Situs Pemerintahan Offline Akibat Celah Bahasa Pemrograman PHP

Sejumlah situs web pemerintahan di Eropa terpaksa dinonaktifkan pada hari Rabu setelah muncul kekhawatiran meluas mengenai kerentanan dalam server yang menghosting situs-situs dengan bahasa pemrograman PHP. Badan Keamanan Nasional Amerika Serikat (NSA) mengimbau jutaan organisasi untuk segera menerapkan penambalan atau mematikan server mereka demi menghindari risiko keamanan.

Ancaman Keamanan di Era Kecerdasan Buatan

Menurut peneliti dari perusahaan rintisan keamanan siber Tolmo, Matt Suiche, tingkat urgensi dalam situasi ini merupakan hal yang sangat baru dan tidak pernah ada sebelumnya. Suiche menyatakan kepada CNBC bahwa tingkat urgensi tersebut muncul karena semua pihak, baik pembela maupun penyerang, kini memiliki kapabilitas yang diperkuat oleh kecerdasan buatan (AI).

PHP yang diciptakan pada era 1990-an digunakan oleh hampir 70 persen dari seluruh situs web yang memiliki bahasa pemrograman sisi server yang dikenal. Pada pertengahan Agustus, para peneliti dari perusahaan AI Calif dan tim Wiz milik Google mendeteksi kerentanan pada seluruh instalasi PHP yang melayani permintaan web. Dalam penemuan tersebut, peneliti Calif memanfaatkan GPT-5.6 Sol buatan OpenAI, sementara tim Wiz menggunakan agen keamanan Wiz Atlas, Gemini 4 Argon dari Google, serta GPT-5.6 Sol.

Kerentanan yang dinamai “PHP2Shell” tersebut memungkinkan peretas tanpa otentikasi untuk menjalankan kode dari jarak jauh pada server PHP mana pun. Situasi ini berpotensi membuat pihak-pihak tidak bertanggung jawab mencuri data serta membaca informasi sensitif. The PHP Foundation awalnya berencana merilis tambalan untuk celah tersebut pada hari Kamis, namun informasi mengenai kerentanan telanjur bocor di forum daring dan melalui Calif yang secara tidak sengaja mengunggah video konsep bukti pada hari Selasa.

Meskipun video tersebut kemudian dihapus, perbaikan akhirnya dipercepat dan diluncurkan 24 jam lebih awal oleh The PHP Foundation pada Rabu pukul 10.00 pagi Waktu ET, sesaat sebelum NSA mengeluarkan peringatannya. Pada saat itu, kode yang diklaim mampu mengeksploitasi PHP2Shell untuk server apa pun telah diunggah ke repositori publik GitHub milik Microsoft. Direktur Eksekutif The PHP Foundation, Elizabeth Barron, menyatakan kepada CNBC pada Rabu sore bahwa organisasinya sedang memantau situasi dengan cermat, namun menegaskan belum ada bukti adanya eksploitasi yang bekerja melainkan hanya kode buatan yang tidak lengkap dan keliru.

Eksploitasi Cepat dan Kegagalan Struktural

Kendati demikian, Suiche mengungkapkan bahwa timnya di Tolmo berhasil memprogram eksploitasi yang berfungsi dalam waktu kurang dari sehari. Ia menyebutkan bahwa penciptaan tiruan lokal tersebut berlangsung relatif cepat berkat bantuan kecerdasan buatan, yang sebelumnya memerlukan waktu beberapa pekan tanpa model AI canggih. Selain itu, Amazon Threat Intelligence melaporkan pada hari Rabu bahwa pihaknya mengidentifikasi upaya eksploitasi PHP2Shell pada hari Sabtu di jaringan telemetri MadPot miliknya.

Kerentanan tersebut sejatinya telah ada sejak lama, di mana dua tahun lalu Mihail Kirov yang saat itu bekerja sebagai insinyur di Quarkslab menemukan kerentanan dengan akar penyebab yang sama seperti PHP2Shell. Kirov menuturkan bahwa The PHP Foundation telah diberi tahu mengenai celah sistem tersebut pada saat itu, namun perbaikan tidak kunjung dijalankan. The PHP Foundation mengakui melalui sebuah unggahan blog pada hari Rabu bahwa keterlambatan tersebut merupakan kegagalan struktural akibat proses keputusan tim keamanan dan kekurangan sumber daya.

Para pakar menyampaikan bahwa organisasi kemungkinan tidak akan pernah mengetahui apakah data mereka telah dibobol meskipun telah menerapkan penambalan. CEO penyedia keamanan siber Ox Security, Neatsun Ziv, menjelaskan bahwa sebuah organisasi tidak akan bisa melihat permintaan mencurigakan pada server mereka kecuali telah memasang platform keamanan aplikasi sebelum upaya peretasan terjadi. Suiche menambahkan bahwa perusahaan hanya akan mengetahui jika mereka diretas apabila data berharga milik mereka dijual di web gelap, yang merupakan realitas masa lalu hingga hari ini.

Suiche menerangkan bahwa PHP merupakan bahasa server warisan sehingga banyak penggunanya yang belum menerapkan langkah-langkah keamanan tingkat lanjut, termasuk instansi pemerintahan kota dan lembaga lain yang kerap menggunakan PHP tanpa memperbarui situs web mereka selama satu dekade. Pakar industri menilai lanskap keamanan siber telah berubah drastis semenjak Anthropic merilis model Mythos ke sejumlah perusahaan dan lembaga pemerintah untuk memastikan langkah keamanan yang memadai sebelum dirilis secara luas. Ziv mengemukakan bahwa durasi yang dibutuhkan penjahat siber untuk menemukan eksploitasi baru dan menjalankannya di seluruh internet kini menyusut drastis dari pekan dan hari menjadi hitungan jam sejak era Mythos dimulai pada April 2026.