Kerentanan PHP Picu Kepanikan, Pakar Soroti Rapuhnya Infrastruktur Internet

Pengumuman mengejutkan beredar pekan ini. Karena kerentanan yang baru ditemukan pada bahasa pemrograman open source PHP, pemilik situs web diminta segera menambal situs mereka, atau menurunkan situsnya untuk sementara jika perbaikan belum bisa dilakukan langsung.

Insiden yang lantas dijuluki "PHP-ocalypse" itu dibahas dalam episode terbaru podcast Equity milik TechCrunch. Tiga pembawa acara, Kirsten Korosec, Sean O'Kane, dan Anthony Ha, membahas makna peristiwa tersebut serta kemungkinan munculnya insiden serupa di masa depan.

Momen perhitungan bagi internet

Sean menilai peristiwa ini sebagai "momen perhitungan yang nyata". Menurutnya, peristiwa ini memperlihatkan bahwa ketika membahas lapisan paling dasar internet, semuanya tampak "disatukan oleh lem dan mimpi".

"Ketika Anda benar-benar turun ke lapisan paling dasar internet, semuanya disatukan oleh lem dan mimpi," ujarnya.

Sean menambahkan, akses luas terhadap model bahasa besar (LLM) dan agen AI membuat penemuan celah keamanan semacam ini semakin mudah dilakukan. Meski demikian, ia menegaskan kerentanan spesifik yang memicu kepanikan pekan ini ditemukan oleh peneliti manusia, bukan oleh model AI.

Kirsten mengungkapkan kekhawatiran bahwa publik akan menghadapi "tingkat berikutnya dari kepanikan ala prepper". Menurutnya, skenario itu terbayang karena bank pun bisa dieksploitasi, dan persoalan data serta privasi membuat masalah ini terasa jauh lebih besar daripada yang bisa diperbaiki saat ini.

Kerentanan berusia puluhan tahun

Anthony menyoroti satu hal mencolok: kerentanan tersebut bukan temuan baru. Celah itu disebutnya sudah ada di PHP selama puluhan tahun, tetapi tidak diketahui orang.

Dalam penjelasan awalnya, Anthony mengatakan perusahaan-perusahaan AI besar, termasuk Wiz yang kini dimiliki Google, mampu menemukan kerentanan tersebut menggunakan LLM. Ia kemudian mengoreksi pernyataan itu: peneliti manusia yang terlibat dalam inisiatif Hack the Planet dari OpenAI dan Wiz-lah yang menemukan kerentanan tersebut, meskipun mereka menggunakan AI untuk mengeksploitasinya.

Menurut Anthony, perhitungannya menjadi rumit. Jika kerentanan bisa ditemukan dengan LLM, pihak lain juga berpotensi menemukannya. Namun satu-satunya cara agar tambalan tersedia adalah dengan mengumumkan kerentanan itu. Situasi pun menjadi panik: celah yang sudah puluhan tahun ada harus segera ditambal, dan jika tidak mampu, situs harus diturunkan.

Kirsten menambahkan bahwa banyak orang tidak menyadari situs mereka memakai PHP. Ia menyebut istilah resmi bahasa itu adalah Hypertext Preprocessor, yang menjadi bahan inti di balik sistem manajemen konten yang dipakai antara lain oleh WordPress dan Drupal, atau sekitar 70 persen situs web. Artinya, cakupannya mencapai puluhan juta situs.

Dari situ ia menarik dua hal. Pertama, ia menduga ini baru permulaan dan mempertanyakan perangkat lunak buruk berusia puluhan tahun lain yang mungkin dieksploitasi. Kedua, ia menyoroti persoalan link rot atau tautan mati, seperti diulas 404 Media, karena banyak pihak, mulai dari perusahaan, pemerintah, hingga situs lingkungan kecil, memilih mematikan situs ketimbang menambalnya. Akibatnya, sebagian catatan sejarah di internet berpotensi tidak lagi bisa diakses.

Kritik pada proses pengungkapan

Sean menyebut banyak pihak tidak puas dengan cara pengungkapan kerentanan ini, termasuk sikap yang dianggap terlalu membanggakan diri dari OpenAI dalam unggahannya soal temuan itu. Ia juga menyoroti beberapa pihak yang mendahului embargo rilis, sehingga memicu perlombaan di kalangan peretas.

Menurut Sean, CEO Cloudflare Matthew Prince sudah menulis soal eskalasi hingga jutaan upaya peretasan terhadap PHP2Shell.

Ia menjelaskan, dalam keamanan siber biasanya pengujian terhadap perangkat lunak sebuah perusahaan bisa dilaporkan secara tertutup kepada perusahaan tersebut. Namun untuk perangkat lunak yang sedasar dan sefundamental PHP, tidak ada cara untuk memberi tahu semua pihak secara diam-diam. Menurutnya, masa ketika setiap situs punya webmaster yang mudah diidentifikasi sudah lewat, dan andai masih ada, persoalan mungkin bisa sedikit teratasi. Ia menyebut persoalan ini sebagai awal dari banyak tarik-menarik dan jelas merupakan batas baru dalam keamanan siber.

Kesenjangan kapasitas

Kirsten menilai unggahan media sosial Matthew Prince sangat memberi petunjuk dan cukup menakutkan. Ia juga menyoroti unggahan blog Amazon, perusahaan dengan modal besar yang punya alat dan tim untuk memantau situasi. Amazon, katanya, mengoperasikan jaringan honeypot atau umpan, dan melihat ada upaya mengeksploitasi kerentanan itu sebelum diumumkan secara resmi.

Bagi Kirsten, hal itu kembali menunjukkan kesenjangan: Amazon punya alat, modal, dan pengetahuan untuk melawan ancaman semacam ini, sementara banyak situs web, termasuk kemungkinan situs pemerintah, tidak memiliki perhatian sebesar itu.

Ke depan, Kirsten ingin melihat dua hal: seberapa ekstrem perubahan perilaku orang menghadapi insiden ini, dan apakah akan muncul startup baru sebagai dampaknya, ataukah sektor ini akan beralih ke alat open source, seperti yang ditawarkan perusahaan macam Nvidia, untuk membangun lapisan keamanan.

Sumber: TechCrunch