Jakarta - Jagat maya digemparkan oleh temuan celah keamanan kritis pada PHP, bahasa pemrograman yang menjadi tulang punggung sebagian besar situs web dunia. Imbasnya, sejumlah situs pemerintah di Eropa hingga portal layanan publik terpaksa gelap atau offline karena operator panik berusaha menambal sistem mereka.
Pengembang PHP pun bergerak cepat. Pada Rabu lalu, mereka merilis perbaikan darurat dan mendesak seluruh pengguna untuk segera memperbarui sistem. Celah ini bukan main-main, karena PHP bekerja di balik layar server—mengurus mulai dari blog pribadi, toko online, hingga portal pemerintah—meski jarang disadari oleh pengguna awam.
Yang bikin merinding, celah ini ternyata sudah 'mengendap' di dalam kode PHP selama lebih dari satu dekade. Temuan ini terungkap berkat bantuan kecerdasan buatan (AI). Nahasnya, detail celah ini bocor ke publik pada Selasa lalu sebelum tambalan resmi tersedia. Alhasil, PHP harus kerja lembur merilis perbaikan.
Para pakar keamanan siber pun waspada. Mereka memperkirakan akan ada gelombang serangan siber karena hacker berlomba memanfaatkan celah ini sebelum sistem korban diperbarui. Andrew Cullen, pengajar AI dan keamanan siber dari University of Melbourne, menjelaskan bahwa celah ini memungkinkan penyerang menjalankan kode berbahaya di sebuah situs.
“Mereka bisa mengubah tampilan situs atau memaksa situs mengeluarkan data pribadi yang tersimpan di database,” ujar Cullen, dikutip dari Al Jazeera.
Lebih lanjut, perusahaan keamanan cloud Wiz mengungkapkan bahwa masalah ini bersumber dari cara PHP menangani 'fatal error' atau error fatal, seperti kehabisan memori. Karena masalahnya ada di jantung PHP, situs web paling sederhana sekalipun bisa jadi korban. Penyerang bahkan berpotensi mencuri kata sandi dan kredensial lain langsung dari memori server.
Skor tingkat keparahannya pun mencapai 9,2 dari 10, masuk kategori 'kritis'. Celah yang dijuluki 'PHP2Shell' ini ditemukan secara independen oleh dua perusahaan keamanan siber yang menggunakan AI, yaitu Calif (bekerja sama dengan OpenAI) dan Wiz (milik Google).
Meski koordinasi sudah dilakukan sebelum celah dipublikasikan, Kepala Keamanan Amazon, CJ Moses, mengungkapkan bahwa timnya mendeteksi adanya upaya eksploitasi pada 17 Oktober, empat hari sebelum pengungkapan resmi. Ini menimbulkan tanda tanya besar: bagaimana hacker bisa tahu celah yang statusnya masih embargo?
Sebagai informasi, PHP adalah bahasa pemrograman yang lahir di awal 1990-an. Kini, PHP tertanam kuat di platform populer seperti WordPress, Drupal, Joomla, dan Magento. Artinya, jika Anda mengakses situs berbasis platform tersebut, Anda ikut terdampak potensi celah ini.