Celah Keamanan PHP Temuan AI Runtuhkan Situs

Beritagosip.com – Dua celah keamanan PHP yang ditemukan dengan bantuan AI mengancam jutaan situs web dunia. Banyak situs bahkan memutuskan menutup layanannya sementara demi mencegah pembobolan.

PHP merupakan bahasa pemrograman di balik sebagian besar situs selama lebih dari 30 tahun. CMS populer seperti WordPress, Drupal, Joomla, dan Magento memakai teknologi ini.

Sekitar 70 persen situs di internet menggunakan PHP, sehingga layanan pemerintah, toko online, bank, hingga Wikipedia dan Facebook ikut terancam.

Kerentanan PHP2Shell

Dua kerentanan yang ditemukan adalah CVE-2026-109618 dan CVE-2026-109619. Keduanya bekerja pada sistem manajemen memori dan error handling, berisiko merusak memori situs lalu membuka jalur langsung ke sistem file atau database server.

Para pakar menjuluki eksploitasi ini PHP2Shell. Celah tersebut memungkinkan peretas mengambil alih server lewat remote code execution (RCE) tanpa autentikasi, lalu mencuri data-data sensitif. Memperbaiki kerusakannya pun sangat sulit.

PHP Foundation mengumumkan laporan celah keamanan PHP ini pada Rabu (21/10) lewat rilis keamanan. Mereka menyediakan versi terbaru PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 untuk menutup celah tersebut.

Sebelumnya, para pakar dan pengembang sempat merahasiakan temuan itu. Namun rumor telanjur tersebar di forum media sosial, sehingga mereka segera mengumumkannya dan menyarankan penutupan akses web sementara sampai patch rampung.

Situs lembaga pemerintah di Amerika, Inggris, Prancis, Belanda, Kanada, Jepang, Jerman, dan hampir seluruh dunia pun memilih nonaktif sementara untuk mencegah pembobolan.

“Pelaku ancaman bergerak cepat, terutama dengan bantuan AI, dan ini (PHP2Shell) kemungkinan akan menjadi target prioritas mereka dalam beberapa jam dan hari mendatang,” kata pakar keamanan siber Sophos Counter Threat Unit, Don Smith.

Peran AI di Balik Temuan

Sejak awal 2026, para peneliti memakai AI untuk memindai kode PHP, termasuk lewat model Anthropic dan program Patch the Planet dari OpenAI. Temuan itu muncul bersamaan dengan laporan Ryan A dari Calif pada pertengahan Agustus.

Situasinya makin pelik karena PHP Foundation hanya punya 13 engineer inti, sementara AI bekerja jauh lebih cepat berkat miliaran dolar investasi global. Lembaga siber seperti NSA, NCSC, dan FBI mendesak pengelola situs segera patch atau mematikan layanan bila belum bisa.