Tim keamanan PHP baru saja memberikan kabar tentang rencana perbaikan untuk dua kerentanan keamanan yang sangat serius, masing-masing dinilai 9.2 dari 10 pada skala keparahan CVE. Berita tentang masalah ini sepertinya sudah bocor sebelum pengumuman resmi, karena ada video yang beredar yang menunjukkan alat bernama PHP2Shell digunakan untuk mengeksekusi kode secara jarak jauh di server web lewat kerentanan ini (melalui Ars Technica).
Bahasa pemrograman PHP sangat populer di internet dan menjadi tulang punggung bagi banyak situs web. Perbaikan dijadwalkan akan dirilis pukul 2 siang UTC (10 pagi ET). Peneliti dari perusahaan keamanan siber Sansec mengatakan bahwa kerentanan ini mempengaruhi semua server web yang menjalankan PHP versi 5.4 atau lebih baru, dan “kami memperkirakan serangan massal akan dimulai dalam 15 menit setelah rilis.”
Dane Knecht, Chief Technology Officer Cloudflare, telah mengumumkan bahwa mereka sudah mulai memperbarui aturan firewall untuk situs-situs yang menggunakan PHP. “Kami mulai melihat serangan awal dan terus memperbarui mitigasi saat vektor baru muncul. Ini hanya solusi sementara,” tulis Knecht di X. “Patch secepatnya setelah @ThePHPF merilis update pada pukul 14:00 UTC hari ini.”
Kemarin, CEO dari perusahaan keamanan siber WatchTowr, Benjamin Harris, juga berbicara kepada Bleeping Computer mengenai kebocoran dua kerentanan eksekusi kode jarak jauh di PHP. Dia menyebutkan, “Dalam jam terakhir ini, dua kerentanan telah bocor. Kerentanan ini sebelumnya direncanakan untuk dirilis secara tertutup dan akan diumumkan pada Kamis pukul 11 pagi ET.”
Belum ada info teknis yang bisa dibagikan saat ini karena alasan tertentu, namun kedua kerentanan ini dikonfirmasi nyata. Keduanya dikategorikan dengan nilai CVSS 10 dan terpantau mempengaruhi versi PHP 5, 6, 7, dan 8.
Situasi ini pastinya bikin gelisah bagi administrasi web di seluruh dunia. Sebagai langkah penjagaan, saran untuk para admin adalah melakukan inventarisasi setiap install PHP, merencanakan waktu pemeliharaan bertepatan dengan update, dan membuat cadangan file situs dan database sebagai persiapan.
Bagi kita yang hanya bisa menunggu, saat ini kita hanya bisa berharap pada dewa server. Tahun 2026 sudah menjadi tahun di mana eksploitasi keamanan semakin canggih, tetapi yang satu ini terasa lebih besar dan lebih serius dibanding yang biasanya. Seperti kata Samuel L. Jackson dalam Jurassic Park: Siapkan diri kalian, ya?
Reaksi Kita
Kayaknya bakal seru banget nih lihat bagaimana PHP mengatasi kerentanan ini dan bagaimana respon dari penyedia hosting. Semoga aja studio-studio terkait bisa cepat bergerak dan ngasih update yang tepat, supaya serangan-serangan ini bisa segera ditangani. Kita tunggu aja pembuktiannya pas rilis nanti!
