AI Temukan Celah PHP Berusia 20 Tahun, Situs Pemerintah di Seluruh Dunia Padam

21 Oktober (Reuters) - Situs web pemerintah di Eropa dan tempat lain padam pada Rabu setelah pengungkapan kerentanan kritis dalam sebuah bahasa pemrograman yang banyak digunakan membuat operator situs web di seluruh dunia bergegas melindungi sistem mereka.

Para pengembang bahasa pemrograman PHP pada Rabu merilis perbaikan baru yang mendesak terhadap kerentanan yang telah bersembunyi dalam perangkat lunak mereka selama bertahun-tahun hingga ditemukan menggunakan AI, dengan mengatakan bahwa semua pengguna "dianjurkan untuk segera memperbarui."

Dengan perusahaan teknologi memperingatkan bahwa sejumlah peretas sudah mengeksploitasi celah tersebut, lembaga pemerintah di seluruh Eropa termasuk yang menonaktifkan situs mereka sebagai tindakan pencegahan.

Karena perbaikan kini bersifat publik dan alat kecerdasan buatan mampu merekayasa balik bug tersebut dengan sedikit usaha, para ahli mengatakan bahwa mereka bersiap menghadapi gelombang penyusupan ketika peretas berebut mendahului pembaruan.

AI mendorong "perlombaan untuk mengeksploitasi," kata Costin Raiu, salah satu pendiri perusahaan riset keamanan siber dan tanggap insiden TLP:Black. Ia mengatakan langkah berikutnya adalah "kompromi massal setiap server web yang rentan di internet."

PHP, sebuah bahasa yang bermula pada awal 1990-an dan awalnya merupakan singkatan dari "Personal Home Page," menopang sebagian besar web yang berhadapan dengan publik dan tertanam dalam situs WordPress, Drupal, Joomla, dan Magento, yang berarti setiap kerentanan kritis berpotensi menimbulkan konsekuensi beruntun yang sangat besar.

"Semua server yang menggunakan versi PHP apa pun yang dirilis dalam 20 tahun terakhir akan rentan," kata Tiffany Farriss, kepala eksekutif sementara Drupal Association. "Masalah ini berdampak pada sebagian besar internet."

Lembaga keamanan siber di seluruh dunia telah mendesak pengguna PHP untuk segera memperbarui atau menonaktifkan situs web hingga tambalan dapat diterapkan.

Menurut data dari Censys, perusahaan intelijen internet, sekitar 1,5 juta dari 2,6 juta host melaporkan menjalankan versi PHP yang belum ada perbaikannya.

Lembaga keamanan siber Belanda sendiri padam, dengan mengatakan bahwa hal itu dilakukan sebagai tindakan pencegahan karena kerentanan tersebut. Operator ensiklopedia daring Wikipedia juga mengatakan telah menonaktifkan sejumlah sistem yang tidak disebutkan hingga dapat ditambal dengan aman, sementara Internet Archive, perpustakaan daring raksasa, mengatakan juga sempat padam sebentar untuk menangani masalah tersebut.

Bahkan sejumlah pemimpin dunia turut berkomentar. Perdana Menteri Belanda mengatakan dirinya memantau situasi dengan saksama. Perdana Menteri Jepang Sanae Takaichi dalam sebuah unggahan di X mengatakan pemilik situs web sebaiknya "memeriksa apakah situs aktif Anda menggunakan PHP dan bersiap menerapkan perbaikan baru."

BUG DITEMUKAN DENGAN AI

Celah pada PHP ditemukan menggunakan kecerdasan buatan, kata dua perusahaan keamanan siber dalam laporan yang terpisah. Calif mengatakan dalam sebuah unggahan blog bahwa mereka menemukan celah tersebut dengan bantuan model bahasa besar pada 1 Agustus dan telah mengerjakan perbaikan sejak saat itu. Perusahaan keamanan siber milik Alphabet, Wiz, mengatakan dalam sebuah unggahan blog bahwa mereka juga menemukannya dengan bantuan Wiz Atlas, alat riset kerentanan AI otonom mereka, serta Gemini 4 Argon milik Google dan GPT-5.6 Sol milik OpenAI.

Kerentanan tersebut tetap tersembunyi dalam basis kode PHP selama lebih dari satu dekade dan akan sangat rumit bagi peretas manusia untuk memanfaatkannya, demikian unggahan Wiz.

