Kalau website Anda dibuat dengan WordPress, mungkin baru-baru ini Anda menerima pemberitahuan dari penyedia hosting, atau melihat berita "PHP punya celah keamanan serius". Artikel ini menjelaskan dengan bahasa sederhana: apa yang terjadi, apa dampaknya bagi pemilik website, website mana yang perlu waspada, dan kenapa situs C Building tidak terdampak kali ini.
Apa yang terjadi?
PHP adalah bahasa pemrograman untuk membuat website. WordPress, Drupal, Joomla, Magento, dan banyak website yang dibuatkan agensi untuk kliennya, semuanya berjalan dengan PHP: setiap kali ada yang membuka halaman, PHP di server berjalan sekali untuk membuat halaman itu.
Pada 21 Oktober 2026, PHP resmi merilis tambalan untuk dua celah keamanan serius, bernomor CVE-2026-109618 dan CVE-2026-109619, yang di dunia keamanan siber disebut PHP2Shell.
Sederhananya: penyerang tidak butuh akun atau kata sandi website Anda. Cukup dengan mengirim permintaan yang dibuat khusus ke website, mereka bisa saja menjalankan program mereka sendiri di server Anda. Seperti ada orang yang bisa masuk lewat pintu depan toko Anda tanpa kunci.
Seberapa serius celah ini?
- Skor keparahan 9.2 (dari 10): masuk tingkat "kritis".
- Tidak ada hubungannya dengan plugin yang Anda pasang: masalahnya ada di PHP itu sendiri. Perusahaan keamanan Patchstack menyebutkan, halaman yang isinya cuma satu baris "Hello World" pun bisa diserang kalau versi PHP-nya punya celah.
- Dampaknya sangat luas: hampir semua versi PHP sejak 5.4 terdampak. Saat merilis analisisnya, Palo Alto Networks mendeteksi lebih dari 22.6 juta server di internet yang mungkin terdampak.
- Sudah ada yang memanfaatkannya: pada 26 Oktober, Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) memasukkan kedua celah ini ke daftar "celah yang diketahui sudah dieksploitasi", dan menyarankan sistem yang belum bisa segera diperbarui untuk dimatikan dulu.
Dampak nyata bagi pemilik website
Begitu penyerang bisa menjalankan program di server, akibat yang sering terjadi antara lain:
- Website dipasangi "pintu belakang" supaya mereka bisa masuk lagi kapan saja
- Website diubah untuk mengalihkan pengunjung ke situs penipuan atau judi
- Data pelanggan dan data member dari formulir bocor
- Server dipakai untuk mengirim spam atau menambang kripto, sampai penyedia hosting menangguhkan akun Anda
- Google menandai website Anda sebagai "situs berbahaya", peringkat pencarian dan kepercayaan pelanggan sama-sama rusak
Yang paling repot: website yang dibobol bisa terlihat normal-normal saja, dan saat ketahuan, sudah lewat berminggu-minggu.
Website mana yang perlu waspada?
Website apa pun yang menjalankan PHP di server perlu memastikan PHP-nya sudah diperbarui. Yang umum antara lain:
Ada dua kondisi yang perlu diperhatikan khusus:
- PHP 8.1 atau lebih lama: versi tambalan yang dirilis PHP adalah 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. Versi sebelum 8.1 sudah tidak didukung resmi lagi, dan CISA menyarankan sistem seperti ini dimatikan dulu sampai diperbarui. Kalau hosting Anda masih memakai versi lama, sudah waktunya upgrade.
- WordPress sendiri juga punya celah: di bulan yang sama, inti WordPress punya celah lain (CVE-2026-87902) yang dalam kondisi tertentu juga bisa membuat penyerang menjalankan program, dan sudah dieksploitasi. Perbarui WordPress ke versi 7.1.2 atau lebih baru.
Kalau website Anda memakai PHP, ini yang bisa dilakukan sekarang
- Tanya penyedia hosting atau developer: "PHP kita sudah diperbarui ke versi tambalan belum?" Minta mereka menyebutkan nomor versinya dengan jelas.
- Perbarui WordPress ke 7.1.2 atau lebih baru, sekalian plugin dan tema.
- Masih memakai PHP 8.1 atau lebih lama: tanyakan ke penyedia hosting apakah sudah ditambal; kalau belum, jadwalkan upgrade.
- Cek apakah ada yang aneh di website: ada akun admin yang tidak dikenal, halaman depan berubah, atau Google menampilkan peringatan situs berbahaya.
- Ganti kata sandi penting: kalau curiga pernah dibobol, ganti semua kata sandi dashboard website, hosting, dan database.
- Jangan pasang "plugin tambalan" yang tidak jelas asalnya: satu-satunya perbaikan yang tuntas adalah memperbarui PHP; trik pengaturan yang beredar di internet hanya mengurangi risiko.
Kenapa situs C Building tidak terdampak kali ini?
