Info Dapodik – Keamanan website sekolah kembali menjadi perhatian setelah munculnya kerentanan serius pada PHP yang dikenal dengan nama PHP2Shell. Celah keamanan ini perlu diwaspadai oleh pengelola website, administrator server, operator sekolah, hingga penyedia layanan hosting. Pasalnya, kerentanan tersebut berpotensi dimanfaatkan penyerang untuk menjalankan perintah berbahaya pada server tanpa harus memiliki akun atau melakukan login terlebih dahulu.
Ancaman ini menjadi semakin penting untuk diperhatikan karena PHP merupakan salah satu teknologi yang banyak digunakan untuk membangun dan menjalankan website. Berbagai sistem pengelolaan konten, termasuk WordPress, Joomla, dan Drupal, menggunakan PHP sebagai bagian dari teknologi di balik operasionalnya.
Artinya, website sekolah yang menggunakan platform tersebut tidak boleh mengabaikan informasi mengenai PHP2Shell. Meskipun tidak semua website sekolah otomatis terdampak, situs yang menjalankan versi PHP rentan berpotensi menghadapi risiko keamanan serius.
Kerentanan PHP2Shell dilaporkan berkaitan dengan dua celah keamanan kritis yang memiliki kode identifikasi CVE-2026-109618 dan CVE-2026-109619. Kedua celah tersebut memungkinkan terjadinya eksekusi kode jarak jauh atau Remote Code Execution (RCE) dalam kondisi tertentu.
Lalu, apa sebenarnya PHP2Shell, bagaimana dampaknya terhadap website sekolah, dan langkah apa yang perlu dilakukan untuk mengantisipasi ancaman tersebut?
Mengenal Celah Keamanan PHP2Shell
PHP2Shell merupakan sebutan untuk dua kerentanan keamanan pada inti bahasa pemrograman PHP. Jadi, masalah ini bukan semata-mata berasal dari plugin, tema, atau aplikasi website tertentu, melainkan berkaitan dengan mekanisme internal PHP dalam menangani permintaan yang masuk ke server.
Berdasarkan informasi keamanan yang dipublikasikan pada 21 Oktober 2026, kedua kerentanan tersebut mendapatkan tingkat keparahan kritis dengan skor CVSS 9,2.
Kerentanan pertama, yaitu CVE-2026-109618, berkaitan dengan kesalahan penanganan memori ketika PHP mengalami kondisi out-of-memory. Dalam keadaan tertentu, proses pembersihan data setelah terjadi kegagalan dapat memperlakukan data yang belum selesai diproses seolah-olah sudah valid.
Sementara itu, CVE-2026-109619 berkaitan dengan masalah use-after-free. Kondisi ini terjadi ketika suatu proses masih menggunakan referensi memori yang sebenarnya sudah dilepaskan. Akibatnya, data atau bagian memori yang tidak seharusnya digunakan kembali dapat dimanfaatkan melalui rangkaian permintaan tertentu.
Kedua kerentanan tersebut berpotensi membuka jalan bagi penyerang untuk menjalankan kode pada server yang menggunakan PHP rentan.
Hal yang membuat ancaman ini semakin serius adalah kemungkinan eksploitasi tanpa autentikasi. Dengan kata lain, penyerang tidak selalu membutuhkan username dan password administrator untuk memulai serangan.
Mengapa Website Sekolah Perlu Mewaspadai PHP2Shell?
Website sekolah saat ini tidak hanya berfungsi sebagai halaman informasi profil lembaga pendidikan. Banyak sekolah memanfaatkannya untuk menyampaikan pengumuman, mempublikasikan kegiatan, menyediakan informasi penerimaan peserta didik baru, hingga menyimpan berbagai dokumen yang berkaitan dengan aktivitas pendidikan.
Sebagian website sekolah juga menggunakan CMS seperti WordPress yang berjalan dengan dukungan PHP.
Apabila server yang digunakan masih menjalankan versi PHP yang rentan, website tersebut berpotensi menjadi sasaran eksploitasi.
Ada beberapa risiko yang perlu diperhatikan oleh pengelola website sekolah.
1. Pengambilalihan server website
Risiko paling serius adalah kemungkinan penyerang menjalankan perintah tertentu pada server melalui celah keamanan PHP2Shell.
Jika eksploitasi berhasil, penyerang dapat memperoleh kemampuan untuk menjalankan kode dengan hak akses proses PHP. Tingkat kendali yang diperoleh bergantung pada konfigurasi server dan hak akses akun layanan yang menjalankan aplikasi.
Kondisi tersebut dapat berkembang menjadi pengambilalihan sebagian atau bahkan seluruh layanan website apabila tidak ditangani dengan baik.
