Agensi keselamatan siber Amerika Syarikat, CISA, telah mengesahkan bahawa perompak sedang secara aktif memanfaatkan dua kelemahan keselamatan serius dalam perisian web PHP yang digunakan secara meluas, dan telah memerintahkan agensi awam peringkat persekutuan di Amerika Syarikat untuk membaiki sistem mereka dalam tempoh tiga hari ke depan.
Pemberitahuan pampasan kecemasan ini dikeluarkan kurang daripada seminggu selepas pihak pengekalan bahasa pengaturcaraan web PHP yang lama mengeluarkan pembaikan bagi dua lubang keamanan ini. Lubang-lubang ini membolehkan perompak menyerang sistem yang rentan secara jarak jauh melalui internet tanpa kata laluan. Laporan menunjukkan bahawa perisian PHP digunakan oleh kira-kira 70% pelayan berorientasikan web, menjadikan ramai laman web dan aplikasi terdedah kepada risiko. Keparahan lubang keamanan ini telah mendorong beberapa kerajaan dan syarikat besar untuk menarik balik laman web mereka bagi tujuan pembaikan.
Walaupun lubang keamanan ini dinilai "serius", bermakna ia boleh menyebabkan kerosakan besar sekiranya dimanfaatkan, penyelidik keselamatan menyatakan bahawa pada awalnya sukar untuk membangunkan serangan yang boleh digunakan—tetapi bukan mustahil. Kini dengan pengesahan serangan sebenar, ia memberikan tekanan yang lebih besar kepada pelbagai institusi untuk membaiki sistem mereka secepat mungkin bagi mencegah penyusupan jahat, gangguan perkhidmatan, dan kebocoran data.
CISA tidak memberikan butiran mengenai siapa yang memanfaatkan kelemahan tersebut dalam pernyataan pada hari Isnin, tetapi sebelum pernyataan itu dikeluarkan, penyelidik keselamatan sebelum ini menyatakan bahawa mereka menemui bukti bahawa kelemahan PHP sedang dimanfaatkan.
Kerentanan yang dikenal sebagai PHP2Shell memanfaatkan kelemahan dalam perisian yang tidak ditemukan selama bertahun-tahun. Ia pertama kali ditemukan dua tahun lalu, tetapi yayasan bukan keuntungan yang bertanggung jawab atas pemeliharaan perisian tersebut pada masa itu menyatakan bahawa perompak tidak mempunyai cara yang praktikal untuk memanfaatkannya, oleh itu tiada pembaikan dilakukan. Hingga awal tahun ini, penyelidik dari syarikat keselamatan CaliF berjaya menemui cara memanfaatkan dua kerentanan jangka panjang ini dengan bantuan model AI.
Dua kelemahan ini dalam PHP hanyalah sebahagian daripada ribuan kelemahan yang belum ditemui atau telah ditangguhkan keutamaannya selama bertahun-tahun; dengan peningkatan kemampuan model AI dalam mengesan dan memanfaatkan kelemahan, termasuk melalui penggabungan beberapa kecacatan, kelemahan-kelemahan ini kini juga membawa risiko.
PHP adalah salah satu teknologi web lama yang menyokong operasi internet dan teknologi moden, tetapi selama bertahun-tahun ia kekurangan sumber dan pendanaan, menjadikan projek open-source seperti PHP sukar menanggung pemeriksaan keselamatan yang sepatutnya dapat mengesan kelemahan lebih awal.