Dinas Komunikasi dan Informatika Provinsi Kalimantan Timur menginstruksikan perangkat daerah untuk meningkatkan pengamanan server setelah terungkap dua kerentanan kritis pada bahasa pemrograman PHP, yang dikenal sebagai PHP2Shell. Kepala Diskominfo Kaltim Ririn Sari Dewi, sebagaimana dilaporkan ANTARA pada Senin, 26 Oktober 2026, menyebut surat edaran mitigasi telah diterbitkan pada 23 Oktober. Peringatan itu berkaitan dengan CVE-2026-109618 dan CVE-2026-109619, yang dapat berdampak pada situs berbasis PHP, termasuk WordPress. Pemberitaan mengenai risiko keamanan ini tidak berarti setiap website tertentu sudah diretas; status keterpaparan tetap harus diperiksa pada instalasi dan versi PHP yang digunakan.
Surat edaran dan ruang lingkup tindakan
Pemerintah provinsi menginstruksikan inventarisasi sistem elektronik, pembaruan runtime PHP, koordinasi dengan penyedia hosting, dan pemantauan aktivitas yang mencurigakan. Laporan ANTARA menyebut surat edaran Nomor 500.12.10/614/Diskominfo-III/2026 serta tenggat pelaporan mitigasi tujuh hari kerja. Fokus tindakan ialah menutup jalur serangan dan menjaga kelangsungan layanan publik. Tidak seluruh instansi mempunyai konfigurasi aplikasi yang sama, sehingga pemeriksaan harus meliputi server, lingkungan staging, aplikasi lama, dan layanan yang menggunakan PHP di balik antarmuka yang terlihat modern.
Apa itu dua kerentanan PHP2Shell?
Peneliti Wiz Research dan pengelola PHP menjelaskan bahwa kelemahan terjadi di tingkat runtime PHP dalam penanganan memori ketika memproses permintaan. Risiko utamanya adalah penyerang tanpa autentikasi dapat memperoleh kemampuan mengeksekusi kode pada instalasi yang rentan. Dua identitas kerentanan tersebut adalah CVE-2026-109618 dan CVE-2026-109619 dengan tingkat keparahan yang tinggi. Karena berada pada komponen inti bahasa pemrograman, memperbarui tema atau plugin WordPress saja belum tentu menutup risiko. Perbaikan perlu dilakukan pada PHP yang dijalankan server atau melalui patch resmi penyedia sistem operasi.
Versi PHP yang telah diperbaiki
Advisory resmi PHP pada 21 Oktober menyebut versi 8.2.35, 8.3.36, 8.4.27 dan 8.5.12 sebagai rilis yang memuat perbaikan. Pengelola situs perlu memastikan versi yang benar-benar dipakai layanan web, bukan sekadar versi baris perintah atau tampilan panel hosting. Pada sistem operasi yang memakai pemeliharaan backport, nomor versi dapat berbeda walaupun patch keamanan tersedia; konfirmasi dari vendor tetap diperlukan. PHP 8.1 dan cabang yang lebih lama sudah berada di luar siklus dukungan normal, sehingga migrasi atau dukungan khusus perlu direncanakan dengan cermat.
Dampak bagi situs WordPress dan layanan pemerintah
WordPress merupakan salah satu sistem manajemen konten yang menggunakan PHP pada server. Pemilik situs mungkin telah memperbarui WordPress ke versi terbaru, tetapi masih menjalankan PHP yang rentan jika paket server belum diperbarui. Risiko dapat mencakup pengambilalihan server, perubahan konten, atau akses tak sah terhadap data yang bisa dijangkau proses aplikasi. Hal tersebut merupakan kemungkinan ancaman, bukan bukti insiden pada situs tertentu. Operator harus memeriksa log, pembaruan paket, cadangan data, serta penerapan hak akses minimum untuk membatasi dampak jika terjadi gangguan.
Analisis SOROT BIZ: patch lebih penting daripada klaim kebal serangan
Kasus PHP2Shell menunjukkan bahwa keamanan website tidak hanya ditentukan oleh plugin dan password administrator. Lapisan sistem operasi, interpreter, konfigurasi layanan, serta proses patching berperan penting. Penggunaan AI dalam riset keamanan mempercepat penemuan kelemahan, tetapi organisasi tetap perlu menerapkan proses pengujian dan perubahan produksi yang disiplin. Rencana respons yang efektif mencakup inventaris aset, penanggung jawab, prioritas patch, dan kemampuan memulihkan layanan. Sekadar mengumumkan bahwa sistem aman tanpa catatan versi dan hasil pemeriksaan tidak cukup untuk menilai kesiapan.
Langkah praktis bagi administrator situs
Periksa versi PHP aktif pada hosting dan bandingkan dengan buletin resmi keamanan. Lakukan cadangan terverifikasi sebelum peningkatan, uji kompatibilitas aplikasi, lalu perbarui lingkungan produksi secara terencana. Bila terindikasi penyusupan, amankan bukti dan libatkan tim respons insiden yang berwenang; jangan langsung menghapus seluruh log. Hindari menjalankan alat eksploitasi dari sumber tidak tepercaya hanya untuk menguji server produksi. Informasikan kepada pemilik layanan tentang status perbaikan, gangguan yang mungkin timbul, serta langkah tindak lanjut. Pemeriksaan mandiri ini tidak menggantikan audit keamanan yang dilakukan personel kompeten.
Sumber dan kebijakan editorial
ANTARA Kaltim, 26 Oktober 2026; PHP Security Advisory, 21 Oktober 2026; Wiz Research, 21 Oktober 2026. Fakta utama diambil dari sumber tersebut; analisis dan saran praktis merupakan pandangan redaksi SOROT BIZ. Featured image berupa ilustrasi Unsplash dengan kredit pada metadata media, bukan foto dokumentasi acara yang diberitakan.
