KOMPAS.com - Model kecerdasan buatan (AI) GPT-5.6 Sol buatan OpenAI dan Gemini 4 Argon buatan Google membantu peneliti keamanan menemukan dua celah kritis di PHP yang disebut telah tersembunyi selama lebih dari satu dekade.

Kedua celah tersebut berada di PHP setidaknya sejak versi PHP 5.4. Namun, kerentanan itu baru dapat dibuktikan bisa dieksploitasi menjadi serangan serius dengan bantuan AI.

Temuan tersebut menjadi sorotan karena PHP merupakan salah satu bahasa pemrograman sisi server (server-side) yang paling banyak digunakan untuk membangun dan menjalankan situs web.

Teknologi ini juga menjadi fondasi berbagai sistem pengelolaan konten, termasuk WordPress.

Menurut data W3Techs, PHP digunakan oleh sekitar 69,3 persen situs web yang bahasa pemrograman sisi servernya dapat diidentifikasi.

Baca juga: Celah Kritis PHP Picu Situasi Darurat, Website Pemerintah hingga Rumah Sakit Ditutup

Dua celah tersebut memungkinkan penyerang menjalankan kode dari jarak jauh tanpa perlu melakukan autentikasi atau login terlebih dahulu.

Apabila berhasil dieksploitasi, peretas berpotensi mengambil alih server, mengubah isi situs, hingga mengakses data sensitif yang tersimpan di dalamnya.

Celah tersembunyi lebih dari satu dekade

Perusahaan keamanan siber Wiz mengatakan kedua kerentanan tersebut sebenarnya telah berada di PHP selama lebih dari satu dekade, setidaknya sejak PHP 5.4.

Baca juga: Password "123456" Sebabkan 8,8 Juta Data Dicuri, Ini 5 Tips Bikin Kata Sandi yang Aman

Masalah serupa bahkan pernah ditemukan dalam audit keamanan PHP pada 2024.

Namun, menurut kelompok riset keamanan AI Calif, masalah tersebut saat itu tidak diperbaiki karena belum terbukti dapat dieksploitasi menjadi serangan.

Salah satu persoalannya adalah kompleksitas untuk merangkai sejumlah kondisi dan bug sehingga akhirnya dapat digunakan untuk menjalankan kode berbahaya.

Baca juga: Terjadi Lagi, Agen AI Bobol Sistem Keamanan di India dan Akses Data Rahasia

Menurut Wiz, sebelumnya dibutuhkan rangkaian langkah yang sangat rumit untuk membuktikan bahwa kerentanan tersebut benar-benar dapat dieksploitasi.

Kehadiran model AI kemudian membantu peneliti memangkas sebagian pekerjaan untuk merangkai bug tersebut sekaligus menyesuaikan kode eksploitasi untuk kondisi dan target yang berbeda.

Dengan kata lain, AI membantu peneliti membuktikan bahwa masalah yang selama bertahun-tahun tersimpan di dalam kode PHP ternyata dapat berkembang menjadi celah keamanan serius.

Baca juga: Celah Keamanan Situs Web Picu Situasi Darurat, Layanan Pemerintah hingga Rumah Sakit Ditutup

Rangkaian kerentanan tersebut kemudian dikenal dengan nama PHP2Shell.

GPT-5.6 Sol ikut "mengulik" kode PHP

Menurut OpenAI, kelompok riset keamanan AI bernama Calif menemukan celah kritis tersebut menggunakan model GPT-5.6 Sol.

Penelitian itu dilakukan sebagai bagian dari program Patch the Planet milik OpenAI.

Baca juga: Celah yang Ancam Jutaan Situs Terungkap, PHP Foundation Buka-bukaan Proses Perbaikannya

Calif mulai menelusuri kode PHP pada akhir Juli 2026.

Temuan pertamanya kemudian dilaporkan kepada pengembang PHP pada 11 Agustus 2026. Sekitar 10 hari kemudian, tim tersebut kembali melaporkan temuan kedua.

"Kami tidak menyangka akan menemukan sesuatu yang kritis," tulis tim Calif dalam laporannya.

Secara terpisah, perusahaan keamanan siber Wiz juga menemukan dan melaporkan kedua kerentanan tersebut.

