Pada hari Rabu, teknologi jaringan open source berusia puluhan tahun, PHP, hampir membuat internet lumpuh karena dua kerentanan yang telah tidur selama bertahun-tahun baru-baru ini ditemukan cara dimanfaatkan oleh para peneliti.
Kedua kerentanan ini disebut PHP2Shell, dengan nomor resmi CVE-2026-109618 dan CVE-2026-109619. Secara sederhana, kerentanan ini memungkinkan siapa pun yang tahu cara memanfaatkannya untuk menyusup ke sistem online yang menjalankan PHP, seperti situs web atau server yang terhubung ke internet, tanpa memerlukan kata sandi, serta mengakses atau memodifikasi data di dalamnya.
Dari segi tingkat keparahan, insiden ini sangat serius, memaksa jutaan orang di seluruh dunia untuk segera memperbarui sistem sebelum peretas jahat memanfaatkannya.
PHP Foundation yang bertanggung jawab atas pemeliharaan perangkat lunak web PHP merilis patch perbaikan secara publik pada hari Rabu, yang setelah diinstal dapat mencegah serangan terhadap server berbasis web. Sebelumnya, foundation tersebut telah memberikan akses awal ke perbaikan tersebut kepada beberapa perusahaan internet terbesar dan penyedia hosting web yang bergantung pada PHP.
Berkat komunikasi diam-diam selama beberapa minggu dan koordinasi hati-hati di industri, secara global hingga kini telah terhindar dari pemanfaatan internet skala besar. Mulai Rabu, pemerintah berbagai negara mulai mendesak warga dan perusahaan yang memiliki situs web untuk mengambil tindakan guna mengurangi risiko mereka. Bank, pengecer, situs game, toko online, rumah sakit, dan beberapa lembaga pemerintah telah menutup server mereka untuk mencegah serangan.
Namun, para peneliti keamanan memperingatkan bahwa masalah ini belum berakhir, dan masih banyak sistem di seluruh dunia yang belum diperbarui dan tetap rentan terhadap serangan serta pencurian data.
Ini juga kemungkinan besar bukan krisis perangkat lunak internet besar terakhir. Beberapa orang memperkirakan bahwa munculnya kecerdasan buatan akan dengan cepat menemukan lebih banyak kerentanan yang belum teridentifikasi, menunggu untuk ditemukan dan disalahgunakan.
What happened?
Para peneliti keamanan dari Calif menemukan dua kerentanan di PHP. PHP adalah bahasa pemrograman yang secara luas digunakan di seluruh dunia untuk membangun situs web dan aplikasi web, baik untuk sistem yang di-host di internet maupun di jaringan perusahaan, seperti intranet dan situs internal.
Kedua kerentanan ini pertama kali ditemukan pada tahun 2024, tetapi pada saat itu tidak dianggap dapat dimanfaatkan, sehingga tidak diperbaiki. Para peneliti keamanan baru-baru ini menemukan cara untuk memanfaatkannya, sehingga memperingatkan pengembang perangkat lunak untuk segera memperbaikinya.
Calif memberitahukan PHP Foundation, yang kemudian mulai memperbaiki kerentanan dan mengoordinasikan pengungkapan. Foundation memberikan informasi dan patch kepada perusahaan besar untuk dipasang lebih awal dengan menerapkan larangan kerahasiaan ketat—yaitu menjaga kerahasiaan hingga batas waktu tertentu.
Why are these vulnerabilities so severe?
PHP2Shell serius karena dapat disalahgunakan secara jarak jauh melalui internet, dan korban tidak perlu mengklik tautan atau membuka file. Ini disebut eksekusi kode jarak jauh, salah satu jenis kerentanan paling merusak, karena dapat memungkinkan peretas di mana pun di dunia mengendalikan hampir sepenuhnya sistem yang terdampak dan tidak diperbarui.
Yang lebih buruk lagi, kerentanan PHP spesifik ini memungkinkan penyerang untuk mengakses sistem yang tidak diperbarui melalui internet tanpa memerlukan kata sandi atau kredensial lainnya, yang dikenal sebagai akses tanpa otentikasi.
