Street Fighter V Ditarik Sementara dari Steam, Mode Online Dimatikan
TeknologiCapcom mematikan sementara fungsi online Street Fighter V dan menariknya dari Steam setelah muncul masalah akibat celah keamanan PHP pekan lalu.
Upaya eksploitasi terhadap sejumlah celah keamanan PHP yang baru dipublikasikan melonjak dalam hitungan jam. Menurut analisis Cloudflare, jutaan percobaan eksploitasi tercatat tak lama setelah kerentanan itu diumumkan, saat tim keamanan dan pengelola situs web bergegas menambal perangkat lunak mereka.
Lonjakan itu dinilai bukan hal yang mengherankan mengingat luasnya akses terhadap alat kecerdasan artifisial yang memudahkan penyerang mengeksploitasi kelemahan perangkat lunak dengan cepat.
Meski demikian, skenario terburuk berupa pengambilalihan massal dan peretasan besar-besaran belum terjadi.
Belum ada eksploitasi yang berhasil
PHP Foundation menyatakan belum melihat satu pun eksploitasi yang berhasil atas kumpulan celah yang dijuluki PHP2Shell. Sejumlah eksploit yang beredar luas di publik juga tampak tidak efektif.
Yang justru menarik dalam kekacauan pekan ini adalah peran AI. Model-model canggih membantu para peneliti menemukan cara eksploitasi praktis atas kerentanan yang, setidaknya sebagian, sudah diketahui selama bertahun-tahun. Dengan kata lain, AI membantu mengubah kerentanan lama menjadi krisis yang aktual.
Ditemukan pertama kali pada awal Agustus
Peneliti di perusahaan keamanan Calif menjadi yang pertama mengidentifikasi kerentanan PHP2Shell dan menyusun eksploitasi pada awal Agustus. Mereka sebagian menggunakan alat AI terdepan sebagai bagian dari program Patch the Planet OpenAI, tetapi juga mengandalkan pengetahuan ahli manusia tentang PHP, dinamikanya, dan kelemahannya.
Sebagian persoalan mendasar sudah teridentifikasi pada 2024, namun saat itu dinilai terlalu rumit untuk dieksploitasi. Setelah temuan Calif, peneliti di OpenAI dan perusahaan keamanan milik Google, Wiz, secara independen menemukan celah PHP2Shell dengan menggunakan alat AI.
"Kerentanan itu sudah diketahui tim PHP selama bertahun-tahun, tetapi karena tidak dapat dimanfaatkan oleh penyerang, setidaknya bukan penyerang manusia, kerentanan itu tidak ditangani," kata Sagi Tzadik, peneliti keamanan di Wiz.
Tekanan bertambah bagi tim TI
Tidak ada perangkat lunak yang sempurna. Cacat selalu ada bahkan pada alat digital paling kritis dan paling mendasar, tetapi kemampuan model AI yang terus berkembang membuat analisis dan potensi eksploitasi berlangsung lebih cepat. Kondisi ini menambah tekanan bagi tim TI, pengembang, dan administrator yang sumber dayanya terbatas untuk terus mengejar pembaruan.
Pembaruan keamanan Microsoft bulan ini mencakup 1.453 kerentanan keamanan, jumlah terbanyak yang pernah tercatat. Sementara itu, Bank of America baru-baru ini mempekerjakan 1.000 konsultan untuk memperbaiki cacat yang ditemukan Mythos milik Anthropic.
Para peneliti keamanan menegaskan AI pada dasarnya tidak melakukan hal baru, melainkan memperbesar dinamika yang sudah ada dalam penemuan kerentanan dan pengungkapan terkoordinasi.
"Kami pasti akan melihat lebih banyak bug berumur panjang yang ada di setiap versi perangkat lunak selama satu dekade terakhir atau semacamnya," kata Jake Williams, wakil presiden riset dan pengembangan di Hunter Strategy yang juga mantan peretas NSA. "Tetapi saya kira buah yang mudah dipetik ini jumlahnya terbatas. Tidak banyak hal lain yang memiliki jangkauan spesifik seperti PHP. Permukaan serangannya cukup liar, sebagian besar alat lain tidak terpapar ke internet secara desain."
Keahlian manusia tetap dibutuhkan
Para peneliti juga mencatat bahwa bahkan dengan model terdepan, sebagian besar contoh peretasan canggih berbantuan AI tetap melibatkan keahlian manusia.
"Tidak ada model yang sekadar mampu menggali 'semua bug' dengan perintah sederhana. Setidaknya untuk saat ini," tulis Ryan Austin, peneliti Calif yang pertama menemukan celah PHP.
Pandangan senada disampaikan insinyur dan peneliti keamanan Niels Provos. Ia menilai publik dapat sedikit menurunkan tingkat kepanikan mereka.
"Sejujurnya, saya tidak terlalu khawatir," katanya.
Provos berbicara soal kemungkinan AI menemukan kerentanan lama dalam jumlah luar biasa besar yang baru bisa dieksploitasi, atau kerentanan baru yang tanpa AI tidak mungkin dieksploitasi secara praktis.
"Orang-orang kini telah mencari dengan AI selama lebih dari setahun, dan dibutuhkan tim yang sangat terampil untuk menemukan yang ini. Saya kira kita akan melihat apakah saya sepenuhnya salah, tetapi saya ragu," ujarnya.
Sumber: WIRED
