Telset.id – OpenAI melalui model GPT 5.6-Sol menemukan kerentanan kritis pada PHP, bahasa pemrograman open-source yang menopang sekitar 70% situs web di internet. Temuan ini diungkap pada 19 Oktober 2026, dan hingga kini sekitar 29 juta layanan PHP masih belum ditambal. Kerentanan tersebut memungkinkan eksekusi kode jarak jauh (remote code execution) bagi penyerang yang mengetahui versi dan build PHP secara persis, sehingga skala dampaknya sangat luas.
Yang membuat situasi ini kian serius, sebanyak 73% instalasi PHP yang aktif di internet saat itu menjalankan versi end-of-life tanpa dukungan aktif. Angka pertama yang dirilis menyebut sekitar 45,7 juta instalasi rentan dari total 119 juta. Per 29 Oktober 2026, jumlah layanan yang belum ditambal turun menjadi sekitar 29 juta, dengan laju tambal sekitar 1 juta per hari. Namun angka riil sulit dipastikan karena 62% server PHP yang dipantau Censys tidak lagi melaporkan nomor versinya sama sekali.
Akar Masalah dan Skala Dampak
Kerentanan ini berakar pada keputusan arsitektural lama di mekanisme penanganan error mesin PHP. Ketika proses PHP kehabisan memori, sistem memanggil fungsi C longjmp() yang langsung memindahkan eksekusi ke tempat lain. Jika lompatan terjadi saat membangun struktur data, sisa data setengah jadi tetap tertinggal di memori heap. Ketika mesin PHP berpindah ke mekanisme cleanup-end-exit, kode tersebut mengeksekusi data yang tidak konsisten. Dengan injeksi konten yang tepat lewat permintaan web, mekanisme ini bisa dieksploitasi untuk menjalankan kode apa pun sesuai izin PHP, seperti ditunjukkan oleh eksploit PHP2Shell.
PHP Foundation dalam post-mortem mengakui timnya sudah mengetahui masalah ini dua tahun lalu, tetapi tidak langsung melihatnya sebagai ancaman serius. Mereka sempat bolak-balik menentukan cara perbaikan terbaik agar tetap kompatibel dengan ekstensi pihak ketiga. Pengakuan ini mencuatkan persoalan klasik: perangkat lunak open-source yang krusial bagi komputasi modern justru minim tenaga. Proyek PHP hanya memiliki satu karyawan penuh waktu dan 14 kontraktor paruh waktu.
Baca Juga:
Skala paparan membuat kerentanan ini makin berbahaya. Puluhan juta server rentan, banyak di antaranya menjalankan versi yang sama persis. Setelah kerentanan dipublikasikan, banyak sysadmin menonaktifkan pelaporan nomor versi PHP agar tidak memudahkan penyerang. Eksekusi remote shell memang menuntut penyerang mengetahui versi dan build PHP secara tepat, jadi bukan sekadar menekan tombol “Hack”. Namun radius ledakan yang luas tetap membuat siapa pun waspada.
Proses Tambal dan Opsi Mitigasi
Proses tambal standar terbilang sederhana, cukup pembaruan point update dan mungkin restart sebagian layanan. Cabang PHP yang masih dirawat saat ini adalah 8.1 hingga 8.5. Namun sysadmin jarang memasang PHP secara langsung, mereka bergantung pada distribusi Linux atau repositori komunitas untuk paket terbaru. Di sinilah 73% situs yang masih memakai PHP 7 terjepit. Ketika PHP beralih dari 7.4 ke 8.0 pada akhir 2020, ada sejumlah perubahan bahasa yang meski minor tetap menuntut revisi kode.
Karena PHP Foundation menerbitkan patch source code untuk 7.4 hingga 8.1, siapa pun bisa menyusun patch untuk versi lebih lama. Banyak pihak melakukannya. Paket untuk Debian/Ubuntu tersedia dari Ondřej Surý, mencakup PHP 5.6 hingga 8.1. CloudLinux dan AlmaLinux juga menghasilkan perbaikan backport. Dukungan berbayar seperti Ubuntu Pro dan Zend merilis paket untuk versi PHP yang sangat lama, hingga 5.5. Sebagai gambaran, PHP 7.3 dirilis 2018, sementara hampir 8% instalasi PHP masih memakai versi 5.x yang muncul pada 2005. Sejumlah perangkat jaringan, NAS, dan perangkat sejenis juga membawa PHP di dalamnya dan perlu pembaruan, seperti yang diumumkan Palo Alto Networks untuk produk berbasis PanOS.
Selain tambal, ada sejumlah cara mitigasi lain. Web application firewall (WAF) seperti Immunify360 dapat memblokir permintaan berbahaya sebelum mencapai server. Content delivery network (CDN) seperti Cloudflare atau Fastly menawarkan opsi menambahkan WAF, dan keduanya langsung menerbitkan pemberitahuan serta menambahkan deteksi PHP2Shell ke ruleset masing-masing. Suite keamanan level server seperti CrowdStrike juga bisa mendeteksi dan memblokir aktivitas berbahaya dari biner PHP itu sendiri. Perbaikan yang tepat tetap memperbarui ke versi PHP yang sudah ditambal.
Hingga 29 Oktober 2026, eksploit PHP2Shell masih berlangsung. BitSight mencatat banyak upaya intrusi dari berbagai asal berbeda di armada pemantauannya. Sleuth forum dark web BitSight mengindikasikan belum ada paket eksploit seragam pada tanggal itu, sehingga kampanye peretasan cenderung bertarget spesifik. Namun paket satu klik yang lebih dalam diperkirakan akan muncul. Setidaknya ada satu kasus menonjol yang merangkai kerentanan PHP dengan Fragnesia (alias Dirty Frag) untuk mendapatkan akses level kernel ke 25 server yang tampaknya terkait pemerintah Amerika Serikat.
Sejumlah firma keamanan siber memantau progres penambalan sejak pengungkapan 19 Oktober. Censys menyediakan tampilan real-time yang diperbarui tiap jam. Angka awal memperkirakan 45,7 juta instalasi rentan dari 119 juta total, dan jumlah layanan belum ditambal turun ke sekitar 29 juta. Perlu dicatat, backport perbaikan bisa saja tidak mengubah nomor versi, sehingga instalasi tersebut tetap terhitung belum ditambal. Ditambah 62% server yang tak melaporkan data versi, total sebenarnya tak bisa dipastikan.
Bagi pengguna dan pengelola situs, langkah paling realistis adalah memastikan PHP sudah berada di cabang yang dirawat, memantau paket dari distribusi atau repositori komunitas, dan mempertimbangkan WAF maupun CDN sebagai lapisan perlindungan tambahan. Insiden ini juga menjadi pengingat bahwa laporan AI palsu dan percepatan pemindaian oleh agen AI mengubah lanskap keamanan open-source. Seperti kasus celah kritis router yang menuntut tambal cepat, kesiapan menambal menentukan seberapa besar dampak yang harus ditanggung.
[ META_DESCRIPTION ]
GPT 5.6-Sol menemukan celah kritis PHP yang memungkinkan eksekusi kode jarak jauh. Sekitar 29 juta server belum ditambal per 29 Oktober 2026.
Komentar
Belum ada komentar.