Daftar Isi
Para insinyur perangkat lunak di seluruh dunia disibukkan dengan pembaruan backend situs web setelah sebuah tim yang menggunakan model kecerdasan buatan dari OpenAI menemukan dua kerentanan besar pada PHP. Perangkat lunak skrip sumber terbuka ini menjadi fondasi bagi sekitar 70 persen situs web di seluruh dunia.
Kerentanan dan Tantangan Pembaruan PHP
Perangkat lunak PHP dapat menjadi usang ketika pemilik situs gagal memperbaruinya ke versi yang lebih baru, sehingga membuat situs mereka rentan terhadap serangan. Sesaat setelah peringatan dikeluarkan, versi baru PHP langsung dirilis dan para operator situs didesak untuk melakukan pembaruan. Beberapa situs web pemerintah di Eropa bahkan sempat tidak dapat diakses saat pembaruan tersebut diterapkan. Namun, sebagian besar web ditinggalkan kepada pemilik situs secara individu untuk menerapkan perbaikan.
Tidak ada undang-undang yang memaksa pemilik situs untuk melakukan pembaruan tersebut, meskipun mereka dapat dimintai pertanggungjawaban oleh klien jika terjadi kebocoran data. Bagi peselancar web, versi PHP yang dijalankan oleh sebuah situs tidak dapat diketahui dengan mudah tanpa menjalankan perintah terminal atau menggunakan pemeriksa PHP online. Keadaan ini menunjukkan bahwa arsitektur web yang menua terbukti tidak aman akibat kurangnya pengawasan dan menyusutnya sumber daya.
Keterbatasan Sumber Daya PHP Foundation
Salah satu pengungkapan paling mengejutkan dari perlombaan keamanan tersebut adalah organisasi yang bertugas menangani celah keamanan PHP ternyata berada di posisi yang goyah. Reuters melaporkan bahwa PHP Foundation, sebuah lembaga nirlaba yang dibentuk pada tahun 2021 untuk mencegah krisis serupa, hanya memiliki satu staf penuh waktu dan kekurangan sumber daya untuk melakukan ekspansi.
Direktur Eksekutif PHP Foundation, Elizabeth Barron, mengatakan kepada Reuters bahwa dirinya merupakan satu-satunya staf yang bekerja bersama sekitar 14 pekerja lepas paruh waktu dan anggota dewan sukarela. Seiring meningkatnya ancaman yang dihasilkan oleh kecerdasan buatan, permintaan untuk mengubah kode PHP guna mengatasi ancaman tersebut meningkat dua kali lipat dibanding sebelumnya. Barron menyatakan kepada Reuters bahwa kontributor tidak bertambah dua kali lipat dan PHP jelas mengalami kekurangan pendanaan yang parah, sementara perusahaan serta pemerintah sangat bergantung padanya.
Kurangnya Kesadaran Pemilik Usaha Kecil
Sebuah survei dari Network Solutions terhadap 121 pemilik usaha kecil yang memiliki situs web menemukan bahwa 45 persen dari mereka tidak pernah mendengar tentang PHP dan 71 persen tidak tahu apakah situs mereka menggunakannya. Sebagian besar dari mereka juga tidak mengetahui adanya celah keamanan PHP baru-baru ini.
Principal systems architect untuk Network Solutions Group, Rick Radinger, menyatakan bahwa survei tersebut menunjukkan adanya kesenjangan kesadaran dan pengetahuan. Menurut Radinger, selain tidak tahu mengenai masalah PHP saat ini, mereka juga mungkin tidak menganggap itu sebagai tanggung jawab mereka untuk bertindak. Pemilik situs mungkin mengetahui peringatan tersebut tetapi berasumsi bahwa penyedia hosting mereka akan menanganinya, sementara yang lain mungkin membutuhkan bantuan tambahan tetapi tidak tahu harus menghubungi siapa.
Sebagian mobilisasi terkait peringatan PHP mencakup pembaruan dari perusahaan infrastruktur web besar seperti Cloudflare dan penyedia web hosting seperti GoDaddy. Cloudflare menyatakan dalam sebuah blog bahwa mereka menerapkan perlindungan firewall aplikasi web baru untuk mendeteksi dan menangkis serangan. GoDaddy melakukan pembaruan pada layanan managed hosting dan Windows hosting mereka yang tidak memerlukan langkah ekstra dari pemilik situs, namun mengingatkan bahwa pelanggan domain yang mengelola situs sendiri mungkin perlu memperbarui PHP secara mandiri.
Sikap Waspada bagi Pengguna Web
Bagi mereka yang tidak memiliki situs web, kerentanan PHP bukanlah sesuatu yang dapat dilindungi dengan memperbarui kata sandi, melainkan tanggung jawab situs web untuk tetap memperbarui sistem guna melindungi pengunjung. Radinger mengungkapkan kepada CNET bahwa pengguna merasa frustrasi karena tidak dapat memperbaiki masalah ini secara langsung karena kendala berada di server situs, bukan pada peramban. Memperbarui peramban tidak menyelesaikan masalah, dan situs yang berjalan normal tidak berarti telah diperbaiki.
Saran umum tetap berlaku lebih dari sebelumnya agar berhati-hati dalam mengklik tautan situs web yang tidak dikenal, tidak membagikan informasi sensitif kepada situs yang tidak dipercaya, dan waspada terhadap tautan yang mengunduh perangkat lunak ke perangkat. Krisis PHP ini menjadi pengingat yang baik mengenai kondisi World Wide Web menjelang usianya yang keempat dekade, di mana ancaman masa depan banyak berasal dari arsitektur digital yang menua seperti JavaScript, basis data SQL, sistem manajemen konten, hingga perangkat lunak server itu sendiri.