Baca juga: Nasib Situs Web Keluaran Tahun 2013 Kini...

Wiz menggunakan agen riset keamanan miliknya bersama sejumlah model AI dalam proses penelitian, termasuk GPT-5.6 Sol dan Gemini 4 Argon.

Dengan demikian, temuan kerentanan PHP tersebut tidak hanya berasal dari satu tim. Peneliti berbeda secara independen menemukan masalah yang sama dengan bantuan AI.

Temuan kemudian dilaporkan kepada pengembang PHP sebelum rincian teknisnya dipublikasikan, sehingga perbaikan dapat disiapkan terlebih dahulu.

Peretas bisa ambil alih server tanpa login

Baca juga: Celah Keamanan "PHP2Shell" Berpotensi Ancam 70 Persen Website di Dunia

Dua celah PHP2Shell memungkinkan terjadinya eksekusi kode dari jarak jauh tanpa autentikasi (unauthenticated remote code execution/RCE).

Artinya, dalam kondisi tertentu, penyerang tidak perlu memiliki akun administrator atau melakukan login terlebih dahulu untuk menjalankan kode berbahaya di server.

Celah pertama terdaftar dengan kode CVE-2026-109618.

Baca juga: Ini yang Terjadi Jika Website Telanjur Diretas lewat Celah PHP2Shell

Kerentanan ini berkaitan dengan cara PHP menangani kondisi ketika sistem kehabisan memori (out-of-memory).

Proses yang terhenti di tengah jalan dapat meninggalkan data yang rusak. Data tersebut kemudian masih dapat diproses oleh sistem seolah-olah merupakan data yang sah.

Tim PHP menyebut kerentanan ini telah terbukti dapat dimanfaatkan untuk menjalankan kode dari jarak jauh tanpa autentikasi.

Baca juga: BSSN Peringatkan Bahaya Celah PHP2Shell, Pengelola Website Diminta Bertindak

Sementara itu, celah kedua memiliki kode CVE-2026-109619.

Kerentanan ini berkaitan dengan data sisa dari sebuah permintaan (request) yang masih tersimpan setelah ruang memorinya dilepaskan.

Permintaan berikutnya dapat menggunakan data lama tersebut sebelum sistem sempat mengaturnya ulang. Pada konfigurasi tertentu, kondisi ini juga dapat berujung pada eksekusi kode dari jarak jauh.

Baca juga: Imbas Celah Kritis PHP, Situs Pemerintah Nepal hingga Finlandia Ditutup

Dalam skenario terburuk, penyerang berpotensi mendapatkan kendali atas sebuah server melalui PHP2Shell.

Akses tersebut dapat membuka jalan menuju berbagai data sensitif yang tersimpan di server, mulai dari kata sandi, kunci API, sertifikat kriptografi, hingga basis data.

Server yang sudah dikuasai juga berpotensi digunakan sebagai pijakan untuk menyerang server lain yang masih rentan, sebagaimana dihimpun KompasTekno dari The Verge.

Baca juga: Cisco Punya Antares, AI Kecil Pencari Kode Rawan Celah Keamanan

OpenAI menyebut masalah ini sebagai salah satu isu keamanan dengan dampak besar yang ditemukan dalam beberapa waktu terakhir.

Sementara itu, Wiz menilai temuan tersebut sebagai salah satu kerentanan paling serius yang pernah ditemukan di PHP.

Jutaan server PHP terekspos internet

Ancaman PHP2Shell bukan lagi sebatas kemungkinan secara teori. Chief Technology Officer (CTO) Cloudflare, Dane Knecht mengatakan pihaknya telah melihat serangan awal yang mencoba memanfaatkan kerentanan tersebut.

Baca juga: BPN Buka Data Kepemilikan Lahan yang Diperebutkan Hercules dan PT KAI

Layanan pemindai keamanan VirusTotal memperkirakan lebih dari 5,1 juta server PHP terekspos ke internet.

Dari jumlah tersebut, sekitar 3,8 juta disebut memiliki setidaknya satu port atau pintu jaringan yang terbuka.

