Telset.id – OpenAI mengumumkan pada 21 Oktober 2026 bahwa peneliti di bawah inisiatif keamanan siber “Patch the Planet” menggunakan model AI GPT-5.6 Sol untuk menemukan kerentanan keamanan kritis pada PHP, bahasa pemrograman open-source yang menjalankan sekitar 70% internet. Temuan ini menjadi salah satu penemuan keamanan siber terbesar sepanjang 2026 karena PHP digunakan hampir di seluruh situs web dunia.
Setelah penemuan tersebut, OpenAI mengoordinasikan koalisi peneliti, pengelola PHP, penyedia keamanan, dan lembaga keamanan siber pemerintah untuk memperbaiki masalah itu selama dua bulan. Perusahaan menyebut durasi perbaikan yang panjang disebabkan kompleksitas tugas yang menuntut perubahan besar pada mesin PHP.
PHP Foundation telah merilis versi yang sudah ditambal, yaitu PHP 8.2.35, 8.3.36, 8.4.27, dan 8.5.12. Sementara itu, PHP 8.1 dan versi yang lebih lama tidak akan menerima perbaikan resmi. OpenAI menyatakan setiap situs yang menggunakan PHP kini dapat dengan aman meningkatkan versinya agar tetap terlindungi.
Kronologi Audit dan Dua Kerentanan Kritis
Sebagai bagian dari program Patch the Planet, peneliti dari Calif, perusahaan keamanan siber asal California yang menjadi mitra pendiri program, mulai mengaudit PHP menggunakan alat OpenAI pada 30 Juli 2026 atas permintaan PHP Foundation. Yayasan tersebut sebenarnya telah mengetahui cacat mendasar itu sejak 2024, tetapi belum bisa mengidentifikasi metode eksploitasi maupun solusinya.
Peneliti Calif bernama Ryan A. menjadi yang pertama mengidentifikasi kerentanan yang dapat dieksploitasi pada 11 Agustus, disusul peneliti OpenAI di hari yang sama. Setelah itu, perusahaan keamanan siber Wiz secara independen menemukan kerentanan tambahan. Kedua kerentanan tercatat sebagai CVE-2026-109618 dan CVE-2026-109619.
Kerentanan pertama muncul ketika PHP kehabisan memori yang dialokasikan saat memproses permintaan, sehingga berpotensi meninggalkan data internal yang tidak lengkap dan kemudian dianggap valid oleh mesin. Kerentanan kedua berkaitan dengan masalah serupa ketika kesalahan fatal membuat PHP menunjuk ke memori yang sudah dibebaskan, sehingga permintaan berikutnya dapat mengakses atau merusaknya.
Dalam kondisi tertentu, penyerang dapat mengeksploitasi kelemahan ini dari jarak jauh tanpa memerlukan kredensial login untuk mengeksekusi kode berbahaya di server yang terdampak, bahkan berpotensi mengambil kendali atas situs web. Menggunakan AI, para peneliti juga mendemonstrasikan bahwa celah tersebut dapat membocorkan informasi sensitif yang tersimpan di memori server, termasuk kata sandi, token autentikasi, dan kunci API.
Yang paling mengkhawatirkan, kerentanan ini berada di mesin inti PHP, sehingga situs web dapat terdampak meski kode aplikasinya tidak memiliki cacat keamanan. Kedua kerentanan mendapat skor keparahan kritis 9,2 dari 10.
Baca Juga:
OpenAI menyebut pengembang manusia dan tim keamanan telah memeriksa kode mendasar tersebut tetapi tidak dapat sepenuhnya menyelesaikan cacat itu, sehingga kerentanan bertahan selama dua tahun setelah ditemukan. Sementara itu, peneliti bersenjata AI mendemonstrasikan cara praktis mengeksploitasinya dalam waktu dua minggu.
Konsep Defender’s Window dan Perdebatan
OpenAI menyoroti insiden ini sebagai contoh konsep Defender’s Window dalam praktik. Konsep tersebut diperkenalkan perusahaan setelah model-modelnya meretas Hugging Face, dan menggambarkan periode kritis yang sempit ketika organisasi dapat memanfaatkan model AI frontier canggih untuk menemukan, menambal, dan memperkuat pertahanan keamanan siber mereka sebelum kemampuan serangan berbasis AI yang sama tersedia luas bagi aktor ancaman jahat.
Rilis terkoordinasi awalnya dijadwalkan pada 22 Oktober, tetapi dimajukan ke 21 Oktober menyusul pengungkapan prematur pada 20 Oktober yang memicu reaksi publik. Di sisi lain, muncul argumen bahwa celah tersebut tidak akan pernah dapat dieksploitasi tanpa AI, sehingga secara efektif tidak berbahaya.
OpenAI menantang pandangan itu melalui konsep Defender’s Window. Perusahaan berargumen bahwa teknologi kuat dan revolusioner akan selalu digunakan oleh aktor jahat, sehingga menjadi tanggung jawab kolektif untuk bertindak proaktif mengatasi potensi celah yang dapat dieksploitasi.
Insiden ini melengkapi rangkaian temuan keamanan berbasis AI sepanjang 2026. Sebelumnya, ribuan agen AI OpenAI juga digunakan untuk meneliti otak tikus dalam 32 menit, sementara Anthropic melalui Claude Mythos mengidentifikasi ribuan kerentanan zero-day di berbagai sistem operasi dan peramban web utama.
Dengan dirilisnya PHP 8.2.35, 8.3.36, 8.4.27, dan 8.5.12, pengguna PHP 8.1 ke atas diimbau segera melakukan pembaruan. Situs yang masih berjalan di PHP 8.1 atau versi lebih lama tidak akan mendapat perbaikan resmi dan tetap terbuka terhadap risiko eksekusi kode berbahaya dari jarak jauh.
Komentar
Belum ada komentar.