SULAWESI TENGAH — Pakar keamanan siber Alfons Tanujaya menyebut celah kritis PHP2Shell hanya bisa ditambal tuntas lewat migrasi ke PHP 8.2.35, 8.2.36, atau 8.5.12, karena versi 8.1 ke bawah sudah tidak didukung. Bagi pengelola server yang belum sanggup migrasi, ia menyarankan pembatasan akses ketat dan pemantauan log setelah 17 Oktober 2026. Kendala biaya disebut sebagai penghambat utama perbaikan di banyak server web Indonesia.
Alfons Tanujaya, pakar keamanan siber dari Vaksincom, menyoroti bahwa sebagian besar server web di Indonesia masih menjalankan versi PHP lama. Kondisi itu membuat paparan celah PHP2Shell jauh lebih luas dari yang diperkirakan. Menurutnya, versi PHP yang masih menerima pembaruan keamanan saat ini hanya 8.2.35, 8.2.36, dan 8.5.12, sementara PHP 8.1 ke bawah sudah tidak didukung lagi.
Siapa Paling Rentan Terdampak
Pengguna shared hosting menjadi kelompok yang paling perlu bergerak cepat. Alfons menyarankan mereka segera meminta pengelola server melakukan patch tanpa menunggu instruksi tambahan. Pemilik server mandiri dengan aplikasi lama menghadapi persoalan lebih rumit karena proses migrasi menuntut penyesuaian kode di sisi aplikasi.
Tim PHP sendiri disebut masih menyediakan opsi patch manual atau backport untuk sementara waktu. Namun jalur itu tidak menyelesaikan akar masalah. Dukungan resmi untuk versi lama sudah berhenti, sehingga opsi paling aman tetap pindah ke PHP versi baru.
Langkah Darurat Jika Migrasi Belum Bisa Dilakukan
Bagi pengelola server yang terkendala biaya dan belum bisa segera migrasi, Alfons menawarkan sejumlah langkah pengamanan sementara. Intinya memperkecil permukaan serangan agar celah tidak mudah dieksploitasi dari luar.
- Batasi akses ke server melalui VPN atau whitelist IP.
- Matikan sementara layanan yang tidak mendesak diakses publik.
- Periksa log akses setelah 17 Oktober 2026 untuk mendeteksi percobaan eksploitasi.
Alfons menegaskan bahwa menutup akses sementara lebih baik daripada mengambil risiko server diambil alih. Salah satu dampak yang ia sebut paling merugikan adalah server dipakai mempromosikan judi online, yang berujung pada rusaknya reputasi pemilik layanan.
Asal Mula Kepanikan PHP2Shell
Celah PHP2Shell pertama kali terungkap lewat temuan dua peneliti keamanan siber yang memanfaatkan model kecerdasan buatan milik OpenAI dan Alphabet, termasuk tim keamanan Wiz. Kedua celah dinilai kritis karena memungkinkan eksekusi perintah berbahaya dari jarak jauh pada server yang menjalankan kode PHP lama.
Dampaknya bukan sekadar gangguan layanan. Peretas bisa mengambil kendali penuh atas sistem tanpa memerlukan kata sandi maupun hak akses akun resmi. Kombinasi akses jarak jauh dan kontrol penuh inilah yang membuat celah ini mendapat perhatian besar di kalangan praktisi keamanan.
Mengapa Biaya Jadi Penghambat Utama
Secara teknis, migrasi ke PHP versi baru tidak terlalu sulit bagi tim IT yang berpengalaman. Yang menghadang justru anggaran. Alfons menyebut pengelola server harus menyiapkan dana untuk membeli atau mengganti perangkat, sekaligus membenahi aplikasi lama agar kompatibel dengan versi PHP yang lebih tinggi.
Beban biaya itu menjelaskan mengapa banyak server di Indonesia tetap bertahan di versi lama meski risikonya sudah diketahui. Peningkatan versi PHP bukan pekerjaan satu kali klik, melainkan proyek yang menyentuh infrastruktur dan kode aplikasi sekaligus.
Prioritas ke depan ada pada percepatan migrasi, terutama bagi layanan yang menangani data pengguna. Selama proses itu belum tuntas, pembatasan akses dan pemantauan log menjadi lapisan pertahanan yang wajib dijalankan.
