalam kondisi tertentu, celah ini memungkinkan penyerang menjalankan kode apa pun di server Anda lewat internet, tanpa nama pengguna atau kata sandi. Dalam dunia keamanan, ini disebut eksekusi kode jarak jauh (RCE). Sederhananya, seseorang bisa masuk lewat pintu Anda tanpa perlu kunci.

Menurut Qualys, satu celah muncul ketika data tertinggal setengah jadi karena server kehabisan memori, dan celah lainnya ketika, setelah terjadi error, permintaan pengunjung berikutnya membaca lagi memori yang sudah dibebaskan. Para peneliti juga menunjukkan bahwa data seperti kata sandi, informasi sesi, dan kunci API bisa bocor dari memori server.

Kantor berita Anadolu melaporkan bahwa celah ini ditemukan pada bulan Agustus oleh perusahaan keamanan bernama Calif dengan bantuan AI. Perbaikannya disiapkan diam-diam selama sekitar dua bulan, tetapi beritanya bocor ke media sehari sebelum tambalan dirilis.

Mengapa ini masalah besar?

• Skalanya sangat besar: Palo Alto Networks menemukan lebih dari 22,6 juta sistem yang terhubung ke internet dan berpotensi rentan.
• Versi lama ada di mana-mana: menurut Qualys, 71% instalasi PHP yang versinya diketahui memakai versi yang sudah tidak didukung dan tidak mendapat tambalan rutin.
• Serangan sudah dimulai: Cloudflare melaporkan lalu lintas serangan yang menargetkan celah ini, dan kode untuk mengeksploitasinya sudah beredar.
• Penambalan berjalan lambat: dalam 12 jam pertama, hanya sekitar 199.000 dari 167 juta instalasi yang dipantau Qualys yang sudah diperbarui.

Itulah sebabnya pemerintah mematikan situs. Selama sistem belum ditambal, cara paling aman adalah menutup pintu yang bisa dilewati penyerang. Di Turki, Direktorat Keamanan Siber mengirim pemberitahuan darurat ke lembaga publik dan meminta perusahaan swasta memeriksa sistem PHP mereka. Direktorat menyatakan tidak ditemukan masalah yang memengaruhi layanan di e-Devlet, portal pemerintah nasional.

Apa artinya bagi operator tur?

Apa yang bisa dilakukan penyerang setelah masuk tergantung pada apa yang disimpan situs Anda. Skenario yang paling mungkin:

• Kebocoran data pelanggan: nama, nomor telepon, email, dan data paspor dari formulir pemesanan. Tergantung lokasi Anda dan tamu Anda, aturan perlindungan data seperti UU PDP atau GDPR bisa mewajibkan Anda melaporkannya.
• Pencurian kata sandi dan kunci: kata sandi database serta kunci API penyedia pembayaran, channel manager, atau layanan email Anda.
• Konten berbahaya di situs: halaman spam tersembunyi atau kode yang mengalihkan pengunjung ke situs lain. Jika Google mendeteksinya, situs Anda bisa tampil dengan peringatan dan kerja SEO berbulan-bulan bisa terganggu.
• Server Anda dipakai untuk hal lain: penambangan kripto, pengiriman spam, atau menyerang situs lain.
• Kehilangan penjualan: jika situs harus dimatikan sebagai tindakan pencegahan, Anda tidak bisa menerima pemesanan, bahkan di musim ramai.

Apakah situs Anda terdampak? Cek versinya dulu

Langkah pertama adalah mengetahui apakah situs Anda berjalan dengan PHP dan versi berapa. Di WordPress, buka Alat → Kesehatan Situs → Info → Server di panel admin. Panel hosting Anda (cPanel, Plesk, dan lainnya) biasanya juga menampilkannya di bagian "Versi PHP".

Berikut versi yang sudah menutup celah ini:

• PHP 8.5: 8.5.12 atau lebih baru
• PHP 8.4: 8.4.27 atau lebih baru
• PHP 8.3: 8.3.36 atau lebih baru
• PHP 8.2: 8.2.35 atau lebih baru
• PHP 8.1 atau lebih lama: tidak ada pembaruan resmi rutin. Kecuali penyedia hosting Anda menerapkan tambalan khusus, Anda perlu pindah ke versi yang lebih baru.

Catatan: beberapa distribusi Linux merilis perbaikan dengan tetap memakai nomor versi lama. Jadi nomor yang lebih rendah belum tentu berarti situs Anda pasti rentan. Karena itu, cara paling andal adalah bertanya langsung ke penyedia hosting.

