Lembaga keamanan siber AS, CISA, telah mengonfirmasi bahwa peretas sedang secara aktif memanfaatkan dua kerentanan keamanan serius dalam perangkat lunak web PHP yang banyak digunakan, dan telah memerintahkan lembaga sipil federal di dalam pemerintah AS untuk memperbaiki sistem mereka dalam tiga hari ke depan.
Pemberitahuan patch darurat ini dirilis kurang dari seminggu setelah pemelihara bahasa pemrograman web PHP yang sudah lama ada merilis perbaikan untuk kedua kerentanan ini. Kerentanan ini memungkinkan peretas untuk menyerang sistem yang rentan secara jarak jauh melalui internet tanpa memerlukan kata sandi. Dilaporkan bahwa perangkat lunak PHP digunakan oleh sekitar 70% dari server berbasis web, membuat sejumlah besar situs web dan aplikasi berisiko. Tingkat keparahan kerentanan ini telah mendorong beberapa pemerintah dan perusahaan besar untuk menurunkan situs web mereka untuk melakukan perbaikan.
Meskipun kerentanan ini dinilai "serius", yang berarti dapat menyebabkan kerusakan besar jika dieksploitasi, para peneliti keamanan menyatakan bahwa awalnya sangat sulit untuk mengembangkan metode serangan yang dapat digunakan—namun tidak mustahil. Sekarang telah dikonfirmasi adanya serangan nyata, yang memberikan tekanan lebih besar pada berbagai lembaga untuk segera memperbaiki sistem mereka guna mencegah serangan jahat, gangguan layanan, dan kebocoran data.
CISA tidak memberikan rincian siapa yang memanfaatkan kerentanan tersebut dalam pernyataannya pada hari Senin, tetapi tidak lama sebelum pernyataan itu dirilis, para peneliti keamanan menyatakan bahwa mereka menemukan bukti bahwa kerentanan PHP sedang dimanfaatkan.
Eksploitasi yang disebut PHP2Shell memanfaatkan kelemahan dalam perangkat lunak yang belum terdeteksi selama bertahun-tahun. Awalnya ditemukan dua tahun lalu, tetapi yayasan nirlaba yang bertanggung jawab atas pemeliharaan perangkat lunak tersebut menyatakan bahwa peretas tidak memiliki metode praktis untuk memanfaatkannya, sehingga tidak ada perbaikan yang dilakukan hingga awal tahun ini, ketika para peneliti dari perusahaan keamanan CaliF menemukan cara memanfaatkan kedua kerentanan jangka panjang tersebut dengan bantuan model AI.
Dua kerentanan ini dalam PHP hanyalah sebagian dari banyak kerentanan yang belum ditemukan atau telah ditunda prioritasnya selama bertahun-tahun; seiring peningkatan kemampuan model AI dalam menemukan dan memanfaatkan kerentanan, termasuk melalui penggabungan beberapa kelemahan, kerentanan-kerentanan ini kini juga membawa risiko.
PHP adalah salah satu dari banyak teknologi web lama yang mendukung operasi internet dan teknologi modern, tetapi selama bertahun-tahun kekurangan sumber daya dan dana, membuat proyek open source seperti PHP sulit membiayai tinjauan keamanan yang seharusnya dapat mengidentifikasi kerentanan lebih awal.