Pimpinan Microsoft, Satya Nadella, menyatakan bahwa dirinya belum pernah menyaksikan situasi darurat seperti krisis keamanan siber PHP dalam waktu yang sangat lama. Mengacu pada upaya global untuk mengatasi celah kerentanan kritis pada jutaan situs web, ia menyampaikan kepada sebuah konferensi bahwa kejadian tersebut merupakan hari dan malam yang panjang bagi seluruh tenaga IT serta keamanan.
Tantangan di Garis Depan Krisis PHP
Sejumlah pakar IT dan keamanan siber menceritakan perjuangan mereka kepada BBC News, yang memberikan gambaran mengenai situasi di garis depan darurat siber tersebut sekaligus menyoroti bagaimana disinformasi dan kepanikan memperburuk keadaan. Administrator sistem yang berbasis di Inggris, Adam Mudd, mengungkapkan bahwa situasi yang ia hadapi sangat tiada henti. Ia mengaku belum pernah menerima begitu banyak pesan dari orang-orang yang mengkhawatirkan situs web mereka.
Tantangan terbesar baginya adalah mengelola klien yang ingin situs mereka dinonaktifkan sebagai tindakan pencegahan, sembari berkoordinasi melakukan pembaruan dan perbaikan pada berbagai macam konfigurasi. Kadang kala, proses mematikan situs web memakan waktu lebih lama daripada memperbaiki masalah PHP itu sendiri. PHP adalah bahasa pemrograman populer yang mendukung jutaan situs web, namun dua kerentanan kritis ditemukan pada sistem tersebut yang memicu respons darurat di mana otoritas keamanan siber nasional mendesak tim IT untuk segera mengunduh perbaikan keamanan atau mematikan situs dan server.
Mudd menuturkan bahwa sejak saat itu ia berada di bawah tekanan besar dan kehilangan banyak waktu tidur, bekerja dari pagi hingga pukul 22.30 BST demi mengamankan sistem para pelanggannya. Di Mauritius, administrator IT Loganaden Velvindron juga bekerja tanpa henti sejak timnya menyadari betapa banyak perangkat lunak yang bergantung pada PHP. Banyak versi PHP yang berjalan sudah sepenuhnya berakhir masa dukungannya, sehingga mereka terpaksa membangun ulang aplikasi web dan mengubah kode dalam beberapa kasus. Menurutnya, masalah semakin rumit karena pengumuman kerentanan keamanan tersebut datang secara mengejutkan tanpa persiapan waktu yang memadai.
Direktur teknis perusahaan periklanan digital, Jon Jones, turut tergerak oleh peringatan tersebut dan menyebut kemunculan peringatan itu sangat membuka mata serta menjadi pengalaman baru, meski di sisi lain terasa seperti adegan laga di Hollywood. Ketika The PHP Foundation merilis perbaikan perangkat lunak, terjadi perebutan untuk mengunduhnya. Jones menggambarkan perlombaan tersebut dimulai saat tambalan dirilis pukul 15.00 BST pada hari Rabu, yang juga terasa menegangkan karena risiko pembaruan yang dapat memicu masalah lain.
Kekhawatiran Terkait Disinformasi dan Kelelahan Peringatan
Kericuhan tersebut bermula dari kebocoran detail kerentanan PHP secara dini yang disertai rumor kuat bahwa penjahat siber telah melancarkan serangan. Kendati demikian, para pakar siber kini mempertanyakan kebenaran rumor tersebut. Pakar siber Inggris, Daniel Card, menyatakan bahwa pihaknya dibanjiri oleh informasi intelijen sampah mengenai peretas yang aktif beraksi menggunakan metode Proof of Concept yang berfungsi. Ia menjelaskan bahwa situasi ini bukan yang pertama kali terjadi, namun terasa berada di dimensi yang berbeda. Meskipun kerentanan PHP tersebut sangat serius di atas kertas, ia dan banyak pihak merasa frustrasi dengan maraknya misinformasi tentang peretas yang berkeliaran.
Situasi ini diperparah oleh kesalahan dari perusahaan keamanan siber dan lembaga pemerintah. Sebuah perusahaan besar sempat mengeluarkan peringatan bahwa peretas memiliki metode Proof of Concept yang aktif, sebelum akhirnya harus menarik kembali pernyataan tersebut. Terlepas dari peringatan Cloudflare dan AWS mengenai jutaan upaya peretasan setiap jam, tidak ada bukti terjadinya pelanggaran data skala besar atau serangan siber. Peretas memang terpantau menggunakan kecerdasan buatan untuk membangun metode serangan, tetapi belum ada yang berfungsi secara masif, meski kondisi tersebut berpotensi berubah.
Di sisi lain, kecerdasan buatan juga digunakan untuk menemukan kerentanan PHP yang sebelumnya tersembunyi dari para peneliti manusia selama berdekatan dekade. Para pekerja IT sepakat bahwa kerentanan serius semacam ini akan semakin sering terungkap seiring kecanggihan perangkat kecerdasan buatan dalam meretas. Pendiri alat keamanan WordPress Wordfence, Mark Maunder, menyampaikan kekhawatirannya mengenai cara penyampaian informasi kerentanan kritis tersebut yang berisiko memicu kelelahan peringatan atau alert fatigue. Ia menekankan perlunya kalibrasi pesan agar tidak menjadi masalah besar apabila kerentanan yang benar-benar dapat dieksploitasi dan serius muncul di masa mendatang.
Sumber: BBC News