2. Kebocoran data dan informasi penting
Website sekolah dapat menyimpan atau mengakses berbagai informasi yang perlu dilindungi, seperti data akun administrator, konfigurasi aplikasi, token autentikasi, hingga informasi teknis server.
PHP2Shell juga berkaitan dengan kemungkinan pengungkapan memori proses PHP. Memori tersebut dalam kondisi tertentu dapat memuat informasi sensitif, termasuk kata sandi, token, kunci API, dan sertifikat yang digunakan oleh aplikasi.
Jika informasi tersebut berhasil diperoleh pihak tidak bertanggung jawab, risiko penyalahgunaan akses dapat meningkat.
3. Perubahan tampilan website tanpa izin
Salah satu dampak yang mungkin muncul setelah server berhasil disusupi adalah perubahan konten website.
Penyerang dapat memodifikasi halaman depan, memasukkan pesan tertentu, mengubah informasi sekolah, atau menyisipkan konten yang tidak berkaitan dengan kegiatan pendidikan.
Kejadian semacam ini dapat merusak reputasi sekolah dan mengurangi kepercayaan masyarakat terhadap informasi yang disampaikan melalui website resmi.
4. Website digunakan untuk aktivitas berbahaya
Server yang berhasil ditembus juga berpotensi dimanfaatkan sebagai sarana menjalankan aktivitas lain yang merugikan.
Sebagai contoh, server dapat digunakan untuk menempatkan file berbahaya, menjalankan proses tanpa izin, atau menjadi titik awal untuk mencoba mengakses sistem lain yang masih terhubung dalam jaringan.
Risiko tersebut tidak hanya berkaitan dengan website sekolah, tetapi juga dapat berdampak pada infrastruktur teknologi informasi yang dikelola oleh lembaga pendidikan.
5. Gangguan layanan website sekolah
Aktivitas eksploitasi dan proses pemulihan setelah insiden dapat menyebabkan layanan website terganggu.
Pengunjung mungkin mengalami kesulitan membuka halaman, menemukan informasi yang tidak sesuai, atau bahkan tidak dapat mengakses website sama sekali.
Bagi sekolah yang mengandalkan website untuk menyampaikan pengumuman penting, gangguan ini tentu dapat menghambat penyebaran informasi kepada siswa, orang tua, dan masyarakat.
Apakah Semua Website Sekolah Terkena PHP2Shell?
Tidak semua website sekolah otomatis terdampak oleh kerentanan PHP2Shell. Risiko bergantung pada versi PHP yang digunakan, jenis instalasi, konfigurasi server, serta kondisi teknis lainnya.
Website yang menggunakan WordPress, Joomla, Drupal, maupun aplikasi berbasis PHP lainnya perlu diperiksa apabila servernya menjalankan versi yang belum mendapatkan perbaikan keamanan.
Hal penting yang perlu dipahami adalah bahwa mengganti tema atau memperbarui plugin saja belum tentu menyelesaikan masalah. Jika sumber kerentanan berada pada inti PHP, pembaruan harus dilakukan pada lingkungan PHP yang menjalankan website.
Dengan demikian, pengelola website sekolah perlu memastikan versi PHP yang digunakan oleh server, bukan hanya melihat versi WordPress atau aplikasi CMS yang terpasang.
Versi PHP yang Perlu Diperhatikan
Tim pengembang PHP telah menyediakan pembaruan keamanan untuk mengatasi dua kerentanan utama PHP2Shell.
Berikut versi perbaikan yang perlu menjadi acuan administrator server:
| Cabang PHP | Versi perbaikan |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Versi sebelum pembaruan tersebut pada masing-masing cabang termasuk dalam rentang yang terdampak berdasarkan informasi kerentanan yang dipublikasikan.
Untuk PHP versi lama, seperti PHP 8.1 dan sebelumnya, pengelola server tidak boleh berasumsi bahwa instalasinya aman hanya karena tidak menggunakan cabang PHP terbaru. Dukungan pembaruan keamanan untuk versi lama perlu diperiksa melalui distribusi atau penyedia layanan yang digunakan.
Administrator juga perlu memastikan bahwa pembaruan benar-benar diterapkan pada PHP yang melayani permintaan website. Pembaruan PHP pada lingkungan command line saja belum tentu mengubah versi PHP yang digunakan oleh web server.
Cara Mengantisipasi Ancaman PHP2Shell pada Website Sekolah
Untuk mengurangi risiko serangan, pengelola website sekolah perlu melakukan pemeriksaan dan pembaruan keamanan secara menyeluruh.
Beberapa langkah berikut dapat dilakukan bersama penyedia hosting atau administrator server.
1. Periksa versi PHP yang digunakan
Langkah pertama adalah mengetahui versi PHP yang menjalankan website sekolah.
