JAWA TENGAH — Peneliti keamanan Wiz Research mengungkap dua celah kritis PHP bernama PHP2Shell dengan bantuan Gemini 4 Argon, AI milik Google. Kerentanan bertingkat keparahan 9,2 dari 10 itu memengaruhi sekitar 70% website dunia yang memakai PHP, termasuk WordPress, Drupal, dan Joomla. Google Cloud menyatakan infrastrukturnya tidak terdampak, tetapi aplikasi PHP milik pelanggan tetap berisiko.
Penelitian yang dimulai 19 Agustus 2026 itu menemukan dua kerentanan pada inti mesin PHP yang tersembunyi lebih dari satu dekade. Wiz Research memakai kombinasi Wiz Atlas, Gemini 4 Argon, dan GPT-5.6 Sol untuk menemukan dan menguji celah tersebut.
Sehari setelah penelitian dimulai, tim mengonfirmasi kemungkinan eksekusi kode jarak jauh tanpa autentikasi pada Drupal. Pada 21 Agustus, metode serupa terbukti berhasil di WordPress. Temuan dilaporkan ke tim keamanan PHP pada 24 Agustus sebelum diumumkan ke publik pada 21 Oktober 2026.
Google Cloud menyebut Gemini 4 Argon membantu peneliti menemukan kerentanan, mengembangkan metode pengujian serangan, mendeteksi ancaman, hingga memastikan perbaikan keamanan bekerja. Penjelasan itu disampaikan Chris Betz, Chief Information Security Officer Google Cloud, bersama Raluca Ada Popa, Head of Gemini Security Google DeepMind.
Pekerjaan yang biasanya membutuhkan tim ahli berbulan-bulan bisa diselesaikan seorang peneliti dalam sekitar satu minggu. AI tidak hanya menemukan kesalahan dalam kode program, tetapi juga membuktikan apakah celah bisa dieksploitasi.
Kedua celah tercatat sebagai CVE-2026-109618 dan CVE-2026-109619 dengan skor 9,2 dari skala 10 berdasarkan CVSS 4.0. Keduanya berada pada inti mesin PHP dan berpotensi membuat penyerang menjalankan kode dari jarak jauh tanpa autentikasi atau mengakses informasi sensitif di memori server.
Celah pertama berkaitan dengan kesalahan penanganan memori saat PHP kehabisan kapasitas. Celah kedua memungkinkan sistem mengakses kembali data internal yang memorinya telah dibebaskan. Risiko tiap website bergantung pada versi PHP dan konfigurasi server yang dipakai.
Pengembang PHP telah merilis pembaruan keamanan melalui versi 8.2.35, 8.3.36, 8.4.27, dan 8.5.12. Pengguna disarankan segera memperbarui PHP ke versi yang telah ditambal atau versi lebih baru yang masih didukung.
Kasus PHP2Shell memperlihatkan peran ganda AI dalam keamanan siber. Teknologi ini mempercepat penemuan dan perbaikan celah, tetapi kemampuan serupa berpotensi dimanfaatkan penyerang.
Bagi pelaku bisnis digital Indonesia yang menjalankan situs berbasis WordPress, Drupal, atau Joomla, pembaruan versi PHP menjadi langkah paling mendesak. Google Cloud memastikan infrastrukturnya tidak terdampak, tetapi aplikasi PHP milik pelanggan yang berjalan di platform tersebut tetap berpotensi rentan.