Waspada Bencana Siber Nasional.

Bagi pebisnis dan pejabat pemerintah yang punya website tapi tidak paham IT, mohon perhatikan ini.

Pada 21 Oktober 2026, dua celah keamanan kritis PHP diumumkan: CVE-2026-109618 dan CVE-2026-109619, dikenal sebagai PHP2Shell.

PHP adalah perangkat lunak yang menjalankan banyak website, termasuk WordPress. Imbas dari PHP2Shell, hacker dapat mengakses server tanpa login: membuka jalan untuk pencurian data, pengubahan isi website, hingga pengambilalihan sistem.

Ancaman ini SANGAT SERIUS.

嵌入推文（联网查看）

NSA Amerika Serikat mengimbau upgrade PHP segera dan merekomendasikan website/app dinonaktifkan sementara jika belum bisa diamankan. Lembaga keamanan siber Uni Eropa juga menyerukan hal serupa. Langkah pencegahan sudah dilakukan oleh sejumlah negara. Belanda, Finlandia, Prancis, Jerman, dan Belgia menonaktifkan sementara sejumlah website pemerintah untuk mengantisipasi celah keamanan PHP ini.

Mengapa Indonesia perlu waspada?

Menurut sebuah research, terdapat 198.732 website WordPress di Indonesia. WordPress menggunakan PHP. Ditemukan juga 81.49% website dengan alamat .id dibuat menggunakan PHP.

Bayangkan website resmi perusahaan atau pemerintah disusupi pengumuman palsu, nomor rekening palsu, atau menjadi website phishing untuk mencuri password.

Resikonya adalah penyebaran disinformasi, phishing, dan social engineering secara masif.

Apa yang perlu dilakukan?

1.	Segera hubungi pengembang situs/app, minta mereka memeriksa seluruh sistem yang menggunakan PHP dan segera melakukan upgrade keamanan.

2.	Minta aktifkan perlindungan tambahan berupa Web Application Firewall atau WAF. Cloudflare baru saja mengumukan proteksi PHP2Shell secara gratis untuk website yang menggunakan WAF mereka. 

Untuk instansi pemerintah, saya paham bahwa pengadaan membutuhkan proses dan birokrasi. Saya mendorong BSSN, Komdigi, dan pemerintah pusat segera mengumumkan waspada siber nasional: supaya pejabat di instansi masing-masing bisa menggapi dengan segera tanpa melanggar proses tatakelola dan peraturan.