Celah Keamanan PHP Picu Penutupan Situs Pemerintah di Berbagai Negara

Sejumlah situs pemerintah dan layanan publik di Eropa serta negara lain dinonaktifkan sementara pada Rabu (21/10/2026) setelah pengembang PHP mengumumkan perbaikan darurat untuk menutup kerentanan keamanan kritis. Celah yang ditemukan dengan bantuan kecerdasan buatan (AI) tersebut berpotensi mengancam jutaan server di seluruh dunia, menurut laporan Internasional.

Data perusahaan intelijen internet Censys menunjukkan sekitar 1,5 juta dari total 2,6 juta host yang teridentifikasi masih menggunakan versi PHP tanpa perbaikan keamanan. Angka tersebut menggambarkan luasnya potensi paparan, tetapi tidak membuktikan bahwa seluruh host itu telah diretas.

Pengembang PHP meminta seluruh pengguna segera memasang pembaruan untuk mengurangi risiko serangan. Sejumlah perusahaan keamanan siber juga memperingatkan bahwa pelaku ancaman diduga telah mencoba mengeksploitasi celah tersebut sebelum informasi teknisnya diumumkan kepada publik.

Costin Raiu, salah satu pendiri TLP, perusahaan riset keamanan siber dan penanganan insiden, menilai kecerdasan buatan mempercepat persaingan antara peneliti keamanan dan pelaku serangan dalam memanfaatkan kelemahan perangkat lunak.

"AI mendorong terjadinya perlombaan untuk mengeksploitasi celah keamanan," ujar Costin Raiu.

Raiu memperingatkan bahwa perkembangan tersebut dapat meningkatkan skala serangan terhadap sistem yang belum diperbarui.

"Kompromi massal terhadap setiap server web yang rentan di internet," ujar Costin Raiu ketika memperingatkan kemungkinan tahap serangan berikutnya.

Tiffany Farriss, CEO sementara Drupal Association, menjelaskan bahwa kerentanan tersebut menjangkau berbagai versi PHP yang telah digunakan selama bertahun-tahun. PHP menjadi fondasi banyak situs web, termasuk platform pengelolaan konten WordPress, Drupal, Joomla, dan Magento.

"Semua server yang menggunakan versi PHP apa pun yang dirilis dalam 20 tahun terakhir akan rentan," ujar Tiffany Farriss.

Farriss menekankan luasnya potensi dampak celah keamanan tersebut terhadap layanan daring.

"Masalah ini berdampak pada sebagian besar internet," ujar Tiffany Farriss.

Calif dan Wiz, perusahaan keamanan siber yang menemukan kerentanan itu secara independen, menyebut AI membantu peneliti mengidentifikasi kelemahan yang sulit ditemukan melalui pemeriksaan manual. Calif menemukan celah tersebut pada 1 Agustus dengan bantuan model bahasa besar, sedangkan Wiz menggunakan alat riset kerentanan berbasis AI otonom Wiz Atlas.

Penelitian Wiz juga memanfaatkan Gemini 4 Argon dari Google dan GPT-5.6 Sol dari OpenAI. Menurut Wiz, kelemahan itu telah tersembunyi dalam basis kode PHP selama lebih dari satu dekade.

"Sebelum era AI, pekerjaan manual ini akan sulit diterapkan dan bahkan lebih sulit untuk diperluas skalanya," tulis Wiz dalam blog resminya.

Wiz menjelaskan bahwa kemampuan AI mengubah tingkat kesulitan analisis kerentanan yang sebelumnya membutuhkan banyak pekerjaan manual.

"Dengan AI, hal ini tidak lagi menjadi hambatan," tulis Wiz dalam blog resminya.

Kedua perusahaan menyatakan telah berkoordinasi dengan pengembang PHP dan OpenAI selama proses penemuan serta penanganan kerentanan. Gedung Putih juga mengatakan telah menerima informasi mengenai celah tersebut pada Jumat sebelum pengumuman publik.

Kepala keamanan Amazon, CJ Moses, mengungkapkan bahwa timnya mendeteksi upaya eksploitasi terhadap sistem umpan atau honeypot pada 17 Oktober, empat hari sebelum kerentanan diumumkan kepada publik. Aktivitas itu berasal dari alamat internet anonim, tetapi sumber informasi yang digunakan pelaku belum diketahui.

Amazon juga mendeteksi percobaan lain pada Rabu sebelum masa embargo informasi berakhir. Perusahaan tersebut memperingatkan bahwa kerentanan itu telah digunakan dalam serangan nyata.

"Kini dieksploitasi secara luas di dunia nyata," ujar Amazon dalam peringatannya mengenai kondisi kerentanan tersebut.

Menurut pelacak teknologi web W3Techs, PHP digunakan oleh sekitar 75% situs web yang bahasa pemrogramannya dapat diidentifikasi. Luasnya penggunaan itu membuat celah keamanan berpotensi berdampak pada pemerintah, perusahaan, organisasi kecil, dan pemilik situs pribadi.

Di Belanda, sejumlah organisasi menonaktifkan situs publik mengikuti langkah Pusat Keamanan Siber Nasional. Layanan yang terdampak mencakup operator Pelabuhan Rotterdam, portal pemerintah Overheid.nl, federasi sepak bola nasional KNVB, situs lima partai politik terbesar, serta sejumlah situs rumah sakit.

Wikimedia Foundation menonaktifkan beberapa sistem hingga pembaruan dapat diterapkan dengan aman. Internet Archive juga sempat menghentikan layanan untuk menangani persoalan tersebut, sedangkan Kombit di Denmark menutup sementara sejumlah layanan, termasuk platform komunikasi nasional untuk sekolah.

Di Finlandia, Valtori menonaktifkan sejumlah layanan jaringan publik pemerintah sebagai langkah pencegahan. Kementerian Dalam Negeri Prancis juga menempatkan seluruh situs webnya dalam pemeliharaan preventif.

Lukasz Olejnik, peneliti senior tamu di King's College London, memperingatkan bahwa AI dapat mempercepat eksploitasi terhadap server yang belum diperbarui.

"Skalanya sangat besar, dan dengan AI, eksploitasi dapat terjadi seketika," ujar Lukasz Olejnik.

Di Jepang, Perdana Menteri Sanae Takaichi mengimbau pemilik situs web memeriksa penggunaan PHP dan menyiapkan pembaruan keamanan terbaru. Dalam unggahan di platform X, ia meminta pemilik situs memastikan perangkat lunak yang digunakan serta kesiapan menerapkan perbaikan.

"Periksa apakah situs yang sedang beroperasi menggunakan PHP dan bersiap menerapkan perbaikan baru," tulis Sanae Takaichi dalam unggahannya di X.

Risiko juga dapat menjangkau pengguna layanan hosting bersama yang tidak memiliki kendali langsung atas server. Automattic, perusahaan pengelola WordPress.com, menyatakan pengguna layanan hosting mereka dan Tumblr terlindungi dari kerentanan tersebut.