KALIMANTAN BARAT — Celah keamanan kritis PHP2Shell memungkinkan peretas mengeksekusi perintah jarak jauh dan mengambil alih server yang menjalankan PHP versi lama. Pakar keamanan siber Vaksincom, Alfons Tanujaya, menilai ancaman ini serius tetapi tidak sampai memicu krisis internet nasional. Risiko terbesar justru datang dari banyaknya server web di Indonesia yang masih memakai PHP jadul tanpa pembaruan resmi.
Alfons Tanujaya menyampaikan penilaian itu melalui pesan singkat pada Kamis (22/20/2026), menanggapi kepanikan yang menyebar di kalangan pengelola situs. Menurutnya, narasi yang menyebut celah ini akan melumpuhkan internet berlebihan.
"Ini sangat serius tapi tidak sampai levelnya membuat krisis internet. Itu terlalu berlebihan," ujar Alfons.
Apa Itu Celah PHP2Shell
PHP2Shell adalah dua celah keamanan kritis yang ditemukan peneliti keamanan siber dengan bantuan model kecerdasan buatan milik OpenAI dan Alphabet, Wiz. Celah ini memungkinkan peretas mengeksekusi perintah berbahaya dari jarak jauh pada server yang menjalankan kode PHP lama.
Dampaknya berat: penyerang bisa mengambil alih kendali sistem secara penuh tanpa kata sandi maupun hak akses akun resmi. Kode eksploitasi dilaporkan sudah beredar, sehingga situs yang belum ditambal berada dalam posisi rawan.
Kesalahpahaman yang Sering Terjadi
Banyak pengelola situs merasa aman karena WordPress dan plugin-nya selalu diperbarui. Anggapan itu keliru untuk kasus ini. Pembaruan CMS tidak menutup celah yang berada di lapisan PHP pada server.
"Masalah yang lebih besar kemungkinan besar adalah PHP yang banyak dipakai di server web Indonesia kemungkinan besar banyak yang jadul," kata Alfons.
Versi PHP yang Masih Didukung
Perbaikan resmi hanya tersedia untuk PHP versi 8.2.35, 8.2.36, dan 8.5.12. Versi 8.1 ke bawah sudah tidak lagi didukung, sehingga pengelola yang masih memakainya harus melakukan patch manual atau backport bila tim PHP menyediakannya.
Alfons menyarankan langkah paling aman: langsung bermigrasi ke versi PHP terbaru ketimbang bergantung pada tambalan manual.
Skala Masalah di Indonesia
Data global menunjukkan sekitar 59 persen instalasi PHP memakai versi yang tidak lagi mendapat perbaikan resmi. Angka pasti untuk Indonesia belum tersedia, tetapi pengalaman Alfons menangani situs judi online memberi gambaran.
"Dari statistik dunia, sekitar 59 % PHP itu versi yang tidak mendapatkan perbaikan resmi. Jadi di situ salah satu masalah utamanya. Data di Indonesia saya tidak punya, nanti coba kita kumpulkan tapi dari pengalaman menangani situs judol, php versi 5 dan versi 7 saja masih banyak ditemukan," tuturnya.
Langkah yang Perlu Diambil Pengelola Situs
Prioritas utama adalah memeriksa versi PHP di server masing-masing. Jika masih di bawah 8.2, migrasi ke rilis terbaru menjadi jalan tercepat menutup celah. Situs pemerintahan dan layanan publik yang memakai PHP lawas perlu menjadi perhatian khusus karena menyimpan data warga.
Bagi penyedia hosting dan integrator sistem, audit versi PHP di seluruh tenant menjadi keharusan. Menunda pembaruan berarti membiarkan server menunggu giliran disusupi.
Kasus PHP2Shell menegaskan satu hal: keamanan situs bukan hanya soal rajin memperbarui CMS, tetapi juga kesiapan infrastruktur dasar di baliknya.
