SUMATERA UTARA — Kerentanan kritis pada bahasa pemrograman open source PHP memaksa pemilik situs web di seluruh dunia melakukan patch darurat atau menonaktifkan situsnya. Celah yang disebut telah ada selama puluhan tahun itu ditemukan lewat inisiatif pengujian keamanan yang melibatkan peneliti manusia dan model bahasa besar. Insiden ini membuka diskusi soal rapuhnya fondasi internet yang selama ini bergantung pada proyek open source.
PHP (Hypertext Preprocessor) menjadi tulang punggung sistem manajemen konten seperti WordPress dan Drupal. Kedua platform itu menopang sekitar 70% situs web di dunia, atau mencakup puluhan juta domain. Ketika celah keamanan di bahasa pemrograman itu terungkap, dampaknya langsung terasa ke ribuan bisnis digital, media, hingga situs pemerintah yang tidak menyadari situsnya berjalan di atas PHP.
Kerentanan yang dimaksud bukan temuan baru. Celah itu sudah tertanam di PHP selama beberapa dekade tanpa diketahui. Peneliti yang terlibat dalam inisiatif pengujian keamanan, termasuk program yang dijalankan Wiz yang kini berada di bawah Google, menemukan bug tersebut dan menggunakannya untuk menguji eksploitasi.
Karena temuan itu, pemilik situs diminta segera memasang patch. Bagi yang tidak bisa memperbarui sistem dalam waktu singkat, opsi yang disarankan adalah menonaktifkan situs sementara. Permintaan itu memicu gelombang kepanikan di kalangan operator web, termasuk pemerintah dan perusahaan yang situsnya sempat down untuk perbaikan.
Yang membuat situasi berbeda dari insiden keamanan sebelumnya adalah akses terbuka ke model bahasa besar dan agen AI. Sean O'Kane, pengamat teknologi yang membahas isu ini, menyebut kemampuan AI membuat pencarian celah keamanan menjadi jauh lebih mudah dan murah dilakukan pihak mana pun.
"Ketika Anda benar-benar masuk ke lapisan paling dasar internet, semuanya tampak disatukan oleh lem dan mimpi," ujarnya, menggambarkan betapa rapuhnya infrastruktur digital yang selama ini dianggap kokoh.
O'Kane menambahkan, selama sepuluh tahun terakhir ada banyak momen ketika satu orang yang merawat repositori kecil secara sukarela menyelamatkan internet dari kehancuran. Dengan AI, jumlah percobaan eksploitasi bisa berlipat miliaran kali karena agen AI dapat ditugaskan mencari celah secara mandiri.
Kirsten Korosec menyoroti skala masalah. Banyak pemilik situs bahkan tidak tahu situsnya memakai PHP. Ia juga mempertanyakan berapa banyak perangkat lunak tua lain yang menyimpan celah serupa dan menunggu waktu untuk dieksploitasi.
Efek samping lain adalah link rot. Situs perusahaan, pemerintah, hingga situs lingkungan kecil yang memilih menutup layanan ketimbang menambal celah akan hilang dari indeks pencarian. Konten bersejarah yang tersimpan di dalamnya ikut tidak bisa diakses lagi.
Bagi pengguna smartphone, insiden ini terutama berdampak pada layanan berbasis web yang mereka akses sehari-hari, mulai dari portal berita hingga situs e-commerce. Jika situs yang dikunjungi sempat tidak bisa dibuka dalam beberapa hari ke depan, penyebabnya kemungkinan besar adalah proses patch keamanan.
Pelaku bisnis digital yang mengelola situs sendiri perlu memastikan versi PHP di servernya sudah diperbarui. Pemilik usaha yang situsnya dibangun lewat agensi atau penyedia jasa web sebaiknya meminta konfirmasi tertulis soal status pembaruan keamanan. Langkah ini penting karena regulasi pelindungan data pribadi di Indonesia menuntut penanggung jawab layanan menjaga keamanan data pengguna.
Bagi investor startup, kejadian ini menjadi pengingat bahwa risiko teknis pada lapisan infrastruktur sering luput dari due diligence. Ketergantungan pada komponen open source yang tidak terawat bisa menjadi liabilitas jangka panjang, terutama untuk perusahaan yang menyimpan data sensitif pengguna.
Antony Ha mencatat ironi situasi: satu-satunya cara agar patch bisa sampai ke pengguna adalah dengan mengumumkan keberadaan celah itu ke publik. Pengumuman itu sendiri membuka peluang bagi pihak lain untuk mengeksploitasi sistem yang belum sempat diperbarui.
Hingga kini belum ada informasi resmi soal jumlah situs Indonesia yang terdampak. Operator layanan web di dalam negeri disarankan memantau pengumuman resmi dari pengelola PHP dan penyedia CMS masing-masing untuk jadwal patch selanjutnya.