SULAWESI BARAT — Tim pengembang PHP merilis pembaruan yang menambal dua kerentanan kritis dengan tingkat bahaya 9,2 dari 10, yang jika dieksploitasi memungkinkan peretas mengambil alih server internet tanpa autentikasi. FBI dan CISA mendesak organisasi segera memperbarui instalasi PHP yang terdampak. PHP menopang hampir 70% situs web dunia, termasuk WordPress yang dipakai sekitar 40% situs.
Pembaruan tersebut dirilis pada hari Rabu dan memperbaiki dua celah yang memungkinkan eksekusi kode jarak jauh tanpa autentikasi. Semua pengguna PHP sangat disarankan segera memasang tambalan terbaru.
PHP sudah ada sejak 1997 dan berfungsi mengelola masukan pengguna serta memproses informasi di balik layar. Karena itu, kebocoran pada bahasa pemrograman ini berisiko melumpuhkan mayoritas situs dan aplikasi web.
Skor bahaya 9,2 dari 10 menempatkan celah ini di kategori kritis. Eksploitasi sukses memberi peretas kendali atas server yang menjalankan PHP versi terdampak.
U.S. Cybersecurity and Infrastructure Security Agency (CISA) meminta organisasi menambal kerentanan ini tanpa menunda. "Celah ini menimbulkan risiko bagi organisasi jika dibiarkan tanpa tambalan," sebut CISA.
Divisi Siber FBI memberi peringatan serupa. "Jika update secara langsung tidak memungkinkan, disarankan agar organisasi menonaktifkan sistem sampai masalah ini dapat dimitigasi sepenuhnya," kata FBI.
National Cyber Security Centre (NCSC) Inggris juga mendorong organisasi bersiap memperbarui sistem yang menggunakan PHP.
OpenAI menyebut model AI mereka membantu peneliti menemukan celah keamanan PHP. "Mengingat tingkat keparahan celah ini dan penggunaan PHP yang sangat luas, kami menganggap bug ini sebagai salah satu kerentanan yang paling berdampak baru-baru ini," tulis OpenAI.
OpenAI yakin model AI-nya mengidentifikasi masalah tersebut sebelum para peretas sempat mengeksploitasinya. Temuan ini disebut menandai fase baru ketika AI mampu menemukan bug keamanan yang berdampak pada skala internet.
PHP Foundation menyatakan potensi eksploitasi sebenarnya telah diteorikan sejak awal 2024, namun tak ditemukan vektor serangan konkret. Upaya perbaikan berjalan sporadis karena para pakar tersita banyak tanggung jawab, dan prosesnya terhenti serta dimulai berkali-kali.
PHP Foundation mendaftarkan proyek PHP ke program Patch the Planet milik OpenAI, lalu audit keamanan dimulai bulan Juli. Pada bulan September, OpenAI mengidentifikasi bagaimana kerentanan dapat dieksploitasi.
Informasi itu, bersama laporan tambahan dari seorang peneliti keamanan dan penyedia keamanan cloud Wiz, meyakinkan tim bahwa perbaikan harus jadi prioritas utama. Pengerjaan dimulai pada 11 Agustus.
Amazon Threat Intelligence mendeteksi upaya peretasan pada 17 Oktober, yang mengindikasikan hacker mungkin sudah mengetahui kerentanan ini empat hari sebelum pengembang PHP mengumumkan ke publik.
Begitu informasi beredar di forum daring dan media sosial, tim pengembang PHP mempercepat rencana pengumuman dan perbaikan. "Kami tidak akan menutupi hal ini: penundaan ini adalah sebuah kegagalan struktural," tulis mereka dalam unggahan resmi.
Amazon memperingatkan bahwa hacker bergerak lebih cepat daripada sebelumnya. Organisasi diminta menerapkan perbaikan kritis untuk sistem yang terhubung ke internet dalam hitungan jam, bukan berhari-hari atau berminggu-minggu.
Mereka juga menyarankan organisasi memeriksa tanda pembobolan dengan merunut hingga 17 Oktober.
Tim PHP menegaskan memperbarui kode adalah satu-satunya perbaikan yang tuntas. Langkah sementara yang disertakan hanya mengurangi risiko paparan dan tidak membuat server benar-benar aman dari potensi eksploitasi.
Bagi pelaku bisnis digital dan pengelola situs di Indonesia, langkah paling aman adalah memeriksa versi PHP yang dipakai penyedia hosting, lalu meminta upgrade ke rilis terbaru. Situs berbasis WordPress perlu memastikan plugin dan tema tidak tertinggal versi.