Sebuah kelemahan bersembunyi di sebagian besar internet selama 10 tahun hingga AI menunjukkan kepada peretas cara memanfaatkannya. Situs web yang menyimpan data Anda mungkin telah memiliki pintu terbuka selama satu dekade, dan AI baru saja menemukan pegangannya. Penyerang tidak memerlukan nama pengguna maupun kata sandi, hanya satu permintaan yang dirancang dengan baik, dan server yang belum diperbaiki menjadi milik mereka. Kelemahan ini disebut "PHP2Shell". Para peneliti dilaporkan menggunakan model OpenAI canggih untuk memahami cara memanfaatkannya, setelah selama bertahun-tahun membuat para ahli bingung. Berikut artinya dalam bahasa sehari-hari, dan apa yang harus Anda lakukan sebelum seseorang memanfaatkannya pada Anda. PHP adalah mesin yang diam-diam menjalankan situs WordPress, toko online, portal pemerintah, halaman pembayaran, dan banyak situs proyek kripto. Sekitar 7 dari 10 situs web di mana bahasa servernya diketahui berjalan di atasnya. Kedua kelemahan ini berada di dalam PHP itu sendiri, bukan di situs yang dibangun di atasnya. Penyerang mengirim permintaan yang tepat dan dapat menjalankan perintah mereka sendiri di server. Dari sana, mereka bisa mencuri data pelanggan, memasang malware, menonaktifkan situs, atau menggunakan server tersebut sebagai pintu masuk ke seluruh jaringan lainnya. Bagian AI adalah cerita sebenarnya, dan ini analisis saya. Jika AI bisa mengubah bug lama menjadi serangan yang berfungsi, jarak antara penemuan dan kerusakan menjadi jauh lebih singkat. Otoritas memperlakukannya demikian. FBI dilaporkan mendesak situs-situs yang tidak bisa diperbaiki untuk offline, dan satu otoritas siber nasional memberi setiap lembaga pemerintah 7 hari untuk memperbaikinya dan melaporkan kembali. Jika Anda hanya menjelajah web, mengunjungi situs PHP tidak berarti Anda diretas. Risiko nyata adalah data pribadi Anda yang tersimpan di situs-situs yang belum diperbaiki. Bagi pengguna kripto, situs proyek yang diretas tidak perlu menyentuh dompet Anda secara langsung. Cukup dengan mengganti satu skrip, sehingga tombol "hubungkan dompet" yang Anda percayai mengarah ke kode yang dirancang untuk mengosongkan akun Anda. Perbaikan sudah tersedia. Proyek PHP telah merilis versi yang diperbaiki: 8.2.35 8.3.36 8.4.27 8.5.12 Jika Anda menjalankan situs web, berikut daftar periksa: 1. Temukan semua situs dan server yang menjalankan PHP, termasuk yang dikelola oleh host atau pengembang Anda untuk Anda. 2. Perbarui PHP itu sendiri ke versi yang diperbaiki dan mulai ulang. Pembaruan tema atau plugin saja tidak berarti apa-apa di sini. 3. Jika Anda tidak bisa memperbaiki hari ini, matikan situs hingga Anda bisa. 4. Periksa log, akun admin tidak dikenal, dan file yang diubah untuk mencari tanda-tanda seseorang sudah masuk sebelumnya. 5. Dapatkan konfirmasi tertulis dari host atau pengembang Anda bahwa patch sudah aktif. Dan abaikan pesan apa pun yang menawarkan "pembaruan keamanan PHP" atau meminta kata sandi dan pembayaran. Patch asli tidak pernah datang melalui DM Anda. AI baru saja membuat jarak antara bug tersembunyi dan serangan aktif lebih pendek daripada waktu yang biasa diambil sebagian besar perusahaan untuk memperbaikinya. Yang masih menunggu sudah terlambat.