Info Dapodik – Setelah sekian lama umat manusia berselancar di internet, dan pelan-pelan membangun infrastruktur yang besar dan memudahkan pekerjaan, tentunya banyak rintangan dan berbagai problematika yang terjadi. Untuk pertama kalinya setalah kuranglebih 10 tahun, gerbang internet kita akhirnya berhasil dibobol. Ya tepat sekali, terdapat celah dalam PHP yang berhasil di temukan oleh AI, setelah sebelumnya aman-aman saja selama kurang lebih 10 tahun. Hal ini sangat berpotensi menciptakan kekacauan di berbagai aspek karena hampir seluruh aspek kehidupan zaman modern tidak terlepas dari internet. Sebagian besar website dan program-program berbasis internet dapat dibobol jika tidak memperbaharui cabang PHP yang digunakan. Lalu bagaimana dengan dunia pendidikan? Khususnya pendidikan Indonesia??
Keamanan website sekolah, perguruan tinggi, dan instansi pemerintah menjadi perhatian setelah terungkap dua celah keamanan kritis pada bahasa pemrograman PHP yang dikenal sebagai PHP2Shell, dengan kode kerentanan CVE-2026-109618 dan CVE-2026-109619. Kerentanan ini berpotensi memungkinkan penyerang menjalankan kode berbahaya dari jarak jauh tanpa harus memiliki akun atau melakukan login terlebih dahulu.
Tim pengembang PHP mengumumkan pembaruan keamanan pada 21 Oktober 2026. Pembaruan tersebut tersedia melalui sejumlah versi PHP yang telah diperbaiki, yakni PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. Pengembang memperingatkan pengguna agar segera melakukan pembaruan untuk mengatasi risiko tersebut.
Situasi ini menjadi perhatian bagi pengelola website pendidikan di Indonesia. Sekolah dan kampus memanfaatkan sistem berbasis web untuk menyediakan informasi, mengelola administrasi, menjalankan pembelajaran digital, hingga melayani kebutuhan akademik peserta didik.
Apabila server yang digunakan ternyata rentan dan berhasil dieksploitasi, dampaknya tidak hanya berupa gangguan tampilan website. Serangan juga berpotensi mengancam kerahasiaan data, mengganggu layanan akademik, serta membuka jalan bagi penyerang untuk melakukan tindakan lain sesuai hak akses yang berhasil diperolehnya.
Mengenal PHP2Shell dan Dua Celah Keamanan Kritis PHP
PHP merupakan bahasa pemrograman yang banyak digunakan untuk membangun website dan aplikasi berbasis web. Bahasa ini bekerja di sisi server untuk memproses permintaan pengguna, menjalankan logika aplikasi, serta berinteraksi dengan basis data.
Masalah PHP2Shell terletak pada komponen inti PHP, bukan semata-mata pada kesalahan penulisan kode di website tertentu. Berdasarkan penjelasan pengembang dan pemberitahuan keamanan, dua kerentanan tersebut berkaitan dengan pengelolaan memori serta penanganan data internal ketika permintaan diproses oleh PHP.
Kerentanan pertama, CVE-2026-109618, berkaitan dengan kondisi kehabisan memori atau out-of-memory (OOM). Dalam keadaan tertentu, proses penanganan kesalahan dapat menyebabkan PHP menggunakan data internal yang belum terbentuk secara benar.
Sementara itu, CVE-2026-109619 berkaitan dengan penggunaan kembali status internal yang seharusnya sudah tidak berlaku setelah memori terkait dilepaskan. Kondisi tersebut dapat memicu kerusakan memori dan membuka peluang eksekusi kode apabila persyaratan eksploitasi terpenuhi.
Kedua masalah tersebut dapat berakibat serius karena serangan berpotensi terjadi sebelum aplikasi PHP menjalankan kode normalnya. Artinya, mengandalkan mekanisme login pada aplikasi saja tidak cukup untuk meniadakan risiko dari kerentanan di tingkat runtime PHP.
Mengapa Website Sekolah dan Kampus Perlu Waspada?
Website pendidikan sering menjadi pintu masuk menuju berbagai layanan digital. Di balik halaman informasi yang terlihat oleh masyarakat, terdapat server, basis data, sistem administrasi, dan terkadang aplikasi lain yang saling terhubung.
