Kiamat Kecil di Belahan Dunia Maya Internet

tirto.id - Rabu, 22 Oktober 2026, “kiamat kecil” terjadi di dunia maya.

Situs pemerintah Finlandia menghilang dari layar. Laman Wikipedia tak bisa diakses. Portal resmi di Belanda, Prancis, Jerman, dan Jepang, menyambut pengunjung dengan pesan galat (error). Di Inggris, 32 layanan pemerintah dicabut dari internet sebagai langkah pencegahan. Bahkan, 4Chan ikut tumbang untuk sementara.

Menghilangnya situs-situs web tersebut bukanlah akibat dari serangan siber. Itu semua terjadi akibat sebuah ancaman yang sebenarnya sudah lama diketahui keberadaannya tetapi baru sekarang bisa dieksploitasi secara nyata. Untuk memahami kejadiannya, kita perlu berkenalan terlebih dahulu dengan PHP.

PHP merupakan singkatan dari PHP: Hypertext Preprocessor--dulunya Personal Home Page--sebuah bahasa pemrograman open source yang bekerja di balik layar pada peladen web. Ketika kita membuka sebuah situs web, PHP-lah yang mengambil data dari basis data (database), lalu mengubahnya menjadi halaman yang bisa dibaca.

Bahasa pemrograman yang dikembangkan sejak 1990-an tersebut menjalankan banyak sekali situs web, mulai dari WordPress, Wikipedia, Drupal, toko online, hingga portal milik pemerintah.

Menurut perusahaan keamanan siber milik Google, Wiz, PHP digunakan oleh sekitar 70 persen dari seluruh situs dan aplikasi web di dunia.

PHP dikelola sebuah yayasan nirlaba bernama PHP Foundation, yang terdiri dari individu dan perusahaan yang menggantungkan bisnisnya pada bahasa ini.

Selama puluhan tahun, PHP bekerja diam-diam dari balik layar. Sampai akhirnya, kehebohan besar itu terjadi.

Pada 22 Oktober 2026, PHP Foundation merilis tambalan keamanan darurat untuk dua kerentanan kritis yang diberi kode CVE-2026-109618 dan CVE-2026-109619. Masing-masing mendapat skor keparahan 9,2 dari 10 dari para peneliti. Secara kolektif, masalah ini dijuluki “PHP2Shell”.

Kerentanan pertama, CVE-2026-109618, terjadi ketika PHP kehabisan memori saat memproses permintaan pengguna. Dalam situasi itu, PHP bisa meninggalkan sisa data di memori yang seharusnya sudah dihapus. Data yang tertinggal itu bisa dieksploitasi oleh peretas untuk menjalankan kode berbahaya dari jarak jauh, tanpa perlu masuk ke sistem terlebih dahulu.

Patrick Fussell dari IBM menggambarkan situasi itu dengan analogi kamar kamar hotel. "Anda sudah checkout tapi kunci Anda masih berfungsi. Nantinya, Anda bisa kembali lagi ke kamar tersebut tetapi Anda bakal mendapati barang-barang orang lain sudah berada di sana,” katanya kepada CNN.

Kerentanan kedua, CVE-2026-109619, terjadi karena PHP mencoba mengakses bagian memori yang sebenarnya sudah dilepaskan. Kesalahan tersebut bisa dimanfaatkan peretas untuk menjalankan kode berbahaya dari jarak jauh tanpa autentikasi.

Jika kedua kerentanan tersebut berhasil dieksploitasi, peretas bisa mengambil alih peladen web, mencuri data sensitif seperti kata sandi dan informasi pengguna, dan bahkan menyusup lebih dalam ke jaringan suatu organisasi.

Cacat Kritis PHP yang Tak Diindahkan

Seperti disebutkan sebelumnya, celah itu sebenarnya sudah lama diketahui. Pada Juli 2004, peneliti keamanan Stefan Esser sudah memperingatkan tentang cacat kritis dalam PHP. Namun, peringatannya diabaikan. Pada 2020, peneliti lain menemukan masalah terkait, yang kemudian hanya direspons dengan perbaikan parsial. Kerentanan serupa ditemukan lagi pada 2024, tetapi tidak ada respons apa pun.

Mengapa kerentanan seberbahaya itu bisa dibiarkan selama 22 tahun? Jawabannya, karena mengeksploitasi kerentanan tersebut “tidak worth it” bagi manusia. Untuk melancarkan serangan dengan memanfaatkan celah itu, dibutuhkan serangkaian langkah sangat rumit dan memakan waktu. Sudah begitu, hasilnya pun tidak pasti. Intinya, celah tersebut dianggap “tidak praktis untuk dieksploitasi” sehingga akhirnya dibiarkan begitu saja.

Namun, kemudian datanglah kecerdasan buatan dan segalanya berubah dengan cepat.

Pada 30 Juli 2026, para peneliti dari perusahaan keamanan siber Calif, bekerja sama dengan inisiatif “Patch the Planet” milik OpenAI, mengarahkan sebuah model AI ke kode PHP. Mereka tidak mengharapkan temuan kritis. Namun, hanya berselang dua hari, pada 1 Agustus, AI telah menemukan metode untuk menyerang kerentanan PHP. Dan hal ini terus berlanjut.

