Dua Celah Kritis PHP Ancam 70 Persen Situs Web Dunia, Sejumlah Situs Pemerintah Dinonaktifkan

Washington – Sejumlah instansi pemerintah dan perusahaan di seluruh dunia menonaktifkan situs web mereka pada Rabu (21/10), setelah terungkap dua celah keamanan kritis pada PHP, bahasa pemrograman yang menjadi fondasi bagi sebagian besar internet.

PHP digunakan di balik berbagai platform desain web populer sehingga kelemahan tersebut berpotensi berdampak pada beragam situs, mulai dari toko daring dan portal berita hingga layanan pemerintah.

Wiz, salah satu perusahaan keamanan siber yang menemukan masalah tersebut, memperkirakan PHP digunakan oleh sekitar 70 persen situs web di dunia. Perusahaan itu menyebut kedua celah tersebut sebagai “salah satu kerentanan paling parah yang pernah ditemukan pada PHP, dan bisa dibilang dalam sejarah perangkat lunak”.

Badan Keamanan Nasional Amerika Serikat (NSA) meminta berbagai organisasi segera memasang pembaruan keamanan atau menonaktifkan sistem yang rentan.

Celah tersebut “sering kali memberikan akses langsung ke sistem berkas atau basis data server”, kata NSA dalam pernyataan di platform X.

Penyerang dapat memanfaatkan celah itu untuk mengambil alih server web tanpa memerlukan kata sandi.

Volker Dusch, seorang insinyur keamanan di PHP Foundation, mengatakan kepada Wall Street Journal bahwa masalah tersebut merupakan yang paling serius yang dihadapi PHP dalam lebih dari satu dekade. Ia membandingkannya dengan Heartbleed, celah keamanan yang ditemukan pada 2014 dan memicu upaya penambalan sistem secara besar-besaran di seluruh dunia.

Penemuan tersebut terjadi di tengah meningkatnya pengungkapan kerentanan keamanan perangkat lunak yang didorong oleh semakin canggihnya model kecerdasan buatan (AI). Jumlah kerentanan yang ditemukan sepanjang 2026 diperkirakan hampir dua kali lipat dibandingkan rekor total tahun lalu.

Para pengembang sukarelawan PHP merilis perbaikan pada Rabu.

“Jika Anda menggunakan PHP, sangat penting untuk segera melakukan pembaruan,” kata PHP Foundation, organisasi yang mendanai para pengembang bahasa pemrograman tersebut, dalam sebuah unggahan blog.

Perusahaan keamanan siber Calif menemukan celah tersebut pada Agustus menggunakan model GPT-5.6 Sol dari OpenAI, sebagai bagian dari audit kode PHP yang didanai OpenAI.

Wiz, perusahaan keamanan siber milik Google, mengatakan pihaknya menemukan celah yang sama secara independen beberapa pekan kemudian dengan bantuan sejumlah model AI, termasuk Gemini 4 Argon milik Google dan GPT-5.6 Sol.

OpenAI menyatakan melalui X bahwa pihaknya menilai kerentanan tersebut sebagai “salah satu kerentanan dengan dampak terbesar dalam beberapa waktu terakhir”. Perusahaan itu menambahkan bahwa temuan tersebut “menandai fase baru ketika AI mampu menemukan celah keamanan yang berdampak pada skala internet”.

'Sering dan Cepat'

Ethan Mollick, profesor di Wharton School, Universitas Pennsylvania, yang meneliti AI, mengatakan sejumlah perusahaan yang berkomunikasi dengannya kesulitan mengikuti kecepatan pembaruan keamanan yang diperlukan untuk melindungi sistem dari serangan siber berbasis AI.