KALIMANTAN TIMUR — Dua celah keamanan kritis pada bahasa pemrograman PHP yang ditemukan lewat bantuan AI memicu penonaktifan sementara layanan di sejumlah situs pemerintah dan organisasi global. PHP Foundation merilis patch untuk versi 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 guna menutup kerentanan yang dilacak sebagai CVE-2026-109618 dan CVE-2026-109619. Karena PHP menopang sekitar 70 persen situs web di internet, pengelola layanan di Indonesia pun disarankan segera memperbarui sistem.
PHP Foundation mengumumkan dua kerentanan yang dijuluki "eksploitasi PHP2Shell" melalui rilis keamanan di laman resminya pada Rabu (21/10). Kerentanan itu bekerja pada sistem manajemen memori dan error handling PHP, sehingga berisiko merusak memori di situs web dan membuka jalur langsung ke sistem file maupun database server.
Penelusuran terhadap celah tersebut melibatkan model AI terdepan. Tim peneliti memindai kode PHP bersama Anthropic, sekaligus memasukkan proyek PHP ke program Patch the Planet milik OpenAI yang menemukan masalah ini bersama Ryan A dari Calif pada pertengahan Agustus.
Apa yang Membuat Celah Ini Berbahaya
Kedua kerentanan berada di bagian terpenting PHP, sehingga dampak kerusakannya sulit diperbaiki. Peretas dapat mengambil alih kendali server lewat serangan remote code execution (RCE) tanpa autentikasi, lalu mencuri data sensitif.
Skala paparannya luas karena PHP menjadi fondasi situs web selama lebih dari 30 tahun. Sejumlah CMS populer seperti WordPress, Drupal, Joomla, dan Magento memakai teknologi ini, begitu pula layanan pemerintah, toko online, bank, hingga situs media seperti Wikipedia dan Facebook.
Situs Pemerintah di Berbagai Negara Nonaktif Sementara
Lembaga dan organisasi pemerintah di Amerika, Inggris, Prancis, Belanda, Kanada, Jepang, dan Jerman menonaktifkan layanan webnya untuk sementara. Langkah itu diambil untuk mencegah pembobolan oleh peretas yang memanfaatkan celah sebelum pembaruan keamanan tuntas.
Peringatan datang dari lembaga cybersecurity global. NSA, NCSC, dan FBI mendesak pengelola situs web segera memasang patch atau menonaktifkan layanan web sementara jika pembaruan belum memungkinkan.
Langkah yang Perlu Diambil Pengelola Situs
- Perbarui PHP ke versi 8.5.12, 8.4.27, 8.3.36, atau 8.2.35 yang sudah menyertakan perbaikan.
- Jika pembaruan belum bisa dilakukan, nonaktifkan sementara akses layanan web.
- Pantau log server untuk mendeteksi percobaan akses tidak wajar.
- Untuk pengelola CMS seperti WordPress, Drupal, Joomla, dan Magento, pastikan versi PHP di server hosting sudah sesuai anjuran.
AI di Dua Sisi Pertahanan
Kemampuan agen AI dalam mengidentifikasi masalah meningkat, termasuk menemukan kerentanan yang luput dari pengawasan manusia. Teknologi yang sama bisa dipakai untuk memperbaiki sistem maupun mengeksploitasinya, dan aksesnya kini terbuka bagi siapa saja.
"Pelaku ancaman bergerak cepat, terutama dengan bantuan AI, dan ini (PHP2Shell) kemungkinan akan menjadi target prioritas mereka dalam beberapa jam dan hari mendatang," kata Don Smith, pakar keamanan siber di Sophos Counter Threat Unit.
Ketimpangan sumber daya memperumit penanganan. PHP Foundation hanya diperkuat 13 developer dan engineer inti yang bekerja penuh maupun paruh waktu, berbanding jauh dengan kecepatan AI yang terus berkembang berkat miliaran dolar investasi global.
PHP Foundation menangani kasus ini bersama perusahaan cybersecurity Calif dan Wiz, serta memanfaatkan teknologi AI dari Alpha-Omega, OpenAI, dan Anthropic. Bagi pelaku bisnis digital di Indonesia yang menjalankan toko online atau layanan berbasis web, pengecekan versi PHP di server menjadi prioritas sebelum insiden pembobolan terjadi.
