SUPPLIERMU

Pemilik toko online, website supplier, dan UMKM yang menjual lewat situs sendiri punya alasan baru untuk mengecek servernya hari ini. Badan Siber dan Sandi Negara (BSSN) mengeluarkan peringatan resmi soal PHP2SHELL, dua kerentanan kritis pada bahasa pemrograman PHP yang bisa dipakai penyerang jarak jauh untuk menjalankan kode berbahaya di server tanpa perlu login sama sekali. Peringatan itu disampaikan lewat akun Instagram resmi BSSN dan laman Security Advisory pada 23 Oktober 2026.

Yang membuatnya mendesak: setelah kerentanan diumumkan, Cloudflare mendeteksi jutaan upaya eksploitasi yang menyasar celah ini. Pemerintah dan lembaga keamanan siber di berbagai negara pun mendesak pengelola situs segera memasang pembaruan. Jika tidak bisa cepat, sejumlah otoritas menyarankan situs yang berisiko dinonaktifkan sementara. Bagi pelaku usaha, itu artinya potensi kehilangan pesanan, bukan sekadar masalah teknis.

Apa Itu PHP2SHELL dan Kenapa Disebut Serius

PHP adalah bahasa pemrograman yang berjalan di server untuk membangun situs dan aplikasi dinamis. Ia sudah dipakai luas sejak 2000-an dan masih menopang banyak layanan internet, termasuk WordPress yang menjadi fondasi jutaan toko online. Kerentanan yang diberi nama PHP2SHELL ini tercatat sebagai dua CVE:

• CVE-2026-109618 — celah pada mekanisme penanganan out-of-memory (OOM) di PHP, yang bisa menyebabkan kerusakan memori (memory corruption) saat PHP memproses permintaan HTTP.
• CVE-2026-109619 — celah use-after-free, yaitu kondisi ketika proses PHP mengakses memori yang sudah dibebaskan tetapi masih dirujuk oleh status internal proses.

Keduanya berpotensi dimanfaatkan untuk remote code execution (RCE): penyerang mengirim permintaan HTTP yang dirancang khusus, lalu menjalankan kode dari jarak jauh di server yang terdampak. BSSN menegaskan keberhasilan eksploitasi tetap bergantung pada kondisi pemrosesan permintaan dan konfigurasi lingkungan PHP — jadi tidak semua situs otomatis jebol, tetapi yang tidak dipatch tetap berisiko tinggi.

Penemuan celah ini sendiri menarik karena melibatkan kecerdasan buatan. Perusahaan keamanan siber Wiz yang turut menemukannya menyebut kelemahan ini sebagai yang paling parah yang pernah terdeteksi menggunakan AI, dan menurut laporan yang dikutip Katadata dari BBC, kelemahan tersebut sudah tersembunyi lebih dari satu dekade sebelum akhirnya terungkap.

Kenapa Pelaku Usaha Perlu Peduli, Bukan Cuma IT

Banyak supplier dan reseller menjalankan katalog, form permintaan penawaran, hingga transaksi di atas situs berbasis PHP atau WordPress/WooCommerce. Kalau server diambil alih, dampaknya langsung terasa ke bisnis:

• Data pelanggan dan pesanan bocor — nama, nomor telepon, alamat pengiriman, hingga riwayat transaksi bisa diambil.
• Situs dialihkan ke halaman judi atau penipuan, dan nama domain Anda yang menanggung reputasinya.
• Situs masuk daftar hitam mesin pencari dan browser, sehingga calon pembeli melihat peringatan sebelum sempat membaca katalog Anda.
• Email bisnis ikut disalahgunakan untuk mengirim penipuan ke mitra dan pelanggan Anda.

Untuk usaha yang mengandalkan kepercayaan pembeli, satu insiden seperti ini bisa lebih mahal daripada biaya memperbarui server.

