Liputan6.com, Jakarta - Model frontier AI membantu para peneliti menemukan dan memperbaiki serangkaian celah keamanan berisiko tinggi yang tersembunyi di dalam codebase PHP selama lebih dari 10 tahun.
Kerentanan yang dikelompokkan ke dalam dua nomor CVE ini meraih skor keparahan hingga CVSS 9.2. Menurut Wiz Research, salah satu perusahaan keamanan siber yang menemukan celah tersebut, dampaknya mencakup hampir seluruh versi PHP sejak perilisan PHP 5.4.
Advertisement
PHP awalnya adalah singkatan dari personal home page. Kini, PHP merupakan hypertext preprocessor dan menjadi fondasi sejumlah platform pengembangan situs web.
Karena PHP merupakan fondasi utama platform besar seperti WordPress, Drupal, hingga MediaWiki (mesin utama Wikipedia), cacat pada mesin intinya mengancam jutaan situs web secara global meskipun kode aplikasi mereka sudah aman.
PHP menopang sekitar 70 persen situs web di dunia, mulai dari toko online dan portal berita hingga layanan pemerintah.
"Penemuan ini memicu kolaborasi lintas industri untuk melindungi pengguna, melacak varian terkait, menyebarkan mitigasi, hingga memverifikasi tambalan keamanan (patch) tepat waktu sebelum diumumkan ke publik," tulis Wiz Research dalam blog resminya, dikutip Jumat (23/10/2026).
Semua celah yang ditemukan tergolong masalah keamanan memori. Masalah ini dipicu oleh kegagalan PHP dalam menangani kesalahan fatal saat memproses permintaan, terutama pada kondisi kehabisan memori (out-of-memory).
Situs sejumlah lembaga pemerintah di sejumlah negara, termasuk Australia, Finlandia, dan Belanda, sempat tumbang. Perusahaan asuransi, operator transportasi, dan media juga melakukan pemeliharaan darurat terhadap layanan mereka.
Ketika permintaan berakhir secara tidak wajar, kondisi internal PHP mengalami kerusakan. Jika permintaan atau worker berikutnya menggunakan kembali status yang rusak tersebut, peretas dapat memanfaatkannya untuk dua hal utama:
- Eksekusi Kode Jarak Jauh (RCE): Peneliti keamanan menggabungkan kerentanan ini ke dalam satu skrip eksploit bernama php2shell. Skrip ini terbukti berhasil mengeksekusi kode dari jarak jauh tanpa autentikasi pada instalasi WordPress, Drupal, dan Joomla versi terbaru.
- Kebocoran Memori Sensitif: Peretas tanpa autentikasi dapat membaca data sensitif langsung dari memori proses PHP, seperti kata sandi, token autentikasi, kunci API, hingga sertifikat milik pengguna lain atau server itu sendiri.
Eksploitasi ini tidak bergantung pada bug di kode aplikasi. Bahkan aplikasi sederhana "Hello World" yang berjalan di atas versi PHP terdampak tetap berisiko diretas.
AI Ubah Peta Kompleksitas Peretasan
Dulu, merangkai beberapa celah keamanan dan menyesuaikan struktur memori target membutuhkan waktu dan keahlian teknis yang sangat tinggi.
Namun, penggunaan model frontier AI memangkas hambatan tersebut secara signifikan. Para Peneliti Wiz Research mampu mengembangkan serta menyesuaikan eksploitasi di berbagai aplikasi hanya dalam hitungan jam.
Sejarah mencatat, Heartbleed (2014) membongkar kerentanan infrastruktur internet, sementara Log4Shell (2021) memperlihatkan bahaya ketergantungan perangkat lunak yang mengakar.
Heartbleed adalah kerentanan keamanan kritis pada pustaka kriptografi OpenSSL yang diumumkan ke publik pada 7 April 2014.
Sementara Log4Shell adalah kerentanan keamanan kritis berupa Eksekusi Kode Jarak Jauh (Remote Code Execution/ RCE) pada pustaka pencatatan Java Apache Log4j 2.
PHP2Shell menjadi titik balik baru yang membuktikan bahwa AI dapat mengubah tingkat kesulitan eksploitasi celah lama secara praktis. Ketika waktu dan tingkat keahlian yang dibutuhkan makin menurun, kompleksitas kode tidak lagi menjadi benteng pertahanan yang ampuh.
Pentingnya Memperbarui Sistem
Meski laporan ini memuat empat contoh bug yang dapat dieksploitasi, diperkirakan masih ada varian lain dengan pola serupa di dalam kode PHP.
Namun, tim PHP telah merilis tambalan utama yang berhasil mengatasi akar masalah tersebut secara menyeluruh pada versi terbaru.
Langkah mitigasi cepat ini terwujud berkat kerja sama tim PHP, Calif, dan OpenAI dalam proses penemuan, koordinasi, hingga verifikasi patch.
Dukungan penyediaan panduan perlindungan darurat bagi pengguna yang belum sempat menerapkan tambalan juga datang dari penyedia layanan cloud dan keamanan dunia, seperti Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft, dan Vercel.
Pengelola server dan pengembang web diimbau segera memperbarui versi PHP mereka ke rilis yang aman.