DigiDaily | Jakarta – Website yang masih bisa dibuka dan berfungsi normal belum tentu aman dari serangan siber. Kerentanan PHP2Shell memungkinkan penyerang menjalankan kode berbahaya dari jarak jauh pada server, sehingga pemeriksaan tampilan halaman saja tidak cukup untuk memastikan sebuah website bebas dari penyusupan.
Dikutip dari KompasTekno, Guru Besar Cyber Law, Digital Policy-Regulation & Kekayaan Intelektual Fakultas Hukum Universitas Padjadjaran, Prof. Dr. Ahmad M Ramli, mengingatkan bahwa serangan siber tidak selalu menunjukkan gejala yang mudah dikenali pengunjung.
“Tidak adanya gejala, tidak menjamin sistem bersih,” ujar Prof. Ramli dilansir KompasTekno, Kamis (23/10/2026).
Karena itu, pengelola website perlu memeriksa aktivitas server secara berkala. Server merupakan komputer atau sistem yang menyimpan data dan menjalankan layanan website. Jika server berhasil disusupi, penyerang berpotensi menyalahgunakan sistem tanpa langsung mengubah tampilan halaman yang dilihat pengunjung.
Lima Tanda Website Perlu Diperiksa
Menurut Prof. Ramli, terdapat sejumlah indikasi yang patut diperhatikan untuk mengetahui kemungkinan adanya gangguan keamanan pada server.
Pertama, lonjakan trafik atau jumlah kunjungan yang tidak biasa. Peningkatan kunjungan secara mendadak, terutama jika tidak sesuai dengan aktivitas normal website, perlu ditelusuri lebih lanjut.
Kedua, kesalahan PHP yang muncul berulang kali. Kesalahan ini bisa menjadi petunjuk adanya masalah pada aplikasi atau aktivitas yang tidak berjalan sebagaimana mestinya.
Ketiga, munculnya berkas asing di server. Berkas yang tidak dikenali, khususnya jika berada di lokasi yang dapat diakses publik, perlu diperiksa untuk memastikan asal dan fungsinya.
Keempat, adanya akun administrator baru yang tidak diketahui oleh pengelola. Akun semacam ini perlu ditelusuri karena berpotensi memberikan akses ke bagian penting website.
Kelima, koneksi keluar menuju alamat yang mencurigakan. Server biasanya berkomunikasi dengan sistem lain untuk menjalankan berbagai fungsi. Namun, koneksi ke alamat yang tidak dikenal atau tidak sesuai kebutuhan layanan dapat menjadi tanda aktivitas yang perlu diperiksa.
Meski begitu, satu tanda saja tidak otomatis membuktikan bahwa website telah disusupi PHP2Shell. Pengelola perlu memeriksa bukti lain dan menganalisis aktivitas server secara menyeluruh untuk mengetahui penyebabnya.
Mengenal PHP2Shell dan Risiko Keamanannya
PHP2Shell berkaitan dengan dua celah keamanan kritis pada PHP, yaitu bahasa pemrograman yang banyak digunakan untuk membangun dan menjalankan website.
Berdasarkan bahan yang dilansir, kedua kerentanan tersebut ditemukan pada Agustus dan diumumkan kepada publik pada 20 Oktober 2026. Celah itu tercatat dengan nomor identifikasi CVE-2026-109618 dan CVE-2026-109619, dengan tingkat keparahan masing-masing 9,2 dari skala 10.
CVE merupakan kode identifikasi yang digunakan untuk mencatat kerentanan keamanan yang diketahui publik. Sementara itu, skor keparahan membantu menggambarkan tingkat risiko suatu celah terhadap sistem yang terdampak.
Risiko PHP2Shell terletak pada kemampuannya membuka peluang bagi penyerang untuk menjalankan kode berbahaya di server dari jarak jauh tanpa harus masuk menggunakan akun atau kata sandi terlebih dahulu.
Jika berhasil dieksploitasi, celah seperti ini dapat memberikan kesempatan kepada penyerang untuk menjalankan perintah tertentu pada sistem yang terdampak. Dampak akhirnya bergantung pada kondisi server, konfigurasi keamanan, dan akses yang berhasil diperoleh penyerang.
Oleh sebab itu, website yang masih dapat diakses bukan berarti servernya pasti aman. Halaman depan mungkin terlihat seperti biasa, sementara aktivitas berbahaya berlangsung di balik layar.
Pengelola website perlu segera menerapkan pembaruan keamanan yang sesuai. Dalam kondisi tertentu, menonaktifkan website sementara juga dapat dipertimbangkan sebagai langkah pencegahan selama proses perbaikan dilakukan.
Serangan Bisa Menyamar sebagai Aktivitas Internet Biasa
Ketua dan Pendiri Indonesia Cyber Security Forum (ICSF), Ardi Sutedja K., menjelaskan bahwa serangan menggunakan web shell dapat berlangsung tanpa memperlihatkan aktivitas yang mencolok.
