AI Temukan Dua Celah Berbahaya di PHP, Jutaan Situs Dunia Terancam dan Ramai-ramai Offline

Jutaan situs web di seluruh dunia menghadapi ancaman serius setelah ditemukan dua celah keamanan kritis pada PHP, bahasa pemrograman yang menjadi fondasi sebagian besar situs internet selama lebih dari tiga dekade. Temuan ini membuat sejumlah pengelola situs memilih menutup layanannya sementara demi mencegah pembobolan.

PHP sendiri merupakan teknologi yang menopang banyak sistem manajemen konten populer seperti WordPress, Drupal, Joomla, dan Magento. Menurut laporan The Guardian, sekitar 70 persen situs web di internet menggunakan PHP, sehingga dampak kerentanan ini mencakup jutaan situs, mulai dari layanan pemerintah, toko online, bank, hingga situs media besar seperti Wikipedia dan Facebook.

Kedua celah keamanan tersebut ditemukan melalui pemindaian kode PHP yang melibatkan model AI terdepan, termasuk kerja sama dengan Anthropic dan program Patch the Planet dari OpenAI. Temuan itu juga melibatkan peneliti keamanan Ryan A dari Calif pada pertengahan Agustus. Selama bertahun-tahun, dua celah ini luput dari perhatian para pakar.

Awalnya, pengembang dan pakar keamanan merahasiakan temuan tersebut. Namun, rumor yang beredar di forum media sosial memaksa mereka mengumumkannya lebih cepat, disertai saran menutup akses layanan web sementara hingga pembaruan keamanan tuntas dilakukan. PHP Foundation pun merilis pengumuman resmi pada Rabu (21/10) dan menyediakan versi terbaru PHP 8.5.12, 8.4.27, 8.3.36, serta PHP 8.2.35 untuk menambal celah tersebut.

Dua kerentanan yang diberi kode CVE-2026-109618 dan CVE-2026-109619 itu bekerja pada sistem manajemen memori dan penanganan error. Keduanya berisiko merusak memori situs web dan membuka jalur langsung ke sistem file atau database server. Karena disebut sebagai eksploitasi PHP2Shell dan berada di bagian terpenting PHP, dampaknya dinilai sangat luas dan sulit diperbaiki.

Dengan memanfaatkan celah ini, peretas dapat mengambil alih kendali server melalui serangan jarak jauh atau remote code execution tanpa autentikasi, lalu mencuri data sensitif. Sejumlah situs lembaga pemerintah di Amerika Serikat, Inggris, Prancis, Belanda, Kanada, Jepang, Jerman, dan sejumlah negara lain telah dinonaktifkan sementara untuk mengantisipasi serangan.

Lembaga keamanan siber dunia seperti NSA, NCSC, dan FBI pun memberikan peringatan serta mendesak pengelola situs segera melakukan pembaruan sistem atau menonaktifkan layanan web sementara jika pembaruan belum memungkinkan. Pakar keamanan siber Sophos Counter Threat Unit, Don Smith, menilai pelaku ancaman bergerak cepat, terutama dengan bantuan AI, sehingga PHP2Shell berpotensi menjadi target prioritas dalam beberapa jam dan hari mendatang.

Kekhawatiran lain muncul karena PHP Foundation hanya memiliki 13 developer atau engineer inti yang bekerja penuh maupun paruh waktu, jumlah yang jauh lebih kecil dibandingkan kemampuan AI yang terus berkembang berkat investasi global bernilai miliaran dolar. Dalam penanganannya, PHP Foundation bekerja sama dengan perusahaan keamanan siber Calif dan Wiz, serta memanfaatkan teknologi AI dari Alpha-Omega, OpenAI, dan Anthropic untuk memperkuat sistem keamanan.