Cek Cepat: Apakah Situs Anda Termasuk yang Berisiko

BSSN mencatat PHP 8.1 dan versi lebih lama berpotensi terdampak dan sudah berstatus end-of-life (EOL), artinya tidak lagi menerima perbaikan keamanan rutin. Lakukan pengecekan berikut, cukup 10–15 menit:

1. Buka panel hosting (cPanel, Plesk, atau DirectAdmin) dan lihat menu Select PHP Version atau MultiPHP Manager. Catat versi PHP yang aktif.
2. Jika memakai WordPress, buka Tools → Site Health → Info untuk melihat versi PHP server.
3. Kalau tidak punya akses panel, buat file info.php berisi kode pemeriksa PHP, buka lewat browser, lalu hapus segera setelah selesai — file ini membocorkan detail server jika dibiarkan.
4. Tanyakan ke penyedia hosting: versi PHP apa yang dipakai situs Anda, dan apakah patch keamanan terbaru sudah diterapkan.

Langkah Mitigasi Sesuai Rekomendasi BSSN

BSSN memberikan tiga langkah mitigasi yang bisa langsung Anda teruskan ke tim teknis atau penyedia hosting:

1. Perbarui PHP ke versi yang sudah diperbaiki. Sesuaikan dengan versi yang Anda gunakan. Jika situs masih di PHP 8.1 atau lebih lama, ini saatnya naik versi — jangan tunda dengan alasan takut error. Uji dulu di staging atau subdomain percobaan.
2. Pastikan pembaruan berlaku di semua runtime. BSSN menyebut komponen PHP-FPM, Apache mod_php, dan php-cgi. Setelah patch dipasang, layanan terkait perlu di-restart agar perubahan benar-benar aktif di seluruh lingkungan PHP.
3. Batasi akses jaringan jika belum bisa memperbarui. Kalau patch belum memungkinkan, kurangi paparan sistem dengan membatasi akses jaringan, atau isolasi layanan yang terhubung ke internet sampai perbaikan bisa dipasang.

Checklist 1x24 Jam untuk Pemilik Toko Online

• Catat versi PHP semua situs yang Anda kelola, termasuk situs lama yang "sudah jarang dipakai" — justru itu yang paling sering terlupakan.
• Update WordPress, tema, dan plugin ke versi terbaru; hapus plugin dan tema yang tidak terpakai.
• Aktifkan auto-update untuk patch keamanan, dan minta hosting menerapkan pembaruan PHP secara terjadwal.
• Pasang HTTPS dan web application firewall (WAF) di depan situs sebagai lapisan tambahan.
• Ganti kata sandi admin, aktifkan autentikasi dua faktor, dan batasi percobaan login.
• Buat cadangan (backup) penuh hari ini dan simpan di lokasi terpisah dari server.
• Kalau situs menangani transaksi, siapkan rencana kontinjensi: halaman status pesanan dan kanal komunikasi alternatif (WhatsApp bisnis) bila situs harus dimatikan sementara.

Tanda Situs Sudah Disusupi

Jika muncul file asing di direktori publik, halaman yang tiba-tiba mengarahkan ke situs lain, iklan judi di beranda, lonjakan trafik aneh, atau peringatan dari Google Search Console, jangan hanya menghapus file yang terlihat. Ambil backup kondisi saat ini untuk forensik, ganti semua kredensial (hosting, database, email, admin), lalu pulihkan dari backup yang bersih dan pastikan versi PHP sudah dipatch sebelum situs dinyalakan kembali.

Inti pesannya sederhana: kerentanan ini menyerang lapisan yang tidak terlihat pembeli, tetapi risikonya berujung pada omzet dan kepercayaan. Sisihkan waktu hari ini untuk mengecek versi PHP situs usaha Anda, atau kirimkan artikel ini ke pengelola hosting Anda dan minta konfirmasi tertulis bahwa patch PHP2SHELL sudah diterapkan.

Sumber: Katadata — BSSN Beri Peringatan soal PHP2SHELL, Server Berisiko Diambil Alih Hacker; Katadata — BSSN Ungkap Cara Mitigasi Potensi Kena Hack Imbas Celah PHP2Shell; Katadata — Celah PHP Picu Jutaan Upaya Eksploitasi Hacker, Apa Itu PHP2SHELL dan Bahayanya?