Pada hari Rabu, teknologi rangkaian sumber terbuka PHP yang telah wujud selama beberapa dekad hampir membuat internet lumpuh, disebabkan dua lubang keamanan yang baru ditemui cara pemanfaatannya oleh penyelidik selepas tidur selama bertahun-tahun.
Kedua kelemahan ini dikenal sebagai PHP2Shell, dengan nombor rasmi CVE-2026-109618 dan CVE-2026-109619. Secara ringkas, kelemahan ini membolehkan sesiapa sahaja yang tahu cara memanfaatkannya untuk menyusup ke sistem dalam talian yang menjalankan PHP, seperti laman web atau pelayan yang terbuka ke internet, tanpa memerlukan kata laluan, serta mengakses atau mengubah data di dalamnya.
Dari segi keparahan kejadian ini, insiden tersebut sangat besar, memaksa jutaan orang di seluruh dunia untuk segera memperbaiki sistem sebelum peretas jahat memanfaatkannya.
PHP Foundation yang bertanggung jawab atas pemeliharaan perisai jaringan PHP telah mengeluarkan pampasan pembaikan secara awal pada hari Rabu, yang apabila dipasang akan menghalang pelayan berbasis web daripada diserang. Sebelum ini, asas ini telah memberikan akses awal kepada pampasan tersebut kepada beberapa syarikat internet dan penyedia hos laman web terbesar yang bergantung kepada PHP.
Berdasarkan komunikasi latar belakang selama beberapa minggu dan koordinasi berhati-hati dalam industri, keseluruhan dunia telah berjaya mengelakkan penggunaan besar-besaran internet. Sejak Rabu, kerajaan-kerajaan telah mendesak rakyat dan perusahaan yang memiliki laman web untuk mengambil tindakan mengurangkan risiko mereka. Bank, pengecer, laman web permainan, kedai dalam talian, hospital, dan beberapa agensi kerajaan telah menutup pelayan mereka untuk mencegah serangan.
Namun, penyelidik keselamatan memperingatkan bahawa perkara ini belum berakhir, dan masih terdapat banyak sistem di seluruh dunia yang belum dipatch dan masih rentan terhadap serangan dan pencurian data.
Ini juga kemungkinan besar bukan krisis perisian internet besar terakhir. Sesetengah orang menganggap bahawa kemunculan kecerdasan buatan akan dengan cepat mengesan lebih banyak lubang kelemahan yang belum diiktiraf, menunggu untuk ditemui dan disalahgunakan.
What happened?
Penyelidik keselamatan dari Calif menemukan dua kelemahan dalam PHP. PHP adalah bahasa pengaturan yang digunakan secara meluas di seluruh dunia untuk membina laman web dan aplikasi web, digunakan baik di internet mahupun sistem yang dihos secara tempatan dalam rangkaian syarikat, seperti intranet dan laman web dalaman.
Kedua kelemahan ini pertama kali ditemukan pada tahun 2024, tetapi pada masa itu tidak dianggap boleh dimanfaatkan, oleh itu tidak diperbaiki. Para penyelidik keselamatan baru-baru ini menemukan cara untuk memanfaatkannya, dan seterusnya meminta pihak pembangun perisian untuk memperbaikinya secepat mungkin.
Calif memberitahu PHP Foundation, yang kemudian memulakan pembaikan lubang keamanan dan mengkoordinasikan pengumuman. Foundation memberikan maklumat dan pampasan dalam tempoh kerahsiaan yang ketat—iaitu mengekalkan kerahsiaan sebelum tarikh akhir tertentu—untuk memberi peluang kepada syarikat besar memasang pampasan terlebih dahulu.
Mengapakah lubang keamanan ini begitu serius?
PHP2Shell serius kerana ia boleh disalahgunakan secara jauh melalui internet, dan mangsa tidak perlu mengklik pautan atau membuka fail. Ini dikenali sebagai eksekusi kod jauh, salah satu jenis lubang keamanan paling merosakkan, kerana ia memungkinkan penyerang di mana-mana di dunia mengawal hampir sepenuhnya sistem yang terjejas dan tidak diperbaiki.
Lebih buruk lagi, kelemahan PHP tertentu ini membolehkan penyerang mengakses sebarang sistem yang tidak diperbaiki melalui internet tanpa kata laluan atau kredensial lain, dikenali sebagai akses tanpa pengesahan.