Angka tersebut bukan berarti seluruh server telah diretas atau dipastikan rentan. Data itu menggambarkan besarnya jumlah sistem berbasis PHP yang dapat diakses melalui internet dan berpotensi perlu diperiksa serta diperbarui.

Baca juga: 8 Anggota Brimob Polda Maluku Dipecat tidak Hormat, Salah Satunya Perwira

Penemuan dua celah tersebut juga memicu langkah pencegahan dari sejumlah organisasi.

Sejumlah lembaga pemerintah di Belanda dan Finlandia mematikan situs mereka untuk sementara.

Situs dan layanan lain juga mengalami gangguan pada Rabu (21/10/2026), termasuk 4chan, DeviantArt, serta sejumlah layanan Pokemon.

Baca juga: Sulit Cari Kerja Bergaji Layak di Dalam Negeri, Sena Lirik Peluang ke Luar Negeri

Wikimedia, organisasi yang mengelola Wikipedia, berupaya menjaga agar situs-situs wiki tetap dapat diakses.

Namun, sejumlah layanan pendukung sengaja dinonaktifkan sementara hingga perbaikan keamanan dapat diterapkan. Layanan tersebut antara lain Toolforge dan Cloud VPS yang digunakan oleh para pengembang relawan.

Penonaktifan layanan sebagai tindakan pencegahan tersebut tidak berarti semua situs terkait telah diretas atau menjadi korban eksploitasi PHP2Shell.

Baca juga: Mekanik di Tangerang Ditagih Pajak McLaren Rp 137 Juta, Identitasnya Diduga Dipakai Orang Lain

PHP rilis patch darurat

Pengembang PHP telah merilis pembaruan keamanan untuk menutup kedua celah tersebut pada Rabu (21/10/2026).

Empat versi PHP yang telah mendapatkan perbaikan adalah:

- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35

Baca juga: Legislator Gerindra soal Putusan MK tentang Ijazah Gibran: Ada Saatnya Pertarungan Politik Berakhir

Pengelola situs dan server yang menggunakan PHP disarankan segera memperbarui sistem mereka ke versi yang telah ditambal.

PHP 8.1 dan versi yang lebih lama sudah tidak mendapatkan dukungan keamanan resmi dari proyek PHP.

Akun NSA Cybersecurity di platform X menyarankan organisasi mempertimbangkan menonaktifkan sistem apabila pembaruan tidak dapat segera dilakukan.

Baca juga: Kronologi Kecelakaan Maut yang Tewaskan Dosen Universitas Muhammadiyah, Suami, dan 2 Anaknya

Pusat Keamanan Siber Nasional Inggris (NCSC) juga meminta organisasi mempertimbangkan langkah serupa apabila pembaruan ataupun mitigasi sementara yang diberikan tim PHP belum dapat diterapkan.

Bagi pengguna internet biasa, tidak banyak tindakan langsung yang dapat dilakukan karena kerentanan PHP2Shell berada di sisi server.

Namun, server yang berhasil diambil alih penyerang berpotensi digunakan untuk menyebarkan malware atau mencuri data pengguna.

Baca juga: Kisah Jumaidin, Pulang Setelah 8 Tahun Dikabarkan Meninggal akibat Bencana Palu 2018

Sementara itu, pemilik blog atau situs sederhana yang menggunakan PHP disarankan segera memeriksa versi PHP yang berjalan di server mereka.

Memperbarui WordPress atau aplikasi saja belum tentu cukup apabila versi PHP pada server masih menggunakan versi yang rentan.

Penyedia layanan hosting GoDaddy bahkan meminta pelanggan yang menggunakan PHP untuk menganggap situs mereka terdampak hingga PHP diperbarui ke versi yang telah mendapatkan perbaikan.

Bayangkan seorang anak Indonesia bercita-cita menjadi dokter tetapi hanya memiliki satu buku lusuh untuk belajar. Bersama Ekspedisi Kata ke Nyata Kompas.com, Anda bisa membantu mengubah kisah itu. Mari hadirkan akses literasi bagi anak-anak di berbagai pelosok Indonesia melalui donasi lewat tautan https://bit.ly/JagatLiterasi2026. Setiap kebaikan yang Anda berikan bukan hanya membuka jendela pengetahuan, tetapi juga membuka masa depan mereka.