Telset.id – Patch keamanan untuk bahasa pemrograman PHP resmi dirilis setelah dua kerentanan kritis berkategori Remote Code Execution terungkap. Kedua celah ini mendapat skor keparahan 9,2 dari 10 pada Common Vulnerability Scoring System (CVSS) dan berdampak pada “semua instalasi PHP yang melayani permintaan web” sejak PHP versi 5 yang dirilis Juli 2004. Patch dirilis tepat sebelum pukul 10.00 waktu ET, Rabu, dan pengguna PHP diminta segera melakukan pembaruan.
Kerentanan ini tercatat sebagai CVE-2026-109618 dan CVE-2026-109619. Menurut firma keamanan siber watchTowr, kedua celah tersebut memungkinkan penyerang menjalankan kode mereka sendiri di server yang terdampak, sehingga bisa mengubah situs secara malisius, mencuri data, dan melakukan aksi lain. Seorang peneliti keamanan memperkirakan lebih dari 1,3 juta host yang terhubung ke internet kemungkinan terdampak.
Peringatan datang dari berbagai arah. Penyedia plugin keamanan WordPress, Wordfence, menegaskan setiap situs WordPress rentan karena semuanya berjalan di server yang memakai PHP. Skala risikonya besar mengingat WordPress melaporkan pada tahun lalu bahwa platformnya menggerakkan lebih dari 40 persen internet. Wordfence juga mengingatkan bahwa perbaikan tidak bisa dipasang lewat pembaruan otomatis, sehingga pemilik situs harus mencari tahu siapa yang bertanggung jawab memperbarui PHP untuk menerapkan patch secara manual.
Baca Juga:
Respons Lembaga dan Serangan Dini
European Union Computer Emergency Response Team (EU-CERT) dan UK National Cyber Security Centre (NCSC) sama-sama menerbitkan imbauan. Keduanya mendorong perusahaan yang belum bisa segera menambal platform mereka untuk mengisolasi aplikasi yang menghadap internet dari jaringan publik atau mematikannya sepenuhnya sampai kerentanan bisa dimitigasi. NCSC menulis bahwa organisasi sebaiknya “bersiap untuk pembaruan sistem secara langsung” dan, bila remediasi segera tidak memungkinkan, mempertimbangkan mematikan sistem sampai bisa dimitigasi penuh.
Ancaman bukan sekadar teori. Cloudflare chief technology officer Dane Knecht menyatakan pihaknya “melihat serangan awal muncul” terhadap situs PHP di platformnya, dan Cloudflare sementara memperbarui aturan firewall sebagai solusi sementara. Sebelum patch dirilis, peneliti ancaman di Sansec memperkirakan akan ada “serangan massal dalam 15 menit setelah rilis”. Sejumlah organisasi pun mengambil langkah preventif: beberapa situs milik pemerintah Finlandia termasuk National Land Survey tidak dapat diakses, sementara situs pemerintah Prancis dan situs Port of Rotterdam juga offline.
Pengembang PHP Gina Peter Banyard menegaskan penambalan adalah satu-satunya mitigasi. Jika tidak, mematikan server “mungkin menjadi hal paling masuk akal untuk dilakukan”. The PHP Foundation menegaskan hal serupa dalam advisory-nya: “Tidak ada mitigasi yang lengkap, memperbarui adalah satu-satunya pilihan aman.” GrapheneOS mengaku sementara mematikan forum diskusi penggunanya karena eksploit proof of concept sudah mulai dikembangkan dan mereka “tidak ingin mengambil risiko”.
Dukungan AI dan Skala Dampak
Yang menarik, temuan kerentanan ini melibatkan teknologi AI. Perusahaan keamanan Wiz yang dimiliki Google mengklaim penelitinya menemukan kerentanan PHP sebagian menggunakan alat AI, sementara OpenAI dan firma keamanan Calif menyatakan secara independen menemukan isu tersebut dan bekerja sama. Wiz menjuluki demonstrasi eksploitasi mereka sebagai php2shell dan menulis bahwa dalam sejumlah kasus kerentanan bisa dieksploitasi “dengan cukup mudah”. Menurut Wiz, celah ini memungkinkan penyerang tanpa autentikasi mengeksekusi kode di server terdampak atau membaca memori proses sensitif, yang mungkin berisi kata sandi, token autentikasi, API key, dan sertifikat milik permintaan lain atau server itu sendiri.