1. Situs yang diterbitkan berupa halaman web yang sudah jadi
Saat Anda menekan Publish di C Building, platform lebih dulu membuat setiap halaman jadi file halaman web yang lengkap. Saat pengunjung membuka situs Anda, server hanya mengirim file yang sudah jadi itu, tidak menjalankan PHP, dan tidak menjalankan program situs itu sendiri. Sebanyak apa pun permintaan khusus yang dikirim penyerang, tidak ada program yang bisa mereka manfaatkan.
Ingin tahu apa saja yang dilakukan platform saat situs diterbitkan? Baca Apa yang terjadi setelah Anda menekan "Publish"?
2. Seluruh platform tidak memakai PHP
Fitur yang butuh server, seperti menerima kiriman formulir dan sistem artikel, disediakan terpusat oleh platform C Building, dibuat dengan Java dan TypeScript, tanpa PHP.
3. Lingkungan edit terpisah dari situs yang tayang
Saat Anda mengedit situs di editor, atau AI website menuliskan kode untuk Anda, semuanya terjadi di lingkungan edit cloud yang terpisah untuk setiap website, terpisah dari situs yang dilihat pengunjung.
4. Pembaruan adalah tugas platform, bukan tugas Anda
Anda tidak perlu tahu situs memakai versi apa atau kapan harus diperbarui. Pembaruan software server menjadi tanggung jawab kami; Anda tidak perlu upgrade apa pun, juga tidak perlu memasang plugin.
Jujur saja: tanpa PHP bukan berarti tidak akan pernah ada masalah keamanan
Semua software bisa punya celah, termasuk software yang dipakai C Building. Bedanya:
- Lebih sedikit titik yang bisa diserang: situs yang tayang hanya mengirim file halaman web yang sudah jadi, tidak menjalankan program setiap kali ada yang berkunjung.
- Tambalan ditangani platform secara terpusat: kalau ada celah, kami memperbarui sekali dan semua situs terlindungi bersama, tanpa menunggu setiap pemilik situs bertindak sendiri.
- Kalau ada masalah, bisa dipulihkan: data platform dicadangkan dan dienkripsi setiap hari; setiap kali situs diterbitkan selalu tercatat, jadi bisa kembali ke versi sebelumnya (lihat Tidak perlu takut kalau salah edit).
Pertanyaan yang sering diajukan
Saya pakai WordPress, apakah harus segera pindah?
Tidak perlu buru-buru pindah. Yang paling penting, minta penyedia hosting atau developer memperbarui PHP dan WordPress dulu. Kalau Anda merasa terus-terusan khawatir soal pembaruan, plugin, dan keamanan, dan tidak mau mengurus hal-hal ini lagi, barulah pertimbangkan beralih ke cara yang pemeliharaannya ditangani platform. C Building bisa memindahkan situs WordPress Anda ke sini.
Situs saya ada di platform seperti Wix atau Shopify, apakah perlu melakukan sesuatu?
Untuk layanan seperti ini yang servernya dikelola platform, pembaruan server menjadi tanggung jawab platform, dan pengguna biasa tidak perlu memperbarui PHP sendiri. Kalau masih ragu, cek apakah platform yang Anda pakai sudah mengeluarkan pengumuman terkait.
Situs C Building punya formulir, memangnya formulir tidak butuh server?
Butuh. Data yang dikirim lewat formulir diproses oleh platform C Building, bukan oleh program di situs Anda. Platformnya kami pelihara dan perbarui secara terpusat, dan tidak memakai PHP.
Bagaimana saya tahu situs saya memakai PHP atau tidak?
Kalau situs Anda WordPress, Drupal, Joomla, atau ada di paket shared hosting biasa, hampir pasti memakai PHP. Kalau tidak yakin, cara paling cepat adalah langsung tanya orang yang membuatkan situs Anda atau penyedia hosting.
Kesimpulan
PHP2Shell adalah salah satu celah website dengan dampak paling luas dalam beberapa tahun terakhir, karena tidak pilih-pilih situs dan tidak butuh kata sandi: selama PHP belum diperbarui, situs berisiko. Kalau website Anda memakai PHP, hari ini juga minta penyedia hosting atau developer mengecek versinya.
Kalau Anda tidak mau lagi pusing soal hal seperti ini, begini cara C Building: situs diterbitkan sebagai halaman web yang sudah jadi, pembaruan server ditangani platform, dan Anda cukup fokus menjalankan usaha.
Sumber
- Badan Keamanan Siber dan Infrastruktur Amerika Serikat CISA: Critical Vulnerabilities in PHP Require Immediate Patching (terbit 21 Oktober 2026, diperbarui 26 Oktober)
- Patchstack: Major security alert: PHP vulnerable to critical RCE
- Palo Alto Networks Unit 42: Threat Brief: CVE-2026-109618, CVE-2026-109619
- SiteGround: Critical PHP vulnerabilities: SiteGround sites protected
- CIS: A Vulnerability in WordPress Could Allow for Remote Code Execution (CVE-2026-87902)
Informasi di atas dicek pada 27 Oktober 2026. Situasi keamanan berubah sangat cepat; ikuti pengumuman terbaru dari PHP dan penyedia hosting Anda.