SULAWESI TENGGARA — Badan keamanan siber Amerika Serikat CISA mengonfirmasi peretas kini aktif mengeksploitasi dua celah kritis pada PHP, perangkat lunak yang menopang sekitar 70% server web dunia. Instansi pemerintah federal sipil AS diberi tenggat tiga hari untuk menambal sistem mereka. Peringatan ini muncul kurang dari sepekan setelah patch resmi PHP dirilis.
Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) menetapkan tenggat tiga hari bagi seluruh instansi pemerintah federal sipil untuk menutup celah yang dijuluki PHP2Shell. Perintah itu keluar setelah tim peneliti menemukan bukti eksploitasi nyata di lapangan, bukan lagi sekadar ancaman teoretis.
Dua celah tersebut memungkinkan penyerang membobol sistem dari jarak jauh lewat internet tanpa perlu kata sandi. Karena PHP dipakai sekitar 70% server yang menghadap publik, dampaknya berpotensi menyentuh situs besar, aplikasi layanan, hingga platform e-commerce.
Sejumlah pemerintah dan perusahaan besar dilaporkan sempat mematikan sementara situs mereka untuk menambal sistem. Langkah itu diambil karena tingkat keparahan bug dinilai kritis, meski para peneliti keamanan menyebut eksploitasi awalnya cukup sulit dirakit.
PHP2Shell adalah nama untuk dua kerentanan yang bersarang di perangkat lunak PHP, bahasa pemrograman web yang sudah berumur puluhan tahun. Keduanya sempat ditemukan dua tahun lalu, tetapi yayasan nirlaba pengelola PHP menilai saat itu tidak ada cara praktis bagi peretas untuk memanfaatkannya.
Penilaian itu membuat kedua bug dibiarkan tanpa perbaikan. Situasi berubah pada awal tahun ini ketika peneliti dari firma keamanan Calif menemukan metode eksploitasi dengan bantuan model kecerdasan buatan.
Sejak itu, patch resmi dirilis dan CISA mempercepat instruksi penambalan. CISA tidak merinci siapa pihak yang melakukan eksploitasi dalam pernyataannya, tetapi peringatan itu terbit tak lama setelah peneliti independen melaporkan bukti serangan aktif.
Kasus PHP2Shell memperlihatkan pola yang makin sering muncul: kerentanan lama yang sempat dianggap tidak berbahaya kini jadi ancaman karena kemampuan AI dalam menemukan dan merangkai celah meningkat pesat. Model AI bisa menggabungkan beberapa kelemahan sekaligus menjadi jalur serangan yang utuh.
PHP sendiri termasuk teknologi web tua yang menopang sebagian besar infrastruktur internet modern, namun selama bertahun-tahun minim pendanaan. Kondisi itu menyulitkan proyek open source seperti PHP membiayai audit keamanan yang seharusnya bisa menemukan celah lebih awal.
Bagi pengguna awam, risiko paling nyata adalah kebocoran data, gangguan layanan, dan potensi pencurian kredensial saat mengakses situs yang belum ditambal. Pemilik situs berbasis PHP, termasuk pengembang di Indonesia, disarankan segera memperbarui ke versi PHP terbaru yang sudah memuat patch.
Prioritas utama diberikan pada server yang langsung terhubung ke internet dan menjalankan aplikasi dengan akses basis data sensitif. Organisasi yang belum punya jadwal pembaruan rutin menghadapi risiko paling besar.
Peringatan CISA menegaskan bahwa penambalan bukan lagi soal disiplin operasional, melainkan kebutuhan mendesak. Organisasi yang menunda pembaruan pada infrastruktur PHP berisiko menghadapi gangguan layanan dan kebocoran data dalam skala luas.