BSSN-Komdigi: Waspada Bug PHP2Shell, Website Bisa Diretas Tanpa Login

Badan Siber dan Sandi Negara (BSSN) bersama Kementerian Komunikasi dan Digital (Komdigi) meminta pemilik dan pengelola website di Indonesia segera bertindak, mengantisipasi dua bug kritis di PHP yang bisa dimanfaatkan hacker untuk mengambil alih server di suatu website tanpa perlu login. Peringatan itu disampaikan lewat unggahan bersama di Instagram dan peringatan ancaman yang diterbitkan CSIRT Komdigi pada Kamis (22/10/2026).

Kedua kerentanan tercatat sebagai CVE-2026-109618 dan CVE-2026-109619, dan dijuluki PHP2Shell. Tim pengembang PHP merilis pembaruan keamanan pada 21 Oktober 2026.

Menurut CSIRT Komdigi, keduanya berpotensi membuka jalan bagi eksekusi coding dari jarak jauh (remote code execution). Tingkat keparahannya Critical, dengan skor CVSS v4.0 sebesar 9,2.

"Remote Code Execution (RCE) yaitu eksekusi kode dari jarak jauh, tanpa mengharuskan penyerang memiliki akun atau melakukan autentikasi," ujar CSIRT Komdigi dalam keterangannya.

PHP adalah bahasa pemrograman yang bekerja di sisi server. Tugasnya meramu data dan permintaan pengunjung menjadi halaman yang tampil di layar. Menurut Alfons Tanujaya, pakar keamanan siber dari Vaksincom, PHP dipakai luas di balik layanan internet maupun intranet, sehingga dampak celahnya bisa menjalar ke banyak sistem.

"Jika situs web diibaratkan sebagai sebuah gedung layanan, PHP adalah ruang mesin sekaligus dapur pengolah data di dalamnya. Rangkaian celah keamanan kritis yang dijuluki PHP2Shell ini memungkinkan peretas mengambil alih ruang mesin tersebut melalui dua celah mematikan," kata Alfons dalam keterangannya.

Kedua celah bersumber dari cara PHP mengelola memori. Pada CVE-2026-109618, PHP bisa terhenti mendadak saat memori habis, padahal data internalnya belum selesai disiapkan. Data setengah jadi itu tetap diproses saat PHP membereskan sisa permintaan.

"Kondisi gagal memori ini meruntuhkan lapisan keamanan sistem dan membuka celah bagi peretas untuk menyisipkan kode asing," terang Alfons.

Sementara, pada CVE-2026-109619, PHP masih memegang rujukan ke memori yang sudah dilepas, lalu rujukan itu bisa terpakai oleh permintaan berikutnya. Dalam kondisi tertentu, penyerang dapat memanfaatkan kekacauan memori itu untuk menjalankan kode di server.

Pada jalur Apache mod_php yang sudah didemonstrasikan, serangan bisa terjadi sebelum kode aplikasi berjalan, sehingga tidak butuh login ke aplikasi. PHP-FPM, jenis pengaturan lain yang umum dipakai, juga tidak boleh dianggap bebas risiko. Keberhasilan serangan bergantung pada konfigurasi server dan jalur pemrosesan permintaan yang tersedia.

Dalam materi BSSN dan Komdigi, dampaknya dirinci menjadi tiga: 1) website atau layanan dapat terganggu, 2) penyerang berpotensi mengambil alih sistem, dan 3) data berisiko diakses, diubah, atau dihapus. BSSN dan Komdigi menegaskan bahwa ini adalah risiko dan tidak berarti setiap website sudah diretas.

Pengelola diminta memastikan pembaruan diterapkan pada seluruh PHP yang melayani web, lalu memperbarui ke versi yang sudah diperbaiki: PHP 8.5.12, 8.4.27, 8.3.36, atau 8.2.35, sesuai jalur versinya. Jika belum bisa diperbarui, akses jaringan ke sistem terdampak perlu dibatasi atau layanan yang terhubung ke internet diisolasi sampai tambalan terpasang.

CSIRT Komdigi mengingatkan agar pengelola tidak hanya mengecek versi PHP lewat terminal. Di satu server bisa ada dua PHP dengan versi berbeda: yang dipakai admin saat mengetik perintah, dan yang benar-benar melayani pengunjung. Bisa saja yang dicek sudah baru, padahal yang melayani pengunjung masih versi lama. Aplikasi yang berjalan di dalam container (paket berisi aplikasi lengkap beserta PHP-nya) harus dibuat ulang dengan versi baru, lalu dipasang kembali.

Pengaturan darurat memang tersedia untuk jalur tertentu, tetapi menurut CSIRT Komdigi itu tidak menggantikan patch, yaitu pembaruan resmi yang menambal celahnya.

BSSN juga merekomendasikan 3 langkah berikut:

• Melakukan pembaruan PHP ke versi yang telah diperbaiki, yaitu PHP 8.5.12, 8.4.27, 8.3.36, atau 8.2.35, sesuai dengan versi yang digunakan.

• Memastikan pembaruan diterapkan pada seluruh runtime PHP yang digunakan oleh layanan web, termasuk PHP-FPM, Apache mod_php, dan php-cgi, serta melakukan restart layanan terkait setelah pembaruan.

• Apabila pembaruan belum dapat dilakukan, membatasi akses jaringan ke sistem terdampak atau mengisolasi layanan yang terhubung ke internet hingga patch dapat diterapkan.

Soal langkah mematikan layanan sementara yang diambil sejumlah pihak, Alfons menyebut pilihan itu pahit tetapi masuk akal.

“Take down ini masih lebih baik daripada sistemnya berhasil disusupi atau diambil alih oleh peretas,” tulisnya dalam keterangan tertulisnya.

Ia menjelaskan, memperbarui PHP versi lama bisa memakan waktu berminggu-minggu hingga berbulan-bulan karena kode yang tidak kompatibel harus ditulis ulang. Ia juga mengingatkan bahwa PHP usang di jaringan internal bisa menjadi jalur pergerakan penyerang ke sistem lain jika satu sistem berhasil diretas.