"Sebelum era AI, pekerjaan manual ini akan sulit diterapkan dan bahkan lebih sulit untuk diperluas skalanya," bunyi unggahan itu. "Dengan AI, ini bukan lagi hambatan." Calif dan Wiz mengatakan mereka berkoordinasi satu sama lain serta dengan tim PHP dan OpenAI mengenai penemuan tersebut.

Dalam sebuah pernyataan, Gedung Putih mengatakan mereka diberitahu tentang celah tersebut pada Jumat.

Dalam sebuah unggahan blog pada Rabu malam, kepala keamanan Amazon CJ Moses mengatakan tim keamanan raksasa teknologi itu mendeteksi upaya untuk mengeksploitasi kerentanan terhadap salah satu sistem umpan "honeypot" mereka pada 17 Oktober, empat hari sebelum pengungkapan publik.

Upaya terhadap sistem itu berasal dari alamat internet anonim, yang mengindikasikan aktivitas tersebut dilakukan oleh seorang pelaku ancaman, kata Moses, seraya menambahkan bahwa belum jelas bagaimana pelaku tersebut mengetahui celah itu ketika masih berada di bawah embargo.

Lebih banyak upaya menyusul pada Rabu oleh berbagai pelaku sebelum embargo dicabut. Amazon mengatakan masih belum jelas apakah ada upaya yang akan berhasil terhadap situs web yang sesungguhnya, seraya menambahkan bahwa celah tersebut "kini sedang dieksploitasi secara luas di dunia nyata."

PERANGKAT LUNAK KRITIS

PHP adalah bahasa pemrograman yang digunakan untuk menjalankan situs web. Ketika seorang pengunjung memuat sebuah halaman, server yang menjalankan PHP menyusun kontennya dan mengirimkannya ke peramban. Ini adalah perangkat lunak sumber terbuka gratis yang dikelola oleh para relawan.

Keberadaannya yang ada di mana-mana, PHP menjalankan sekitar 75% situs web yang bahasa pemrogramannya dapat diidentifikasi, menurut pelacak teknologi web W3Techs, telah membuat para ahli cemas. Kampanye peretasan berbantuan AI, yang berkembang pesat dalam beberapa pekan terakhir, dapat menimbulkan kekacauan pada server yang belum ditambal, kata Lukasz Olejnik, seorang peneliti senior tamu di King's College London.

"Skalanya sangat besar, dan dengan AI, eksploitasi dapat terjadi seketika," kata Olejnik.

Operator WordPress.com, Automattic, mengatakan pengguna solusi hosting mereka dan Tumblr aman dari bug tersebut. Risiko lebih tinggi bagi situs web kecil bertenaga PHP yang dijalankan oleh individu atau organisasi dengan sumber daya teknis terbatas, sering kali pada layanan hosting bersama di mana pelanggan tidak secara langsung mengelola server yang mendasarinya.

PEMADAMAN MASSAL

Di Belanda, beberapa organisasi mengikuti contoh National Cyber Security Centre dan menonaktifkan situs web yang berhadapan dengan publik, termasuk Port of Rotterdam, portal pemerintah Overheid.nl, asosiasi sepak bola nasional KNVB, situs web lima partai politik terbesar di negara itu, dan beberapa situs web rumah sakit.

Perusahaan TI munisipal Denmark, Kombit, mengatakan telah menonaktifkan beberapa layanan, termasuk platform komunikasi sekolah nasional.

Gangguan bahkan lebih meluas di Finlandia, di mana penyedia layanan TI negara, Valtori, mengatakan layanan jaringan publik pemerintah telah dinonaktifkan "sebagai tindakan pencegahan."

Kementerian Dalam Negeri Prancis mengatakan telah menempatkan semua situs webnya dalam pemeliharaan pencegahan.

(Laporan oleh Raphael Satter, Rajveer Singh Pardesi, Leo Marchandon, Deborah Sophia, Devika Nair dan Shubham Kalia; Laporan tambahan oleh AJ Vicens, Anna Ringstorm, Toby Sterling, Charlotte Van Campenhout, Chris Thomas; Penyuntingan oleh Jacqueline Wong, Mark Potter, Bill Berkrot dan Chris Reese)

Diterjemahkan oleh Spillr dari laporan Reuters.