Ini akan membolehkan perompak jahat memasang perisian jahat ke dalam komputer, contohnya untuk mencuri data, atau sekadar untuk mengekalkan kedudukan jangka panjang supaya boleh kembali pada masa akan datang.
Mengapa 70% laman web terkesan?
PHP hanyalah salah satu daripada banyak teknologi lama yang masih berfungsi dengan baik, teknologi-teknologi ini telah melalui berbagai perubahan dan generasi internet, kini sudah tersebar luas, hampir seperti lem yang menyokong sebahagian besar operasi internet. Sering kali, alat-alat ini dibangunkan oleh penyelenggara open source yang tidak dibayar untuk kerja mereka, oleh itu mereka tidak mampu membiayai audit keselamatan pihak ketiga—namun perusahaan masih bergantung secara meluas pada projek-projek ini tanpa memberikan sokongan pembiayaan.
Were these vulnerabilities discovered by artificial intelligence?
Penyelidik keselamatan dari Calif diberi pengiktirafan kerana menemui kelemahan ini semasa audit keselamatan terhadap kod PHP pada awal tahun ini. Calif terlibat dalam inisiatif Hack the Planet yang dianjurkan oleh OpenAI dan raksasa keselamatan awan Wiz, yang kemudian mengesahkan kod pemanfaatan bukti konsep yang dibuat oleh Calif.
Dalam artikel penjelasan Calif (yang juga dilengkapi dengan komik—hebat dan patut dilihat), penyelidik menjelaskan bahawa kecerdasan buatan digunakan untuk membantu memanfaatkan lubang keamanan tersebut, tetapi sebahagian besar kerja masih bergantung pada pengetahuan yang sudah ada oleh penyelidik, serta kefahaman mereka terhadap kod base PHP dan sejarah pemanfaatan lubang tersebut.
Calif menulis: "Tidak ada model yang boleh secara langsung menggali 'semua kelemahan' hanya dengan petunjuk sederhana. Setidaknya, belum lagi."
Mengapa lubang keamanan ini telah dimanfaatkan sebelum diumumkan?
Walaupun pihak-pihak berusaha menjaga kerahsiaan butiran lubang keamanan hingga Rabu, kelihatan bahawa eksploitasi PHP2Shell telah berlaku sebelum pemasangan pemaik.
Disebabkan skala besar dan visibiliti yang sangat tinggi, Amazon memiliki wawasan besar terhadap ancaman maya. Dalam satu artikel blog, syarikat tersebut menyatakan bahawa ia mengesan tanda-tanda pemanfaatan PHP2Shell sekitar seminggu sebelum pampasan PHP dikeluarkan, yang menunjukkan bahawa seseorang di suatu tempat telah mengetahui cara memanfaatkannya sebelum butiran lubang keamanan itu diumumkan secara meluas. Amazon menyatakan bahawa masih belum jelas bagaimana perompak mengetahui lubang-lubang tersebut, tetapi pihak pertahanan harus mengkaji semula dari 17 Oktober untuk mencari bukti pemanfaatan.
Terdapat beberapa versi mengenai peristiwa tersebut. Sekali lubang keamanan diperbaiki, butiran pembaikan mungkin segera menjadi jelas, terutama dalam kod sumber terbuka seperti PHP, di mana sesiapa sahaja boleh melihatnya secara awam. Memanfaatkan lubang ini mungkin tidak mudah, tetapi mengetahui di mana lubang berada dan bagaimana ia diperbaiki mungkin membantu peretas jahat menentukan sasaran serangan dan memanfaatkan kod eksploitasi.
Mungkin juga terdapat kebocoran di suatu tempat semasa larangan berlaku, atau komunikasi terputus. Komuniti sumber terbuka berskala besar, dan pengawalan maklumat dengan cara ini bergantung pada integriti dan kerjasama semua pihak.
Selain itu, mungkin juga peretas telah menemukan kelemahan ini secara terpisah sebelumnya, atau memperoleh maklumat mengenainya melalui aktiviti penyadapan.
Para penyelidik menyatakan bahawa untuk menjadikan kelemahan ini benar-benar boleh dimanfaatkan memerlukan usaha yang besar; senjatakan kelemahan ini sentiasa menjadi cabaran—tetapi bukan mustahil—yang menjelaskan mengapa kita belum lagi melihat skenario pemanfaatan berskala besar.