Di bulan sama, Wiz, yang juga terlibat dalam program tersebut, secara independen menemukan eksploit baru untuk kerentanan PHP yang sama. Para peneliti Wiz menggunakan Google Gemini 4 Argon, Wiz Atlas, dan GPT-5.6 Sol milik OpenAI, dalam prosesnya. Mereka menyebut PHP2Shell sebagai “salah satu kerentanan perangkat lunak terparah yang pernah ditemukan”.

“Dengan model AI terdepan dan perangkat yang tepat, hanya dalam seminggu, seorang peneliti bisa menyelesaikan sesuatu yang sebelumnya memakan waktu berbulan-bulan dan membutuhkan tim kelas dunia,” tulis para peneliti Wiz dalam blog mereka.

Rencana awalnya, PHP Foundation akan merilis tambalan (patch) keamanan bersamaan dengan pengumuman terbuka kepada publik, sekaligus memberi waktu bagi pengelola situs untuk mempersiapkan diri. Celakanya, rencana itu bocor di sebuah forum peretas. Berbagai upaya serangan pun dilancarkan, dan PHP Foundation mesti mempercepat pengumumannya.

Matthew Prince, CEO Cloudflare, memantau serangan yang datang secara real-time. Dalam 10 jam sebelum pengumuman resmi, Cloudflare sudah mencatat ribuan percobaan eksploitasi. Angka itu melonjak menjadi puluhan ribu dalam 45 menit setelah pengumuman, ratusan ribu dalam dua jam, dan jutaan tidak lama kemudian.

Amazon mengungkapkan bahwa empat hari sebelum patch dirilis, seseorang sudah mencoba menggunakan serangan PHP2Shell terhadap jaringan jebakan yang mereka kelola, tapi identitas pelakunya belum diketahui.

Kaos di Tatanan Global dan Keengganan Menyerah

Perdana Menteri Jepang Sanae Takaichi mengunggah permintaan mendesak di X agar semua organisasi segera memeriksa situs mereka dan menerapkan patch keamanan sesegera mungkin. Korea Selatan mengaktifkan langkah-langkah respons darurat dan menaikkan level siaga keamanan siber sektor swastanya. Operator telekomunikasi SoftBank di Jepang bahkan untuk sementara menangguhkan sistem peringatan bencana, termasuk peringatan gempa bumi dan tsunami, demi memasang tambalan keamanan.

Sementara itu, Badan keamanan siber Amerika Serikat (CISA) mendesak semua organisasi untuk segera memperbarui sistemnya ke versi PHP 8.5.12, 8.4.27, 8.3.36, atau 8.2.35. Mereka juga menyebut kerentanan itu sebagai ancaman yang memungkinkan peretas masuk ke sistem tanpa perlu kata sandi apa pun.

Australia, Inggris, Belanda, Kanada, dan Selandia Baru, juga menerbitkan peringatan keamanan siber nasionalnya masing-masing.

Di Indonesia, Badan Siber dan Sandi Negara (BSSN) langsung mengeluarkan peringatan kepada pemilik dan pengelola situs web. Dalam unggahannya di X, BSSN meminta pengelola situs untuk segera bertindak dan mengambil langkah pengamanan. Kementerian Komunikasi dan Digital (Komdigi) juga menegaskan agar pengelola sistem memprioritaskan pembaruan instalasi PHP yang terdampak.

Di balik segala kekacauan itu, ada seorang laki-laki bernama Ondřej Surý yang bekerja tanpa henti, meski sebenarnya tidak dibayar untuk melakukannya.

Selama lebih dari 20 tahun, Surý memelihara paket-paket perangkat lunak PHP untuk sistem operasi Linux Debian dan Ubuntu, dua sistem yang banyak digunakan oleh peladen web di seluruh dunia.

Tapi, itu bukan pekerjaan utamanya. Sehari-hari, Surý bekerja sebagai direktur rekayasa DNS di organisasi nirlaba Internet Systems Consortium. Saat krisis terjadi, ia langsung bekerja tanpa henti mengemas tambalan keamanan dalam bentuk yang bisa dipasang oleh siapa saja dengan mudah.

“Rasanya seperti saya bertanggung jawab atas semua ini, dan saya tidak boleh gagal,” katanya kepada BBC.

Kisah Surý menunjukkan kenyataan "mengerikan" dari internet. Bahwasanya sebagian besar dari internet masih bergantung pada kerja sukarela orang-orang yang tidak dibayar cukup, atau sama sekali tidak dibayar.

Pada akhir pekan setelah tambalan dirilis, belum ada laporan serangan berhasil yang terkonfirmasi. Meski demikian, para ahli mengingatkan bahwa dampak sesungguhnya mungkin baru terasa kemudian, bahkan bisa berbulan-bulan setelahnya. Tidak menutup kemungkinan, sudah ada situs web yang sudah disusupi tapi belum menyadarinya.

Untuk pengguna internet biasa, krisis PHP pekan lalu mungkin tidak terasa serius. Kebanyakan orang tidak perlu melakukan apa-apa, kecuali mungkin bersabar jika situs yang biasa mereka kunjungi sedang di luar jaringan untuk sementara.

Akan tetapi, bagi para pengelola situs atau peladen, krisis PHP adalah pengingat untuk kesekian kalinya bahwa ancaman siber sudah bergerak dalam kecepatan yang belum pernah ada sebelumnya. Maka, kesiapsiagaan adalah hal mutlak untuk dimiliki dalam lanskap yang serbacepat seperti ini.