Telset.id – OpenAI mengumumkan pada 21 Oktober bahwa peneliti di bawah inisiatif keamanan siber “Patch the Planet” menggunakan model AI GPT-5.6 Sol untuk menemukan kerentanan keamanan kritis pada PHP, bahasa pemrograman open-source yang menjalankan sekitar 70% internet. Temuan ini menjadi salah satu penemuan keamanan siber terbesar sepanjang 2026 menurut OpenAI, mengingat masifnya penggunaan PHP di seluruh dunia.
Setelah penemuan tersebut, OpenAI mengoordinasikan koalisi peneliti, pengelola PHP, penyedia keamanan, dan lembaga keamanan siber pemerintah untuk memperbaiki masalah itu dalam waktu dua bulan. Perusahaan menyebut tenggat panjang tersebut disebabkan kompleksitas tugas yang menuntut perubahan besar pada mesin PHP.
Yayasan PHP telah merilis versi yang dipatch, yaitu PHP 8.2.35, 8.3.36, 8.4.27, dan 8.5.12 untuk memperbaiki kerentanan tersebut. PHP 8.1 dan versi yang lebih lama tidak akan menerima perbaikan resmi. OpenAI menyatakan setiap situs yang menggunakan PHP kini dapat dengan aman memperbarui versinya agar tetap terlindungi.
Kronologi Audit dan Dua Kerentanan Kritis
Beroperasi sebagai bagian dari program Patch the Planet, peneliti dari Calif, perusahaan keamanan siber asal California yang juga mitra pendiri program ini, mulai mengaudit PHP dengan perangkat OpenAI pada 30 Juli 2026 atas permintaan Yayasan PHP. Yayasan tersebut telah mengetahui adanya cacat mendasar sejak 2024, tetapi tidak mampu mengidentifikasi metode eksploitasi maupun solusinya.
Peneliti Calif bernama Ryan A. pertama kali mengidentifikasi kerentanan yang dapat dieksploitasi pada 11 Agustus, disusul peneliti OpenAI pada hari yang sama. Selanjutnya, perusahaan keamanan siber lain, Wiz, secara independen mengidentifikasi kerentanan tambahan. Dua kerentanan itu tercatat sebagai CVE-2026-109618 dan CVE-2026-109619.
Kerentanan pertama muncul ketika PHP kehabisan memori yang dialokasikan saat memproses permintaan, berpotensi meninggalkan data internal tidak lengkap yang kemudian keliru dianggap valid oleh mesin. Kerentanan kedua melibatkan masalah terkait di mana kesalahan fatal membuat PHP menunjuk ke memori yang telah dibebaskan, memungkinkan permintaan berikutnya mengakses atau merusaknya.
Dalam kondisi tertentu, penyerang dapat mengeksploitasi kelemahan ini dari jarak jauh tanpa memerlukan kredensial login untuk mengeksekusi kode berbahaya pada server terdampak, berpotensi mengambil kendali atas situs web. Menggunakan AI, para peneliti juga mendemonstrasikan bahwa celah tersebut dapat mengekspos informasi sensitif yang tersimpan di memori server, termasuk kata sandi, token autentikasi, dan kunci API.
Yang paling mengkhawatirkan, kerentanan ini berada di mesin inti PHP, sehingga situs web dapat terdampak meskipun kode aplikasinya tidak memiliki cacat keamanan. Kedua kerentanan mendapat skor keparahan kritis 9,2 dari 10.
Baca Juga:
Konsep Defender’s Window dan Peran AI
OpenAI menyatakan pengembang manusia dan tim keamanan telah memeriksa kode mendasar namun tidak mampu sepenuhnya menyelesaikan cacat tersebut, sehingga kerentanan bertahan selama dua tahun setelah ditemukan. Sementara itu, peneliti bersenjata AI mendemonstrasikan cara praktis mengeksploitasinya dalam waktu dua minggu.
Sebaliknya, ada argumen bahwa kerentanan itu tidak akan pernah dapat dieksploitasi tanpa AI, sehingga efektifnya tidak berbahaya. Namun OpenAI menantang pandangan ini melalui konsep Defender’s Window. Perusahaan berpendapat bahwa teknologi kuat dan revolusioner akan selalu digunakan oleh aktor jahat, sehingga menjadi tanggung jawab kolektif untuk bertindak proaktif mengatasi potensi cacat yang dapat dieksploitasi.
OpenAI memperkenalkan konsep tersebut setelah modelnya meretas Hugging Face. Konsep ini menggambarkan periode kritis dan sempit di mana organisasi dapat menggunakan model AI frontier canggih untuk menemukan, menambal, dan memperkuat pertahanan keamanan siber mereka sebelum kemampuan serangan berbasis AI yang sama tersedia luas bagi aktor ancaman jahat.
Rilis terkoordinasi sebenarnya dijadwalkan pada 22 Oktober, tetapi dimajukan ke 21 Oktober menyusul pengungkapan dini pada 20 Oktober yang memicu kemarahan publik. Langkah cepat ini menunjukkan tekanan untuk segera menutup celah sebelum dieksploitasi lebih luas. Sebagai konteks industri, model Claude Mythos dari Anthropic baru-baru ini juga mengidentifikasi “ribuan kerentanan zero-day” di “setiap sistem operasi utama dan setiap browser web utama”.
Bagi pengguna dan pengelola situs, langkah paling langsung adalah memastikan versi PHP yang digunakan telah diperbarui ke rilis terbaru yang menyertakan perbaikan. OpenAI menegaskan bahwa setiap situs yang memakai PHP kini dapat meningkatkan versinya untuk tetap aman, sementara versi 8.1 ke bawah tidak lagi mendapat dukungan resmi.
Penemuan ini juga memperlihatkan bagaimana model AI seperti agen AI OpenAI semakin sering dilibatkan dalam pekerjaan audit keamanan berskala besar. Di sisi lain, insiden seperti robot humanoid OpenAI dan kasus implan AI Coherence menunjukkan ekspansi AI ke berbagai sektor, termasuk medis dan perangkat fisik.
Dengan skor keparahan 9,2 dari 10 dan posisi PHP di inti mayoritas situs web dunia, perbaikan yang telah dirilis menjadi langkah wajib bagi siapa pun yang menjalankan situs berbasis PHP. OpenAI menempatkan insiden ini sebagai contoh nyata Defender’s Window, di mana kecepatan menemukan dan menambal celah menentukan selisih antara pertahanan yang berhasil dan eksploitasi yang meluas.
[IMAGE: https://cdn.mos.cms.futurecdn.net/YUDxAZxxyWFMPWzwJRmWvH.jpg]
Komentar
Belum ada komentar.