Pada 22 Oktober 2026 pukul 22.00 WIB, Kementerian Perindustrian menonaktifkan SIINas, situs resminya, dan semua domain kemenperin.go.id. Alasan yang diumumkan: mitigasi risiko keamanan siber terkait kerentanan PHP2Shell. Tidak ada keterangan soal peretasan, dan penonaktifan dijadwalkan sampai 25 Oktober.

Sebuah kementerian dengan tim IT sendiri memilih mematikan situs berhari-hari daripada membiarkannya menyala semalam lagi dalam kondisi belum ditambal. Itu keputusan mahal. Kalau jeda antara tambalan keluar dan tambalan terpasang saja bisa semahal itu bagi instansi, website atau toko online Anda tidak punya alasan untuk menunggu.

Kronologi PHP2Shell dari peringatan 20 Oktober sampai situs Kemenperin dimatikan 22 Oktober

Apa itu PHP2Shell

PHP2Shell adalah nama untuk dua celah, CVE-2026-109618 dan CVE-2026-109619. Keduanya memungkinkan penyerang menjalankan kode di server tanpa perlu login, dan keduanya bernilai 9,2 dari 10 pada skala CVSS v4.0, menurut Bitsight. Akar masalahnya sama: PHP bisa meninggalkan memorinya dalam keadaan rusak ketika sebuah permintaan berakhir tidak wajar. Kode penyerang lalu berjalan dengan hak akses yang sama dengan proses web di server Anda.

Tim keamanan PHP menilai risikonya paling tinggi di Apache dengan mod_php, karena satu permintaan tanpa login bisa memicu serangan sebelum kode aplikasi apa pun berjalan. Artinya, WordPress yang rapi atau toko online yang baru dibuat tidak otomatis aman. Yang bermasalah ada di bawahnya, di PHP itu sendiri.

Tambalan darurat keluar pada 21 Oktober, setelah tim PHP mengabarkan sehari sebelumnya agar admin bersiap. Menurut BleepingComputer, CTO Cloudflare sudah melihat serangan awal sebelum tambalan terbit, dan aturan firewall hanya penahan sementara. Versi yang aman: PHP 8.5.12, 8.4.27, 8.3.36, atau 8.2.35. Untuk PHP 7.4, 8.0, dan 8.1, tim PHP hanya menyediakan backport minimal, dan versi 8.1 ke bawah memang sudah tidak mendapat pembaruan rutin.

Bagian terakhir itu yang paling mengkhawatirkan. Pemindaian Bitsight menemukan hanya sekitar sepertiga instalasi PHP yang versinya terbaca memakai cabang 8.2 sampai 8.5. Cabang paling umum justru PHP 7.4, dengan lebih dari dua juta pengamatan. VirusTotal memperkirakan lebih dari 5,1 juta host PHP terbuka ke internet.

Angka skala PHP2Shell: 5,1 juta host, skor 9,2, lebih dari 2 juta pengamatan PHP 7.4, dan sepertiga versi yang tercakup update

Satu catatan supaya tidak panik berlebihan: situs yang mati sementara belum tentu sudah dibobol. Seperti dicatat Malwarebytes, downtime bisa jadi langkah pelindung saja.

Konsekuensinya konkret. Banyak website usaha kecil berjalan di hosting bersama atau server yang dipasang pembuatnya bertahun-tahun lalu, lalu tidak pernah disentuh lagi. Pemiliknya sering tidak tahu versi PHP yang dipakai, apalagi siapa yang bertugas memperbaruinya. Pada hari seperti ini, ketidaktahuan itu yang jadi celah terbesar.

Dua celah lain bulan ini

PHP2Shell paling ramai di Indonesia, tapi bukan satu-satunya. Dua celah lain layak dicek karena sama-sama sedang dipakai penyerang.

GlobalProtect (CVE-2026-0257). Ini celah di firewall Palo Alto, tepatnya di portal dan gateway GlobalProtect, yang membuka jalan ke koneksi VPN tanpa izin. Tambalannya sudah ada sejak Mei 2026, dan awalnya dinilai sedang saja. Menurut Unit 42, kelompok ransomware Qilin dan Inc memakainya sebagai pintu masuk, bahkan sampai melewati MFA untuk membuat sesi VPN. Mitigasinya: pasang PAN-OS yang sudah ditambal, matikan atau pisahkan sertifikat Authentication Override, lalu periksa log koneksi VPN. Ini relevan kalau kantor Anda memakai firewall tersebut.

Windows Shell (CVE-2026-96951). Celah ini ditambal pada Patch Tuesday 13 Oktober, bersama 1.411 celah lain, rekor untuk satu Patch Tuesday, menurut BleepingComputer. Yang ini sudah dipakai penyerang. File buatan khusus bisa melewati Mark of the Web, sehingga peringatan dan Protected View yang biasanya muncul saat membuka file unduhan tidak tampil, seperti dijelaskan Help Net Security. Syaratnya ada orang yang membuka file itu, dari email, chat, atau situs. Satnam Narang dari Tenable mencatat ini sudah celah ketiga di Windows Shell tahun ini yang dipakai penyerang. Tambalannya cukup lewat Windows Update, tapi harus sampai ke semua komputer, bukan hanya komputer pemilik.

Perbandingan tiga celah bulan ini: siapa yang kena dan yang dikerjakan hari ini

Yang dikerjakan hari ini

Pesan intinya sederhana: cek versi dan tambal sekarang, jangan menunggu jadwal maintenance bulan depan. Celah yang detailnya sudah beredar dan sudah dipakai penyerang tidak memberi jeda seperti itu.

Untuk pemilik website atau toko online, lima langkah di bawah ini cukup dan tidak menuntut Anda paham coding.

Lima langkah mengecek dan menambal PHP di website atau toko online
  1. Cari tahu siapa yang memegang PHP. Biasanya pembuat website atau penyedia hosting. Memperbarui WordPress atau pluginnya tidak sama dengan memperbarui PHP.
  2. Minta versinya disebutkan. Jawaban "sudah aman" belum cukup. Minta angka versi, misalnya hasil `php -v` di server.
  3. Tambal. Targetnya 8.5.12, 8.4.27, 8.3.36, atau 8.2.35. Kalau PHP Anda 8.1 atau lebih lama, tanyakan apakah penyedia punya backport, atau rencanakan pindah versi.
  4. Kalau belum bisa, batasi akses. Isolasi dari jaringan publik atau matikan sementara, seperti yang dipilih Kemenperin. Firewall saja tidak menutup celahnya.
  5. Pastikan hasilnya. Versi baru benar-benar berjalan, situs tampil normal, dan log tidak menunjukkan hal janggal.

Dan satu pertanyaan yang sebaiknya diajukan sekarang, bukan setelah ada berita berikutnya: kalau ada tambalan darurat lagi minggu depan, siapa yang memasangnya dan berapa lama?

Kalau Anda butuh teman ngobrol untuk mengecek sistem website atau toko online, chat saja XETUP lewat WhatsApp +62 823 1499 5005.