Celah Kritis PHP Ditemukan dengan AI, NSA Minta Situs Segera Ditambal

CIANJUR.CO - Dua celah kritis pada PHP memicu peringatan serius dari Badan Keamanan Nasional Amerika Serikat (NSA). Dalam peringatan yang disampaikan pada Rabu, NSA menyebut kerentanan tersebut dapat membuka jalan bagi penyerang untuk masuk ke sistem berkas server atau basis data yang digunakan aplikasi web. PHP Foundation telah menerbitkan tambalan untuk mengatasi masalah itu.

Menurut laporan TechCrunch AI, rekomendasi NSA tidak hanya meminta pengelola situs memasang pembaruan secepatnya. Jika sebuah situs belum dapat ditambal segera, NSA menyarankan agar situs tersebut ditarik sementara dari internet sampai pembaruan bisa diterapkan. Langkah itu dinilai perlu karena celah dapat mengancam server yang menjalankan aplikasi web, bukan semata-mata tampilan halaman yang dilihat pengunjung.

Risiko tersebut menjangkau banyak layanan daring karena PHP merupakan bahasa pemrograman sisi server yang digunakan secara luas. Bahasa ini menopang sekitar 70 persen situs web di internet. Menurut sejumlah perkiraan, jumlahnya melampaui 33 juta situs. PHP juga digunakan oleh sistem manajemen konten populer, termasuk WordPress.

Kerentanan itu disebut telah berada di dalam berbagai versi PHP sejak versi 5, yang dirilis pada 2004. Artinya, masalahnya berumur panjang dan tersebar pada perangkat lunak yang digunakan banyak situs. Namun, situs yang masih memakai versi lama memiliki pekerjaan pembaruan lebih besar, terutama jika versinya sudah tidak memperoleh dukungan.

Baca juga: Blacksmith Raih Valuasi US$1 Miliar Usai Pendanaan Seri C

PHP 8.1 dan versi yang lebih lama tidak lagi didukung. Rekomendasi yang disampaikan adalah memperbarui server web ke versi PHP terkini, yakni 8.5.12. Dengan demikian, pengelola situs perlu memperhatikan versi PHP yang berjalan pada servernya dan tidak menganggap pembaruan aplikasi web saja sudah cukup untuk mengatasi masalah.

AI membantu menemukan kerentanan lama

Penemuan celah yang telah tersembunyi selama puluhan tahun itu melibatkan kecerdasan buatan. Perusahaan pengujian keamanan Calif berpartisipasi dalam inisiatif OpenAI bernama “Patch the Planet”, yang ditujukan untuk menemukan kelemahan pada perangkat lunak sumber terbuka. Dalam proses tersebut, Calif menggunakan GPT-5.6 Sol dan menemukan salah satu celah. OpenAI kemudian mengungkapkan temuan itu melalui sebuah tulisan blog.

Secara terpisah, tim Wiz juga memakai AI untuk memeriksa PHP dan menemukan beberapa kerentanan. Perangkat yang digunakan mencakup agen keamanan AI Wiz Atlas, Gemini 4 Argon, dan GPT-5.6 Sol. Dengan demikian, temuan dari Calif dan OpenAI bukan satu-satunya jalur yang mengungkap masalah tersebut; penelitian Wiz turut menambah temuan kerentanan.

Baca juga: Blackstone Nilai Kekhawatiran Utang Infrastruktur AI Berlebihan

OpenAI dan Wiz, menurut laporan itu, mengikuti praktik penelitian keamanan yang bertanggung jawab. Keduanya bekerja bersama PHP sebelum mengumumkan kerentanan kepada publik, sehingga tambalan dapat disiapkan terlebih dahulu. Setelah itu, para pihak bekerja sama menelaah temuan dan menguji pembaruan yang dibuat. Proses pengembangan dan pengujian tersebut juga melibatkan sejumlah organisasi lain.

Wiz menyampaikan apresiasi kepada Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft, dan Vercel atas keterlibatan mereka. Sejumlah perusahaan dan organisasi itu disebut dalam konteks kerja bersama untuk menindaklanjuti temuan dan tambalan.

WordPress juga mengeluarkan pernyataan bahwa celah tersebut bukan kerentanan yang khusus berasal dari WordPress. Meski situs WordPress menggunakan PHP, masalahnya berada pada PHP yang berjalan di server. Karena itu, situs yang memakai sistem manajemen konten tersebut tetap perlu menambal servernya dan bekerja dengan perusahaan hosting web untuk memastikan perlindungan diterapkan.

Baca juga: TechCrunch Founder Summit 2026 Digelar 4 November di Boston

Risiko meningkat setelah celah diumumkan

OpenAI menyatakan para peneliti menemukan celah tersebut sebelum peretas mengetahuinya. Tidak ada laporan bahwa kerentanan itu telah dieksploitasi di dunia nyata. Namun, keadaan sebelum pengumuman juga dipengaruhi oleh tingkat kesulitan eksploitasi: sebelum AI digunakan, celah tersebut terlalu sulit dimanfaatkan oleh peretas.

Wiz memperingatkan bahwa kemampuan AI mengubah situasi itu. “Dengan AI ini bukan lagi penghalang,” tulis Wiz dalam penjelasan mengenai kerentanan tersebut. Menurut perusahaan itu, model bahasa besar dapat membantu menyesuaikan eksploitasi dengan berbagai versi PHP, konfigurasi, dan tata letak memori. Dengan kata lain, AI berperan dalam menemukan dan mencegah masalah, tetapi pada saat yang sama dapat menurunkan hambatan bagi pihak yang ingin mengeksploitasinya.

Setelah kerentanan diumumkan, informasi teknis tentang celah tersebut telah diketahui publik, termasuk oleh pihak yang berniat menyerang. Karena itu, perhatian kini tertuju pada kecepatan pengelola situs memperbarui PHP. Ada puluhan juta situs yang perlu diamankan, sementara situs yang belum ditambal berisiko menjadi sasaran. Imbauan NSA untuk menonaktifkan situs yang belum bisa diperbarui mencerminkan mendesaknya perlindungan tersebut.