Web shell merupakan skrip berbahaya yang ditempatkan pada server untuk memungkinkan penyerang menjalankan perintah atau mengendalikan fungsi tertentu dari jarak jauh.
Menurut Ardi, skrip semacam ini dapat memanfaatkan HTTP dan HTTPS, yaitu protokol yang digunakan untuk mengirimkan data antara peramban dan server website.
Karena menggunakan jalur komunikasi yang juga dipakai pengunjung biasa, aktivitas penyerang bisa terlihat seperti lalu lintas internet normal. Akibatnya, sistem pemantauan jaringan konvensional belum tentu langsung mengenali adanya serangan.
“Dinding api (firewall) konvensional kerap terkecoh,” kata Ardi kepada KompasTekno.
Firewall adalah sistem keamanan yang membantu mengawasi dan menyaring lalu lintas jaringan berdasarkan aturan tertentu. Namun, firewall tidak selalu mampu mendeteksi semua aktivitas berbahaya, terutama jika lalu lintas tersebut menyerupai komunikasi yang sah.
Salah satu tanda yang perlu diperiksa adalah meningkatnya penggunaan sumber daya komputasi server secara tiba-tiba. Jika beban kerja meningkat tanpa diikuti kenaikan jumlah pengunjung atau aktivitas bisnis yang sebanding, pengelola perlu memeriksa proses apa saja yang sedang berjalan.
Tanda lainnya adalah munculnya berkas yang tidak dikenal di direktori publik atau perubahan waktu modifikasi berkas inti sistem di luar jadwal pemeliharaan.
Direktori publik merupakan lokasi penyimpanan berkas yang dapat diakses melalui website. Jika ada berkas asing di dalamnya, pengelola perlu memastikan apakah berkas tersebut merupakan bagian dari pembaruan resmi atau justru berasal dari aktivitas yang tidak sah.
Perubahan berkas sistem di luar jadwal pemeliharaan juga patut ditelusuri, terutama jika tidak ada pengembang atau administrator yang melakukan perubahan tersebut.
Server yang Disusupi Bisa Disalahgunakan untuk Spam
Dampak serangan siber tidak selalu terbatas pada pencurian data atau pengambilalihan website. Server yang telah dikuasai penyerang juga berpotensi digunakan untuk mengirimkan email spam tanpa sepengetahuan pemiliknya.
Dalam kondisi tertentu, penyerang bahkan dapat mengubah halaman website resmi untuk menampilkan konten yang tidak berkaitan dengan pemilik situs, termasuk promosi judi online.
Perubahan seperti ini dapat merusak reputasi website dan menurunkan kepercayaan pengunjung. Jika website digunakan oleh perusahaan atau lembaga publik, insiden tersebut juga dapat mengganggu layanan kepada masyarakat.
Selain itu, pengunjung mungkin melihat peringatan keamanan berwarna merah dari peramban ketika mencoba membuka website. Peringatan semacam ini dapat muncul ketika peramban atau layanan keamanan mendeteksi risiko pada situs yang diakses.
Namun, tidak semua serangan menimbulkan gejala yang sama. Sebagian website masih dapat dibuka dan menampilkan halaman seperti biasa meskipun servernya berpotensi telah disusupi.
Karena itu, pengelola tidak seharusnya menunggu sampai tampilan website berubah atau peringatan keamanan muncul sebelum melakukan pemeriksaan.
Periksa Log Server untuk Menemukan Aktivitas Mencurigakan
Untuk mendeteksi aktivitas yang tidak biasa, Prof. Ramli menyarankan pengelola website memeriksa log dan proses yang berjalan di server secara berkala.
Log merupakan catatan aktivitas sistem yang dapat merekam permintaan masuk, kesalahan aplikasi, serta berbagai kejadian lain yang berlangsung di server.
Melalui catatan tersebut, administrator dapat menelusuri kapan suatu aktivitas terjadi, layanan apa yang terlibat, dan apakah terdapat pola yang berbeda dari kondisi normal.
Sebagai contoh, log dapat membantu pengelola memeriksa lonjakan permintaan yang tidak wajar, kesalahan PHP yang berulang, atau koneksi yang dilakukan server ke alamat tertentu.
Pemeriksaan juga perlu mencakup proses komputasi yang sedang berjalan, daftar akun administrator, serta perubahan berkas. Jika ditemukan aktivitas yang tidak dikenali, pengelola perlu menyelidiki penyebabnya dan mengambil langkah penanganan sesuai prosedur keamanan.
Selain melakukan pemantauan, pengelola harus memastikan versi PHP yang digunakan masih mendapatkan dukungan keamanan dan telah menerima pembaruan untuk menutup kerentanan yang relevan.
Jika terdapat indikasi kuat bahwa server telah disusupi, pemeriksaan sebaiknya dilakukan oleh tenaga keamanan atau administrator yang kompeten. Penanganan perlu mencakup identifikasi sumber serangan, pengamanan akses, dan pemeriksaan kemungkinan penyalahgunaan data.[]