Risiko tidak otomatis berarti seluruh website sekolah di Indonesia telah diretas. Namun, institusi yang menjalankan PHP terdampak dan belum memasang perbaikan perlu segera melakukan pemeriksaan.
Ada beberapa kemungkinan dampak yang perlu dipahami pengelola sistem.
1. Website Berpotensi Diambil Alih Penyerang
Salah satu risiko utama dari remote code execution (RCE) adalah kemampuan menjalankan perintah atau kode dari jarak jauh pada sistem yang rentan.
Apabila eksploitasi berhasil, penyerang berpotensi melakukan tindakan dengan hak akses proses PHP yang berhasil ditembus. Dampaknya dapat berupa perubahan halaman website, pemasangan berkas berbahaya, pencurian informasi, hingga upaya memperluas kendali ke komponen sistem lainnya.
Dalam lingkungan sekolah, gangguan semacam ini dapat membuat website menampilkan konten yang tidak semestinya atau tidak dapat diakses secara normal. Pada kondisi yang lebih serius, penyerang bisa mencoba memasang perangkat lunak berbahaya atau mengenkripsi berkas untuk mengganggu operasional.
Meski demikian, pengambilalihan seluruh server tidak terjadi secara otomatis hanya karena kerentanan ditemukan. Dampaknya bergantung pada keberhasilan eksploitasi, konfigurasi server, hak akses proses PHP, dan perlindungan tambahan yang diterapkan.
2. Data Siswa, Mahasiswa, dan Guru Berisiko Terpapar
Sistem pendidikan dapat menyimpan informasi yang tidak boleh diakses oleh pihak sembarangan. Data tersebut mencakup identitas peserta didik, informasi akademik, administrasi keuangan, serta akun pengguna.
Jika penyerang berhasil masuk ke server dan memperoleh akses yang memadai, data yang tersimpan atau dapat dijangkau dari sistem tersebut berpotensi terancam.
Informasi yang perlu dilindungi antara lain:
- Nama lengkap, alamat, nomor telepon, dan tanggal lahir siswa atau mahasiswa.
- Nomor Induk Siswa Nasional (NISN), Nomor Induk Mahasiswa (NIM), serta informasi akademik lainnya.
- Nilai rapor, transkrip, dan catatan administrasi pendidikan.
- Informasi pembayaran SPP atau Uang Kuliah Tunggal (UKT).
- Kredensial akun, token autentikasi, dan konfigurasi aplikasi yang sensitif.
Penting dipahami bahwa keberadaan kerentanan tidak dengan sendirinya membuktikan terjadinya kebocoran data. Namun, kemungkinan akses tanpa izin membuat pengelola harus memeriksa apakah terdapat aktivitas mencurigakan dan memastikan basis data tidak dapat diakses secara berlebihan oleh aplikasi.
Karena itu, keamanan website pendidikan perlu mencakup perlindungan server, pembatasan hak akses, pengamanan kredensial, serta pencadangan data secara teratur.
3. Layanan Pembelajaran dan Administrasi Bisa Terganggu
Dampak berikutnya adalah kemungkinan terganggunya layanan digital. Ketika server mengalami kompromi, kerusakan, atau harus dinonaktifkan untuk penanganan insiden, sejumlah kegiatan sekolah dan kampus dapat terhambat.
Beberapa layanan yang mungkin terdampak meliputi:
- Sistem pembelajaran daring atau Learning Management System (LMS).
- Website penerimaan peserta didik atau mahasiswa baru.
- Layanan pengisian Kartu Rencana Studi (KRS).
- Portal informasi akademik dan pengumuman sekolah.
- Sistem administrasi guru, tenaga kependidikan, dan mahasiswa.
Gangguan semacam ini dapat menimbulkan masalah operasional, khususnya ketika terjadi pada periode pendaftaran, pengisian KRS, pengumuman hasil seleksi, atau pelaksanaan pembelajaran daring.
Namun, dampak tersebut bergantung pada arsitektur sistem masing-masing institusi. Jika beberapa layanan menggunakan server terpisah, gangguan pada satu website belum tentu melumpuhkan seluruh layanan akademik.
Mengapa Website dengan PHP Lawas Lebih Berisiko?