Konteks kerentanan ini memperlihatkan betapa luas permukaan serangannya. Sejak dikembangkan pada 1990-an, PHP menjadi bahasa skrip esensial untuk pengembangan web dan dipakai di sebagian besar internet, mulai dari sistem penerbitan seperti WordPress dan Drupal hingga platform e-commerce seperti Magento milik Adobe. Konsultan keamanan independen dan visiting senior research fellow di King’s College London, Lukasz Olejnik, menyamakan penggunaan PHP yang masif dengan infrastruktur kritis. “Dampaknya sangat besar,” ujarnya, seraya menambahkan jutaan sistem bisa terdampak. “Terutama jika penyerang beralih mengeksploitasi kerentanan ini dengan cepat. Skenario terburuk adalah malware yang dapat menyebar seperti worm dan memengaruhi sebagian besar internet.”
Konsultan keamanan dan kepatuhan senior Davi Ottenheimer memberi gambaran sederhana soal celah ini. “Sebagian besar web berjalan di PHP dan bug ini ada di antarmuka unggah file yang seperti pintu depan tanpa kunci,” katanya. “Penyerang tidak perlu tahu situs mana yang mereka serang atau bahkan perangkat lunak apa yang dijalankannya. Mereka mengirim satu unggahan yang dirancang ke server mana pun yang bisa ditemukan, dan itulah keseluruhan serangannya.”
Perhatian pada skala dampak juga muncul di kalangan pengamat industri. Isu keamanan perangkat lunak menjadi sorotan, sejalan dengan laporan bahwa AI Bikin Kode Rentan dalam pengembangan perangkat lunak modern. Di sisi lain, kebutuhan infrastruktur digital yang andal terus meningkat, seperti terlihat dari langkah Retrofit Turbin Gas untuk data center.
Soal versi yang terdampak, The PHP Foundation menyebut hanya PHP 8.2 dan yang lebih baru yang masih didukung dan akan menerima patch. Meski begitu, sejumlah distribusi PHP dan vendor pihak ketiga masih memproduksi perbaikan untuk versi lama. Kaveat ini penting karena lapisan web yang mendasar seperti PHP bisa bertahan terlupakan dan tanpa pembaruan di infrastruktur internet lama. Rincian kerentanan pertama kali muncul dari para maintainer PHP pada 20 Oktober melalui sebuah pos singkat di situs PHP. Saat itu The PHP Foundation menyebut sedang memberi “pemberitahuan awal” atas celah keamanan dan rilis perbaikan yang akan datang, tanpa merinci versi yang terdampak, dan menyatakan berhak merilis lebih awal bila detail salah satu kerentanan menjadi publik atau muncul bukti eksploitasi aktif.
Lembaga lain turut bersiap. Warnings dari EU-CERT dan badan keamanan siber Australia menyatakan tim IT harus siap memperbarui sistem secepatnya, dengan kemungkinan situs dimatikan sementara saat perbaikan diterapkan. FBI, melalui cyber assistant director Brett Leatherman, mengimbau agar organisasi yang menemukan tanda kompromi mengisolasi sistem, menyimpan log web server dan PHP, lalu melaporkannya ke kantor lapangan FBI setempat. “Laporan tersebut membantu kami mengidentifikasi aktor yang terlibat dan memperingatkan organisasi lain sebelum mereka menjadi korban,” ujarnya.
Bagi pemilik situs, langkah paling mendesak adalah memastikan siapa yang mengelola PHP di servernya dan menerapkan patch tanpa menunggu pembaruan otomatis. Selama pembaruan belum bisa dilakukan, opsi yang disebut otoritas adalah mengisolasi aplikasi yang menghadap internet atau mematikannya sementara. Dengan skor 9,2 dan estimasi lebih dari 1,3 juta host terdampak, penundaan pembaruan berarti membiarkan pintu depan tanpa kunci tetap terbuka.
[ META_DESCRIPTION]
Dua kerentanan kritis PHP skor 9,2 ancam 1,3 juta host dan 40 persen internet. Patch sudah rilis, pembaruan manual wajib segera dilakukan.
Komentar
Belum ada komentar.