Dua Celah Kritis PHP Ancam 70 Persen Situs Web Dunia, Sejumlah Situs Pemerintah Dinonaktifkan

Washington – Sejumlah instansi pemerintah dan perusahaan di seluruh dunia menonaktifkan situs web mereka pada Rabu (21/10), setelah terungkap dua celah keamanan kritis pada PHP, bahasa pemrograman yang menjadi fondasi bagi sebagian besar internet.

PHP digunakan di balik berbagai platform desain web populer sehingga kelemahan tersebut berpotensi berdampak pada beragam situs, mulai dari toko daring dan portal berita hingga layanan pemerintah.

Wiz, salah satu perusahaan keamanan siber yang menemukan masalah tersebut, memperkirakan PHP digunakan oleh sekitar 70 persen situs web di dunia. Perusahaan itu menyebut kedua celah tersebut sebagai “salah satu kerentanan paling parah yang pernah ditemukan pada PHP, dan bisa dibilang dalam sejarah perangkat lunak”.

Badan Keamanan Nasional Amerika Serikat (NSA) meminta berbagai organisasi segera memasang pembaruan keamanan atau menonaktifkan sistem yang rentan.

Celah tersebut “sering kali memberikan akses langsung ke sistem berkas atau basis data server”, kata NSA dalam pernyataan di platform X.

Penyerang dapat memanfaatkan celah itu untuk mengambil alih server web tanpa memerlukan kata sandi.

Volker Dusch, seorang insinyur keamanan di PHP Foundation, mengatakan kepada Wall Street Journal bahwa masalah tersebut merupakan yang paling serius yang dihadapi PHP dalam lebih dari satu dekade. Ia membandingkannya dengan Heartbleed, celah keamanan yang ditemukan pada 2014 dan memicu upaya penambalan sistem secara besar-besaran di seluruh dunia.

Penemuan tersebut terjadi di tengah meningkatnya pengungkapan kerentanan keamanan perangkat lunak yang didorong oleh semakin canggihnya model kecerdasan buatan (AI). Jumlah kerentanan yang ditemukan sepanjang 2026 diperkirakan hampir dua kali lipat dibandingkan rekor total tahun lalu.

Para pengembang sukarelawan PHP merilis perbaikan pada Rabu.

“Jika Anda menggunakan PHP, sangat penting untuk segera melakukan pembaruan,” kata PHP Foundation, organisasi yang mendanai para pengembang bahasa pemrograman tersebut, dalam sebuah unggahan blog.

Perusahaan keamanan siber Calif menemukan celah tersebut pada Agustus menggunakan model GPT-5.6 Sol dari OpenAI, sebagai bagian dari audit kode PHP yang didanai OpenAI.

Wiz, perusahaan keamanan siber milik Google, mengatakan pihaknya menemukan celah yang sama secara independen beberapa pekan kemudian dengan bantuan sejumlah model AI, termasuk Gemini 4 Argon milik Google dan GPT-5.6 Sol.

OpenAI menyatakan melalui X bahwa pihaknya menilai kerentanan tersebut sebagai “salah satu kerentanan dengan dampak terbesar dalam beberapa waktu terakhir”. Perusahaan itu menambahkan bahwa temuan tersebut “menandai fase baru ketika AI mampu menemukan celah keamanan yang berdampak pada skala internet”.

'Sering dan Cepat'

Ethan Mollick, profesor di Wharton School, Universitas Pennsylvania, yang meneliti AI, mengatakan sejumlah perusahaan yang berkomunikasi dengannya kesulitan mengikuti kecepatan pembaruan keamanan yang diperlukan untuk melindungi sistem dari serangan siber berbasis AI.

“Sekarang konsumen akan mengalami hal yang sama, yakni harus memperbarui semuanya secara rutin dan cepat,” tulisnya di X.

Celah keamanan tersebut sebelumnya telah dilaporkan secara tertutup kepada para pengembang PHP dan dirahasiakan selama perbaikan disiapkan.

Namun, perincian mengenai celah tersebut bocor ke internet pada Selasa, sehari sebelum perbaikan dijadwalkan dirilis. Kebocoran itu memicu langkah cepat untuk menonaktifkan sejumlah situs web.

Di Prancis, sejumlah situs pemerintah daerah, termasuk situs kepolisian Paris, tidak dapat diakses sejak Rabu sore atas permintaan Badan Keamanan Siber Nasional Prancis, kata Kementerian Dalam Negeri negara tersebut.

Di Belanda, layanan identitas digital nasional DigiD, situs web Dewan Perwakilan Rakyat, serta situs pusat keamanan siber nasional dinonaktifkan sebagai langkah pencegahan, menurut lembaga penyiaran publik Belanda, NOS.

Kementerian Luar Negeri Belgia untuk sementara menonaktifkan situs-situs webnya sebagai tindakan pencegahan. Pernyataan itu disampaikan melalui X, meskipun Pusat Keamanan Siber Belgia belum mencatat adanya serangan terhadap situs-situs di negara tersebut.

Di Australia, Direktorat Sinyal Australia menyatakan bahwa situs cyber.gov.au miliknya termasuk di antara situs pemerintah yang terdampak oleh celah keamanan tersebut, menurut lembaga penyiaran publik ABC.