Ini akan memungkinkan peretas jahat untuk menanamkan perangkat lunak berbahaya di komputer, misalnya untuk mencuri data, atau hanya untuk mempertahankan posisi jangka panjang agar dapat kembali di kemudian hari.
Mengapa 70% halaman web terpengaruh?
PHP hanyalah salah satu dari banyak teknologi lama yang masih berfungsi dengan baik, teknologi-teknologi ini telah melewati berbagai gelombang perkembangan internet dan pergantian generasi, kini sudah ada di mana-mana, hampir seperti lem yang menopang sebagian besar operasi internet. Seringkali, alat-alat ini dikembangkan oleh pemelihara open source yang tidak dibayar untuk pekerjaan mereka, sehingga tidak mampu membiayai audit keamanan pihak ketiga—namun perusahaan masih sangat bergantung pada proyek-proyek ini tanpa memberikan dukungan dana.
Were these vulnerabilities discovered by artificial intelligence?
Para peneliti keamanan dari Calif diakui karena menemukan kerentanan ini saat melakukan audit keamanan terhadap kode PHP pada awal tahun ini. Calif berpartisipasi dalam program Hack the Planet yang diinisiasi oleh OpenAI dan raksasa keamanan cloud Wiz, yang selanjutnya memverifikasi kode eksploitasi bukti konsep yang dibuat oleh Calif.
Dalam artikel penjelasan Calif (yang juga dilengkapi komik—luar biasa, patut dilihat), para peneliti menjelaskan bahwa kecerdasan buatan digunakan untuk membantu memanfaatkan kerentanan tersebut, tetapi sebagian besar pekerjaan masih bergantung pada pengetahuan yang sudah dimiliki para peneliti, serta keakraban mereka terhadap kodebase PHP dan sejarah eksploitasi.
Calif menulis: "Tidak ada model yang dapat secara langsung menemukan 'semua kerentanan' hanya dengan prompt sederhana. Setidaknya belum bisa."
Mengapa kerentanan ini sudah dimanfaatkan sebelum diungkapkan?
Meskipun berbagai pihak berusaha menjaga kerahasiaan detail kerentanan hingga Rabu, tampaknya PHP2Shell telah menunjukkan beberapa aktivitas eksploitasi sebelum rilis patch.
Karena skala besar dan visibilitas yang sangat tinggi, Amazon memiliki wawasan besar terhadap ancaman daring. Perusahaan tersebut menyatakan dalam sebuah posting blog bahwa mereka mendeteksi tanda-tanda eksploitasi PHP2Shell sekitar satu minggu sebelum rilis patch PHP, yang menunjukkan bahwa seseorang di suatu tempat sudah mengetahui cara memanfaatkan kerentanan tersebut sebelum detailnya dipublikasikan secara luas. Amazon menyatakan bahwa saat ini belum jelas bagaimana peretas mengetahui kerentanan tersebut, tetapi para pembela sebaiknya menelusuri kembali hingga 17 Oktober untuk mencari bukti eksploitasi.
Tentang urutan kejadian, ada beberapa versi. Setelah kerentanan diperbaiki, detail patch mungkin langsung menjadi jelas, terutama dalam kode sumber terbuka seperti PHP, yang dapat dilihat secara publik oleh siapa pun. Memanfaatkan kerentanan ini mungkin tidak mudah, tetapi mengetahui di mana kerentanan berada dan bagaimana cara memperbaikinya dapat membantu peretas jahat menilai target serangan dan mengembangkan kode eksploitasi.
Mungkin juga terjadi kebocoran di suatu tempat selama masa larangan, atau komunikasi terputus. Komunitas open source sangat besar, dan mengendalikan informasi dengan cara ini bergantung pada kejujuran dan kerja sama semua pihak.
Selain itu, mungkin juga peretas telah menemukan kerentanan ini secara mandiri sebelumnya, atau memperoleh informasi tersebut melalui kegiatan mata-mata.
Para peneliti menyatakan bahwa untuk membuat kerentanan ini benar-benar dapat dimanfaatkan dibutuhkan banyak usaha, senjatakan kerentanan selalu menjadi tantangan—namun tidak mustahil—yang menjelaskan mengapa kita belum melihat skenario eksploitasi skala besar hingga saat ini.
Internet mengalami gangguan luas, tetapi sedang pulih. Apakah kita telah melewati situasi terburuk?