Pemeriksaan dapat dilakukan melalui panel hosting, seperti cPanel, atau dengan meminta informasi kepada penyedia layanan hosting.
Pastikan versi PHP yang diperiksa merupakan versi yang benar-benar digunakan oleh website, bukan hanya versi PHP pada terminal server.
2. Lakukan pembaruan PHP ke versi yang sudah diperbaiki
Jika website masih menggunakan versi rentan, administrator perlu segera melakukan pembaruan ke versi PHP yang telah mendapatkan perbaikan keamanan.
Proses pembaruan sebaiknya dilakukan dengan memperhatikan kompatibilitas aplikasi, tema, dan plugin yang digunakan.
Sebelum melakukan perubahan, buat cadangan file website dan database untuk mengantisipasi kemungkinan gangguan selama proses pembaruan.
3. Hubungi penyedia layanan hosting
Tidak semua sekolah memiliki administrator server sendiri. Banyak sekolah menggunakan layanan hosting yang pengelolaan servernya ditangani oleh perusahaan penyedia hosting.
Dalam kondisi tersebut, operator atau pengelola website sebaiknya segera menghubungi pihak hosting untuk menanyakan apakah server yang digunakan terdampak PHP2Shell.
Mintalah konfirmasi mengenai versi PHP, ketersediaan pembaruan keamanan, serta langkah mitigasi yang sudah diterapkan.
4. Batasi akses ke halaman administrasi
Pengelola website perlu memastikan halaman administrasi hanya dapat diakses oleh pihak yang memiliki kewenangan.
Gunakan kata sandi yang kuat, aktifkan autentikasi multifaktor apabila tersedia, dan batasi akses ke layanan administrasi server hanya melalui jaringan atau alamat yang tepercaya.
Langkah ini tidak menggantikan pembaruan PHP, tetapi dapat membantu memperkuat perlindungan sistem secara keseluruhan.
5. Periksa aktivitas server yang mencurigakan
Administrator perlu memeriksa log server, aktivitas akun, perubahan file, serta proses yang berjalan tanpa izin.
Jika ditemukan indikasi penyusupan, jangan hanya menghapus file mencurigakan dan menganggap masalah selesai. Lakukan pemeriksaan lebih lanjut untuk mengetahui apakah penyerang telah memperoleh akses tambahan atau meninggalkan mekanisme untuk kembali masuk.
6. Lakukan pencadangan data secara berkala
Backup website dan database menjadi bagian penting dalam menjaga keberlangsungan layanan sekolah.
Simpan salinan cadangan di lokasi terpisah dari server utama dan pastikan proses pemulihan dapat dilakukan apabila terjadi insiden keamanan.
Dengan demikian, sekolah memiliki alternatif untuk memulihkan website apabila terjadi kerusakan atau perubahan data akibat serangan.
Pengelola Website Sekolah Jangan Hanya Mengandalkan Pembaruan WordPress
Satu hal yang perlu menjadi perhatian adalah PHP2Shell berada pada lapisan inti PHP. Oleh karena itu, memperbarui WordPress, plugin, maupun tema belum cukup apabila versi PHP yang digunakan masih rentan.
Sekolah perlu memahami bahwa keamanan website merupakan tanggung jawab bersama antara pengelola konten, administrator teknis, dan penyedia layanan hosting.
Operator sekolah yang tidak memiliki akses untuk memperbarui PHP sebaiknya tidak melakukan perubahan konfigurasi server secara sembarangan. Koordinasikan pemeriksaan dengan penyedia hosting atau tenaga teknis yang memahami pengelolaan server.
Selain itu, apabila website diketahui menggunakan versi PHP yang rentan dan terdapat indikasi telah disusupi, langkah penanganan harus mencakup pemeriksaan insiden, pengamanan kredensial, serta pemulihan sistem dari sumber yang dapat dipercaya.
Kesimpulan
Celah keamanan PHP2Shell menjadi ancaman serius yang perlu diperhatikan oleh pengelola website sekolah, terutama bagi situs yang menggunakan PHP versi rentan. Dua kerentanan dengan kode CVE-2026-109618 dan CVE-2026-109619 tersebut berpotensi memungkinkan eksekusi kode jarak jauh tanpa autentikasi serta membuka peluang kebocoran informasi sensitif. Oleh karena itu, sekolah perlu segera memeriksa versi PHP yang digunakan, berkoordinasi dengan penyedia hosting, menerapkan pembaruan keamanan, dan memperkuat perlindungan server. Langkah pencegahan sejak dini sangat penting agar website sekolah tetap aman, dapat diakses dengan baik, dan tidak menjadi sasaran penyalahgunaan oleh pihak yang tidak bertanggung jawab.