Sejumlah situs pemerintah, sekolah, dan rumah sakit di Eropa dimatikan sementara pada Rabu (21/10/2026). Langkah ini diambil karena dua celah keamanan kritis di PHP, bahasa pemrograman menggerakkan sebagian besar internet.
Kedua celah tersebut tercatat sebagai CVE-2026-109618 dan CVE-2026-109619. Keduanya memungkinkan penyerang menjalankan kode berbahaya di server dari jarak jauh tanpa perlu login. Tim PHP merilis perbaikan pada 21 Oktober lewat versi 8.5.12, 8.4.27, 8.3.36, dan 8.2.35, dan menegaskan bahwa hanya update yang menjadi solusi lengkap.
Komisi Eropa, ENISA (European Union Agency for Cybersecurity), CERT-EU, Europol EC3, dan jaringan CSIRT Uni Eropa mengeluarkan pernyataan bersama yang meminta organisasi segera memperbarui sistem, terutama yang terhubung ke internet. Jika belum bisa diperbaiki, sistem disarankan diisolasi dari jaringan publik.
ENISA juga mengingatkan bahwa banyak produk memakai PHP di balik layar, sehingga bisa terdampak meski tidak tampak memakainya.
"Akibatnya, beberapa produk mungkin terpengaruh oleh kerentanan ini meskipun tampaknya tidak menggunakan PHP secara langsung," tulis pernyataan bersama sebagaimana dikutip dari situs resmi ENISA, Rabu (21/10).
Ramai-ramai Matikan Sementara Situs ResmiMengutip kantor berita Reuters, di Jerman, penyedia layanan TI federal ITZBund menonaktifkan sejumlah situs. Kementerian digital menyebut langkah itu murni pencegahan dan belum ada insiden yang diketahui. Prancis mematikan sementara situs prefektur sambil menunggu perbaikan.
Adapun Belgia menonaktifkan situs kementerian luar negerinya setelah muncul laporan serangan yang memanfaatkan celah ini, meski pusat keamanan sibernya mengaku belum mencatat serangan terhadap situs Belgia.
Di Belanda, banyak organisasi mengikuti langkah Pusat Keamanan Siber Nasional dengan mematikan situs publik. Di antaranya Port of Rotterdam, Overheid.nl, federasi sepak bola KNVB, situs lima partai politik terbesar, dan banyak situs rumah sakit.
Finlandia menutup layanan web publik pemerintah lewat Valtori sebagai langkah pencegahan, tanpa temuan upaya eksploitasi maupun kebocoran data. Pemerintah Ceko juga mematikan situsnya Rabu malam atas rekomendasi lembaga pengawas siber, dan akan memulihkannya setelah pembaruan keamanan terpasang.
Wikimedia Foundation, pengelola Wikipedia, mengatakan semua sistem yang memakai PHP, baik yang dikelola yayasan maupun relawan, terdampak. Sejumlah sistem dimatikan sampai bisa ditambal dengan aman.
Pengelola situs disarankan memeriksa versi PHP di servernya dan segera memperbarui ke versi yang sudah diperbaiki. Pengguna PHP 8.1 ke bawah tidak lagi mendapat update dari proyek PHP dan perlu menghubungi vendor atau pindah ke versi yang didukung.
