Daftar Isi
Model frontier AI membantu para peneliti menemukan dan memperbaiki serangkaian celah keamanan berisiko tinggi yang tersembunyi di dalam codebase PHP selama lebih dari 10 tahun. Kerentanan yang dikelompokkan ke dalam dua nomor CVE ini meraih skor keparahan hingga CVSS 9.2.
Dampak Kerentanan pada Jutaan Situs Web
Menurut Wiz Research, salah satu perusahaan keamanan siber yang menemukan celah tersebut, dampaknya mencakup hampir seluruh versi PHP sejak perilisan PHP 5.4. PHP awalnya adalah singkatan dari personal home page, yang kini merupakan hypertext preprocessor dan menjadi fondasi sejumlah platform pengembangan situs web.
Karena PHP merupakan fondasi utama platform besar seperti WordPress, Drupal, hingga MediaWiki yang menjadi mesin utama Wikipedia, cacat pada mesin intinya mengancam jutaan situs web secara global meskipun kode aplikasi mereka sudah aman. PHP sendiri menopang sekitar 70 persen situs web di dunia, mulai dari toko online dan portal berita hingga layanan pemerintah.
Penemuan ini memicu kolaborasi lintas industri untuk melindungi pengguna, melacak varian terkait, menyebarkan mitigasi, hingga memverifikasi tambalan keamanan atau patch tepat waktu sebelum diumumkan ke publik, seperti ditulis Wiz Research dalam blog resminya, dikutip Jumat (23/10/2026).
Mekanisme Serangan dan Risiko Eksploitasi
Semua celah yang ditemukan tergolong masalah keamanan memori yang dipicu oleh kegagalan PHP dalam menangani kesalahan fatal saat memproses permintaan, terutama pada kondisi kehabisan memori atau out-of-memory. Situs sejumlah lembaga pemerintah di beberapa negara, termasuk Australia, Finlandia, dan Belanda, sempat tumbang akibat masalah ini.
Perusahaan asuransi, operator transportasi, dan media juga melakukan pemeliharaan darurat terhadap layanan mereka. Ketika permintaan berakhir secara tidak wajar, kondisi internal PHP mengalami kerusakan, dan jika permintaan atau worker berikutnya menggunakan kembali status yang rusak tersebut, peretas dapat memanfaatkannya untuk dua hal utama.
Pertama, Eksekusi Kode Jarak Jauh atau RCE, di mana peneliti keamanan menggabungkan kerentanan ini ke dalam satu skrip eksploit bernama php2shell yang terbukti berhasil mengeksekusi kode dari jarak jauh tanpa autentikasi pada instalasi WordPress, Drupal, dan Joomla versi terbaru. Kedua, kebocoran memori sensitif di mana peretas tanpa autentikasi dapat membaca data sensitif langsung dari memori proses PHP, seperti kata sandi, token autentikasi, kunci API, hingga sertifikat milik pengguna lain atau server itu sendiri.
Eksploitasi ini tidak bergantung pada bug di kode aplikasi, sehingga aplikasi sederhana Hello World yang berjalan di atas versi PHP terdampak tetap berisiko diretas.
Peran AI dan Pentingnya Pembaruan Sistem
Dulu, merangkai beberapa celah keamanan dan menyesuaikan struktur memori target membutuhkan waktu dan keahlian teknis yang sangat tinggi, namun penggunaan model frontier AI memangkas hambatan tersebut secara signifikan. Para peneliti Wiz Research mampu mengembangkan serta menyesuaikan eksploitasi di berbagai aplikasi hanya dalam hitungan jam.
Sejarah mencatat Heartbleed pada tahun 2014 membongkar kerentanan infrastruktur internet, sementara Log4Shell pada tahun 2021 memperlihatkan bahaya ketergantungan perangkat lunak yang mengakar. Heartbleed adalah kerentanan keamanan kritis pada pustaka kriptografi OpenSSL yang diumumkan ke publik pada 7 April 2014, sedangkan Log4Shell merupakan kerentanan keamanan kritis berupa Eksekusi Kode Jarak Jauh atau RCE pada pustaka pencatatan Java Apache Log4j 2.
PHP2Shell menjadi titik balik baru yang membuktikan bahwa AI dapat mengubah tingkat kesulitan eksploitasi celah lama secara praktis, di mana ketika waktu dan tingkat keahlian yang dibutuhkan makin menurun, kompleksitas kode tidak lagi menjadi benteng pertahanan yang ampuh.
Meski laporan ini memuat empat contoh bug yang dapat dieksploitasi, diperkirakan masih ada varian lain dengan pola serupa di dalam kode PHP. Tim PHP telah merilis tambalan utama yang berhasil mengatasi akar masalah tersebut secara menyeluruh pada versi terbaru.
Langkah mitigasi cepat ini terwujud berkat kerja sama tim PHP, Calif, dan OpenAI dalam proses penemuan, koordinasi, hingga verifikasi patch. Dukungan penyediaan panduan perlindungan darurat bagi pengguna yang belum sempat menerapkan tambalan juga datang dari penyedia layanan cloud dan keamanan dunia seperti Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft, dan Vercel, sementara pengelola server dan pengembang web diimbau segera memperbarui versi PHP mereka ke rilis yang aman.
Sumber: Liputan6.com Game