Masih terlalu dini untuk menyimpulkan, tetapi hingga kini tidak ada tanda-tanda pemanfaatan skala besar, yang setidaknya merupakan sinyal yang menggembirakan—namun kita belum sepenuhnya keluar dari zona berbahaya.
CEO perusahaan keamanan siber dan pemantauan Cloudflare, Matthew Prince, mengatakan minggu ini bahwa perusahaan melihat jumlah upaya pemanfaatan kerentanan meningkat secara eksponensial setelah pengungkapan kerentanan. Ini juga menunjukkan seberapa cepat pelaku jahat berusaha memanfaatkan kelemahan tersebut untuk keuntungan mereka sendiri.
PHP tidak hanya digunakan untuk server web, tetapi juga untuk alat pengembangan, paket baris perintah dan terminal, serta komponen perangkat lunak lain yang digunakan oleh router, perangkat penyimpanan, dan perangkat keamanan perusahaan (seperti firewall dan VPN).
Dapat diharapkan bahwa eksploitasi PHP2Shell akan muncul lebih lanjut, karena tim TI yang lebih kecil dan pengembang independen mungkin memperbarui lebih lambat. Sementara itu, banyak perusahaan yang mengintegrasikan PHP ke dalam produk dan perangkat lunak mereka juga perlu memperbarui, yang akan melalui periode transisi.
Seiring dengan semakin banyak perangkat dan sistem yang diperbarui, permukaan serangan akan berkurang secara bertahap. Namun, dampak berantai dari kerentanan ini masih dapat berlangsung selama bertahun-tahun, terutama pada sistem warisan yang tidak dapat diperbarui.
Will this situation happen again?
Dalam tahun-tahun saya bekerja sebagai jurnalis keamanan, ini adalah hari yang langka dan cukup membuat internet lumpuh. Pada 2016, jaringan zombie raksasa melancarkan serangan spam terhadap penyedia registrasi internet Dyn, menyebabkan layanan sejumlah situs web terkemuka hampir berhenti. Pada 2017, Korea Utara menggunakan alat peretas pemerintah AS yang bocor untuk menginfeksi sistem kesehatan Inggris dan melepaskan perangkat lunak perusak. Pada 2024, pembaruan CrowdStrike yang gagal menyebabkan gangguan besar-besaran secara global, membuat sebagian besar komputer Windows di seluruh dunia mati secara bersamaan.
Dari semua sisi, internet terhindar dari hari yang kemungkinan besar sangat menyakitkan dan merusak berkat PHP2Shell. Namun, ini kemungkinan besar bukanlah kejadian besar terakhir yang memengaruhi jaringan, dan ini mungkin menjadi awal dari serangkaian insiden yang memanfaatkan kelemahan teknologi lama. Sebagian besar karena perangkat lunak lama namun sangat umum ini memiliki cacat bawaan yang belum ditemukan, ditambah dengan alat-alat kecerdasan buatan yang membuat penemuan kerentanan menjadi lebih mudah.
PHP dan bahasa serta teknologi pemrograman web lainnya yang berasal dari beberapa dekade lalu termasuk perangkat lunak "tidak aman dalam hal memori", yang berarti mereka dapat menjadi sasaran serangkaian kerentanan yang menyebabkan perangkat lunak membocorkan atau meluapkan data sensitif dari penyimpanan memori. National Security Agency AS menyatakan bahwa sekitar 75% dari kerentanan yang sedang aktif dieksploitasi memanfaatkan cacat terkait memori, artinya peretas sering menggunakan kerentanan semacam ini.
Ini mendorong industri beralih ke penggunaan bahasa yang aman secara memori, seperti Python, Rust, dan Swift, yang tidak mudah disalahgunakan seperti kerentanan memori. Oleh karena itu, bahasa-bahasa ini sebagian besar kebal terhadap sejumlah besar kerentanan yang masih memengaruhi pendahulunya.
Namun ini masih meninggalkan sebagian besar internet yang menjalankan PHP, media dan codec video, pustaka kompresi, dan perangkat lunak lain yang berusia puluhan tahun—dan ketika teknologi ini bermasalah, dampaknya sangat besar terhadap seluruh jaringan.