Internet mengalami gangguan besar-besaran, tetapi sedang pulih. Adakah kita mengelakkan situasi terburuk?
Masih terlalu awal untuk membuat kesimpulan, tetapi tiada tanda penggunaan besar-besaran pada masa ini, yang merupakan isyarat yang menggalakkan—namun kita belum sepenuhnya keluar dari zon bahaya.
Pengasas dan CEO syarikat keselamatan siber dan pemantauan, Cloudflare, Matthew Prince, mengatakan minggu ini bahawa syarikat itu melihat bilangan percubaan pemanfaatan lubang keamanan meningkat secara eksponen selepas pengumuman lubang tersebut. Ini juga menunjukkan sejauh mana penyerang jahat berusaha memanfaatkan kelemahan ini untuk keuntungan mereka.
PHP tidak hanya digunakan untuk pelayan web, tetapi juga untuk alat pembangunan, pakej baris arahan dan terminal, serta komponen perisian lain yang digunakan oleh penghala, peranti penyimpanan, dan peranti keselamatan perusahaan (seperti firewall dan VPN).
Diharapkan pemanfaatan PHP2Shell akan terus muncul seterusnya, kerana pasukan IT yang lebih kecil dan pembangun bebas mungkin memperbaharui dengan lebih perlahan. Sementara itu, banyak syarikat yang mengintegrasikan PHP ke dalam produk dan perisian mereka sendiri juga perlu memperbaharui, yang akan mengalami tempoh peralihan.
Seiring dengan semakin banyak peranti dan sistem yang diperbaharui, permukaan serangan akan berkurang secara beransur-ansur. Namun, kesan berantai kelemahan ini masih mungkin berterusan selama bertahun-tahun, terutama dalam sistem warisan yang tidak boleh diperbaharui.
Apakah keadaan ini akan berlaku lagi?
Dalam tahun-tahun saya bekerja sebagai jurucakap keselamatan, ini adalah hari yang jarang berlaku dan mampu menghentikan internet. Pada 2016, botnet besar menyerang Dyn, agensi pendaftaran internet, dengan serangan trafik sampah yang menyebabkan perkhidmatan laman web utama hampir terhenti. Pada 2017, Korea Utara menggunakan alat peringkas kerajaan AS yang bocor untuk menginfeksi sistem kesihatan British dan melepaskan perisian tebusan. Pada 2024, kemas kini CrowdStrike yang gagal menyebabkan gangguan besar-besaran secara global, membuatkan kebanyakan komputer Windows di seluruh dunia gagal serentak.
Dari segi mana pun, Internet terhindar daripada hari yang mungkin sangat menyakitkan dan merosakkan berkat PHP2Shell. Namun, ini kemungkinan besar bukanlah peristiwa besar terakhir yang akan mempengaruhi rangkaian di masa depan, dan ini mungkin merupakan permulaan serangkaian peristiwa yang memanfaatkan kelemahan teknologi warisan. Sebahagian besar kerana perisian lama tetapi meluas ini memiliki kelemahan intrinsik yang belum ditemui, ditambah lagi dengan alat-alat kecerdasan buatan yang menjadikan pengesanan lubang keamanan lebih mudah.
PHP dan bahasa serta teknologi pemrograman web lainnya yang berasal daripada beberapa dekad lalu adalah perisian "tidak selamat dari segi memori", yang bermaksud ia boleh menjadi sasaran serangan kesenangan laluan yang menyebabkan perisian bocor atau meluapkan data sensitif dari penyimpanan memori. Agensi Keselamatan Nasional Amerika menyatakan bahawa sekitar 75% daripada laluan yang sedang dimanfaatkan secara aktif memanfaatkan kelemahan berkaitan memori, iaitu, perompak sering menggunakan laluan semacam ini.
Ini mendorong industri beralih kepada bahasa yang selamat dari segi memori, seperti Python, Rust, dan Swift, yang tidak mudah disalahgunakan seperti lubang memori. Oleh itu, bahasa-bahasa ini sebahagian besar kebal terhadap banyak lubang yang masih mempengaruhi pendahulu mereka.
Namun, ini masih meninggalkan sebahagian besar internet yang menjalankan PHP, media dan codec video, pustaka pemampatan, dan perisian lain yang berusia puluhan tahun—dan apabila teknologi ini bermasalah, ia akan memberi kesan besar keseluruhan rangkaian.