Pengelolaan versi perangkat lunak menjadi persoalan penting dalam keamanan sistem. Sebagian website yang sudah lama dibangun mungkin masih menggunakan PHP 7 atau PHP 5.6 karena aplikasi belum diperbarui atau proses migrasi membutuhkan biaya dan penyesuaian teknis.
Versi lama yang sudah mencapai akhir masa dukungan resmi menghadapi tantangan lebih besar. Pengembang PHP menyatakan bahwa pembaruan perbaikan untuk kerentanan ini disediakan pada cabang yang masih didukung, yaitu PHP 8.2, 8.3, 8.4, dan 8.5. PHP 8.1 dan versi yang lebih lama tidak memperoleh perbaikan langsung dari proyek PHP untuk kedua kerentanan tersebut.
Kondisi ini membuat pengelola website yang masih memakai versi usang perlu mempertimbangkan migrasi ke versi yang didukung atau memastikan apakah penyedia sistem operasi maupun vendor mereka menyediakan perbaikan yang telah diverifikasi.
Selain persoalan versi, keterbatasan sumber daya manusia juga dapat memperlambat respons keamanan. Website sekolah yang dikelola oleh satu operator atau vendor eksternal mungkin tidak memiliki tim keamanan khusus untuk memantau perkembangan kerentanan.
Dalam kondisi seperti ini, koordinasi antara sekolah, penyedia hosting, pengembang aplikasi, dan pengelola server menjadi sangat penting. Operator sekolah tidak harus menangani seluruh persoalan teknis sendiri, tetapi perlu mengetahui siapa yang bertanggung jawab memperbarui dan mengamankan sistem.
Daftar Versi PHP yang Sudah Mendapatkan Perbaikan
Pengelola website dapat menggunakan informasi versi berikut sebagai acuan awal untuk memeriksa sistem yang mereka gunakan.
| Cabang PHP | Versi yang telah diperbaiki |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
| PHP 8.1 dan lebih lama | Tidak mendapat perbaikan langsung dari proyek PHP untuk kerentanan ini; perlu peningkatan versi atau solusi vendor yang terverifikasi |
Informasi tersebut mengacu pada pengumuman resmi pengembang PHP tertanggal 21 Oktober 2026.
Pengelola perlu memperhatikan bahwa angka versi saja belum selalu cukup untuk memastikan keamanan. Distribusi Linux, layanan hosting, dan panel pengelolaan server terkadang menyediakan paket dengan penyesuaian tersendiri. Oleh sebab itu, pemeriksaan juga perlu dilakukan berdasarkan informasi keamanan dari penyedia sistem yang digunakan.
Langkah Mendesak untuk Mengamankan Website Sekolah
Pembaruan PHP menjadi tindakan utama untuk mengatasi PHP2Shell. Badan keamanan siber Amerika Serikat, Cybersecurity and Infrastructure Security Agency (CISA), juga mendorong organisasi untuk segera memasang pembaruan, terutama pada server yang dapat diakses melalui internet.
Berikut langkah yang dapat dilakukan pengelola website sekolah dan perguruan tinggi.
1. Periksa Versi PHP yang Digunakan
Langkah pertama adalah mengidentifikasi seluruh server dan aplikasi yang menggunakan PHP. Pemeriksaan tidak boleh terbatas pada website utama karena aplikasi akademik, portal penerimaan siswa, dan layanan lain bisa berjalan pada lingkungan yang berbeda.
Pengelola dapat meminta informasi versi PHP dari penyedia hosting atau administrator server. Jika menggunakan panel hosting, informasi tersebut biasanya tersedia pada bagian pengaturan PHP atau konfigurasi domain.
2. Segera Pasang Pembaruan Keamanan
Jika sistem menggunakan PHP 8.2 hingga 8.5, pengelola perlu memperbarui ke versi perbaikan yang sesuai. Sebelum penerapan, lakukan pengujian kompatibilitas aplikasi dan pastikan tersedia cadangan yang dapat dipulihkan.
Pembaruan sebaiknya dilakukan oleh administrator atau penyedia layanan yang memahami konfigurasi server agar tidak menimbulkan gangguan tambahan. Setelah proses selesai, pastikan versi yang aktif benar-benar telah diperbarui, bukan hanya versi CLI yang berbeda dari versi PHP pada website.
