Pendiri Binance, Changpeng “CZ” Zhao, pada Rabu, 21 Oktober 2026, mengimbau para pengikutnya agar “extra hati-hati” ketika mengunjungi situs web mana pun dalam beberapa hari ke depan. Imbauan itu muncul setelah PHP merilis perbaikan darurat untuk dua kerentanan yang memungkinkan penyerang mengambil alih server web tanpa perlu login. Sebagian besar situs tidak akan menambal celah ini dalam waktu dekat, dan sebagian lainnya mungkin tidak akan pernah menambalnya.
Apa Itu Kerentanan PHP2Shell dan Mengapa Dianggap Berbahaya?
Dua celah tersebut terdaftar sebagai CVE-2026-109618 dan CVE-2026-109619, dan dijuluki PHP2Shell. Masing-masing mendapat skor 9,2 dari 10 untuk tingkat keparahan. Divisi Siber FBI menyarankan organisasi yang tidak dapat memperbarui sistemnya untuk mematikan perangkat mereka dari jaringan.
Kedua kerentanan memungkinkan orang asing menjalankan kode mereka sendiri di server sebuah situs web hanya dengan satu permintaan, bahkan sebelum perangkat lunak milik situs tersebut dimuat. Pengumuman rilis PHP mendesak seluruh pengguna untuk segera memperbarui ke versi 8.5.12, 8.4.27, 8.3.36, atau 8.2.35. Versi 8.1 dan yang lebih lama tidak mendapatkan perbaikan resmi.
Jangkauannya sangat luas. Data W3Techs menunjukkan PHP menjalankan 70,5% situs web yang bahasa servernya diketahui. Sansec mendaftar 11 aplikasi yang serangannya telah terkonfirmasi, mulai dari WordPress dan Magento hingga phpMyAdmin. Penyerang pun tidak menunggu tambalan tersedia: detail kerentanan bocor pada 20 Oktober, sehari sebelum rilis, dan honeypot Amazon mencatat upaya eksploitasi sejak 17 Oktober. Peneliti keamanan Kevin Beaumont menyebutnya sebagai “salah satu kerentanan terbesar dalam beberapa tahun”.
Mengapa Bug di Server Berbahaya bagi Pengguna Kripto?
Alasannya sederhana: siapa pun yang mengendalikan server akan mengendalikan halaman yang Anda lihat. Penyerang dapat menyelipkan tombol “connect wallet” palsu atau drainer, yakni skrip yang menguras isi dompet Anda begitu Anda menandatangani transaksi, ke dalam situs yang sudah Anda percayai.
Kejadian serupa bukan hal baru. Pada Juni 2025, peretas mengambil alih bagian depan situs Cointelegraph dan menampilkan pop-up airdrop palsu kepada pembaca. Salah satu bug baru ini juga dapat membocorkan memori server, yang berpotensi menyimpan kata sandi, sesi login, dan kunci API.
Platform besar menyatakan posisinya aman. BNB Chain menyebut tumpukan teknologinya “tidak menggunakan PHP”, dan Trust Wallet menyampaikan hal yang sama. Namun pernyataan itu tidak mencakup blog, halaman token, dan dasbor yang biasa diklik pengguna dalam perjalanan menuju platform tersebut.
Langkah Pengamanan yang Disarankan dan Kondisi Pasar
Untuk pekan ini, ada beberapa langkah praktis yang dapat dilakukan pengguna kripto:
- Buka exchange dan wallet melalui bookmark, jangan pernah lewat tautan.
- Baca setiap permintaan tanda tangan wallet sebelum menyetujuinya.
- Aktifkan login dua faktor dan allowlist alamat penarikan.
- Simpan koin jangka panjang di hardware wallet.
Sejauh ini pasar kripto belum menunjukkan reaksi berarti. Kapitalisasi pasar kripto berada di angka 2,74 triliun dolar AS, dan koin-koin terbesar kompak turun sekitar 1,5% dalam 24 jam, penurunan yang lebih mengikuti pergerakan minyak dan berita seputar Iran ketimbang aksi peretasan. Bitcoin diperdagangkan di 81.991 dolar AS (turun 1,5%), Ethereum 2.409 dolar AS (turun 1,6%), BNB 734,59 dolar AS (turun 1,4%), XRP 1,33 dolar AS (turun 1,5%), dan Solana 104,55 dolar AS (turun 1,5%).
Implikasi dan Prospek ke Depan
Bitcoin masih menguasai 60% pasar, sementara Crypto Fear & Greed Index berada di angka 68 atau “Greed”, naik dari 63 sehari sebelumnya. Belum ada exchange maupun wallet yang melaporkan kerugian akibat PHP2Shell.
Tambalan untuk kedua kerentanan PHP sudah tersedia. Kini risikonya bertumpu pada setiap administrator yang belum memasangnya, dan pada siapa pun yang mengunjungi situs-situs yang mereka kelola.