Yang perlu dilakukan hari ini

• Kirim pesan ke penyedia hosting dan tanyakan: "Apakah PHP di server saya sudah diperbarui untuk mengatasi PHP2Shell (CVE-2026-109618 dan CVE-2026-109619)?" Jawaban "Kami sudah menambahkan aturan firewall" saja tidak cukup. Pastikan PHP-nya sendiri sudah diperbarui.
• Ketahui bahwa memperbarui WordPress tidak menyelesaikan masalah ini: celahnya bukan di WordPress, tetapi di PHP yang berjalan di bawahnya. Pembaruan plugin atau tema, plugin keamanan, dan mode pemeliharaan tidak melindungi Anda, karena serangan bisa berjalan bahkan sebelum WordPress dimuat.
• Jika Anda punya server sendiri (VPS): perbarui paket PHP, lalu restart PHP-FPM atau Apache. Server yang belum di-restart tetap menjalankan kode lama yang rentan. Jika memakai Docker, tarik image baru dan buat ulang container Anda.
• Jika Anda memakai versi lama: buat cadangan lengkap yang disimpan di luar server, lalu pindah ke PHP 8.3 atau 8.4. Setelah itu uji satu per satu halaman beranda, halaman tur, formulir kontak, dan langkah pemesanan.
• Jika belum bisa menambal segera: menempatkan situs di balik firewall seperti Cloudflare memberi perlindungan sementara. Jika Anda punya tim teknis, mereka bisa menerapkan pengaturan sementara yang direkomendasikan PHP (misalnya session.upload_progress.enabled=0). Ini bukan solusi penuh, hanya membeli waktu.

Apakah sudah ada yang masuk? Tanda-tanda yang perlu dicek

Setelah menambal, sebaiknya periksa apakah ada yang masuk sebelum celah ditutup:

• Apakah ada akun administrator di WordPress yang tidak Anda kenal?
• Apakah ada plugin yang tidak Anda pasang?
• Apakah ada file .php di wp-content/uploads, folder tempat gambar Anda disimpan? Seharusnya tidak ada file PHP di sana.
• Saat mencari site:domainanda.com di Google, apakah muncul halaman yang tidak pernah Anda tulis?
• Apakah ada peringatan di bagian "Masalah keamanan" di Google Search Console?
• Apakah penyedia hosting mengirim peringatan tentang malware, spam, atau penggunaan sumber daya yang tidak biasa?

Jika Anda melihat salah satu tanda ini, minta penyedia hosting memindai server dan memulihkan cadangan bersih dari sebelum aktivitas mencurigakan. Lalu ganti semua kata sandi dan kunci API: WordPress, hosting, database, email, serta integrasi pembayaran atau kanal penjualan. Jika data pelanggan mungkin bocor, konsultasikan kewajiban Anda dengan penasihat hukum.

Ke depan: langkah pencegahan yang berkelanjutan

PHP2Shell tidak akan menjadi celah terakhir. Pertanyaan sebenarnya adalah seberapa siap Anda untuk kejadian berikutnya. Kebiasaan yang kami sarankan:

• Gunakan versi yang masih didukung: perangkat lunak yang tidak lagi didukung tidak mendapat tambalan. Saat ini, PHP 8.3 atau 8.4 adalah pilihan yang baik.
• Tunjuk penanggung jawab pembaruan: siapa yang memperbarui situs Anda dan seberapa sering? Harus ada jawaban yang jelas. Hosting terkelola atau kontrak pemeliharaan adalah cara mudah untuk menuliskannya secara resmi.
• Ketahui apa yang Anda miliki: situs utama, halaman kampanye lama, instalasi uji coba, subdomain yang terlupakan… Simpan daftar beserta server dan versi masing-masing. Penyerang sangat menyukai situs yang terlupakan.
• Hapus yang tidak diperlukan: hapus plugin, tema, dan situs lama yang tidak dipakai. Setiap bagian tambahan adalah satu pintu lagi yang bisa dibuka oleh celah.
• Tempatkan situs di balik firewall: layanan seperti Cloudflare menjadi garis pertahanan pertama saat celah baru diumumkan, sampai Anda bisa menambal.
• Pisahkan kata sandi dan kunci: jangan tulis kunci API di dalam kode, beri setiap layanan akses yang diperlukan saja, dan ganti kunci secara berkala.
• Simpan cadangan di luar server dan uji pemulihannya: cadangan yang belum pernah dipulihkan adalah cadangan yang belum pasti berfungsi.
• Pantau situs Anda: pemantauan uptime, notifikasi Search Console, dan peringatan perubahan file membantu Anda melihat masalah sebelum tamu Anda menyadarinya.
• Tulis rencana insiden singkat: tentukan sejak awal siapa yang dihubungi, cara mematikan situs sementara, dan cara memberi tahu pelanggan jika terjadi masalah.

Gambaran besarnya: celah ditemukan makin cepat

Hal paling mencolok dari kejadian ini adalah celahnya ditemukan dengan bantuan AI. Alat yang sama juga tersedia bagi orang yang berniat jahat. Mulai sekarang, celah akan ditemukan lebih cepat, dan dieksploitasi lebih cepat juga.

Artinya, masa "nanti saja diperbarui kalau sempat" sudah berakhir. Bagi operator tur, situs web bukan lagi sekadar etalase. Situs adalah alat bisnis yang menerima pemesanan dan menyimpan data pelanggan, jadi menjaganya tetap aman adalah bagian dari menjaga bisnis tetap berjalan.

Di Monotim, kami membangun situs di atas fondasi modern yang tidak terdampak langsung oleh celah bahasa server seperti ini. Namun tidak ada teknologi yang aman selamanya. Yang benar-benar membuat perbedaan adalah memantau situs dan mampu bertindak cepat ketika ada masalah.

Jika Anda belum yakin apakah situs Anda terdampak PHP2Shell, atau penyedia hosting belum memberi jawaban yang jelas, kita bisa memeriksanya bersama.