3. Tangani PHP Versi Lama dengan Serius
Apabila server masih menggunakan PHP 7 atau PHP 5.6, jangan menganggap sistem aman hanya karena website masih berjalan normal.
Pengelola perlu menyiapkan peningkatan ke versi yang masih didukung dan menguji kompatibilitas aplikasi. Jika pembaruan tidak dapat dilakukan segera, koordinasikan dengan vendor atau penyedia hosting untuk menentukan langkah mitigasi yang tepat.
CISA menyarankan agar sistem berbasis PHP yang belum dapat diperbarui, termasuk yang masih memakai versi yang tidak lagi didukung, dipertimbangkan untuk dinonaktifkan sementara hingga dapat diamankan. Firewall aplikasi web dapat menjadi lapisan perlindungan tambahan, tetapi tidak menggantikan pembaruan keamanan.
4. Periksa Log dan Aktivitas Server
Selain memperbarui perangkat lunak, administrator perlu memeriksa log server untuk mencari aktivitas yang tidak biasa. Perhatian khusus perlu diberikan pada proses PHP yang menjalankan shell, mengunduh berkas tak dikenal, atau menunjukkan pola aktivitas yang tidak sesuai dengan fungsi aplikasi.
Jika ditemukan indikasi kompromi, pembaruan saja belum tentu menyelesaikan seluruh masalah. Tim teknis perlu menyelidiki kemungkinan adanya akun yang disalahgunakan, berkas berbahaya, atau kredensial yang sudah dicuri.
5. Siapkan Cadangan dan Rencana Pemulihan
Cadangan data perlu disimpan secara aman dan tidak seluruhnya bergantung pada server produksi. Salinan cadangan yang terisolasi membantu sekolah memulihkan layanan jika terjadi kerusakan atau serangan yang mengubah data.
Sekolah juga perlu memastikan bahwa proses pemulihan dapat dilakukan dan bahwa cadangan tidak ikut terinfeksi atau terenkripsi apabila server utama mengalami serangan.
Apakah Website Harus Dimatikan Sementara?
Keputusan menonaktifkan website perlu mempertimbangkan tingkat risiko, kondisi sistem, dan kemampuan melakukan mitigasi. Jika server rentan terhubung langsung ke internet dan pembaruan belum dapat dilakukan, pembatasan akses atau penghentian layanan sementara dapat mengurangi paparan terhadap serangan.
Akan tetapi, keputusan tersebut perlu disertai koordinasi dengan pengelola layanan akademik agar kegiatan penting tetap dapat berlangsung melalui saluran alternatif.
Sekolah dapat menyiapkan pengumuman melalui kanal resmi lain, sedangkan perguruan tinggi dapat menginformasikan prosedur sementara untuk layanan yang terdampak. Langkah ini membantu mengurangi kebingungan pengguna apabila website perlu dinonaktifkan selama proses penanganan.
Pengelola juga harus memahami bahwa menutup halaman utama saja belum tentu menghentikan seluruh risiko apabila komponen PHP lain tetap dapat diakses dari internet. Pemeriksaan harus mencakup layanan yang benar-benar berjalan pada server tersebut.
Kesimpulan
Celah keamanan PHP2Shell dengan kode CVE-2026-109618 dan CVE-2026-109619 menjadi peringatan penting bagi pengelola website sekolah, perguruan tinggi, dan instansi pemerintah untuk tidak mengabaikan pembaruan keamanan. Kerentanan pada inti PHP ini berpotensi memungkinkan eksekusi kode dari jarak jauh tanpa autentikasi, sehingga dapat membuka jalan bagi gangguan layanan, akses tidak sah, dan paparan data apabila sistem berhasil dieksploitasi. Pengelola perlu segera menginventarisasi server yang menggunakan PHP, memasang versi perbaikan yang sesuai, menangani sistem lama yang sudah tidak didukung, serta memeriksa aktivitas server dan kesiapan pencadangan. Dengan koordinasi antara operator, administrator, vendor, dan penyedia hosting, risiko terhadap layanan digital pendidikan dapat ditekan tanpa mengabaikan kebutuhan operasional sekolah dan kampus.