Kerentanan tersebut memungkinkan peretas mengubah situs web atau mengekstrak data, termasuk informasi pribadi.
Situs-situs web pemerintah di Eropa dan negara-negara lain menjadi offline setelah berita tentang kerentanan kritis dalam bahasa pemrograman yang banyak digunakan membuat operator situs web berusaha keras untuk melindungi sistem mereka.
Pengembang bahasa pemrograman PHP pada hari Rabu merilis perbaikan baru yang mendesak, dengan mengatakan semua pengguna “didorong untuk segera memperbarui”.
PHP berjalan di server yang menghosting situs web, membangun halaman di belakang layar sebelum mencapai browser pengunjung. Kebanyakan orang tidak pernah melihatnya, tapi ini mendukung segalanya mulai dari blog hingga toko online dan portal pemerintah.
Kerentanan yang telah mengintai perangkat lunak selama bertahun-tahun, terungkap dengan bantuan kecerdasan buatan. Detail mengenai hal tersebut bocor secara online pada hari Selasa sebelum perbaikan tersedia, sehingga memaksa PHP untuk segera mengeluarkannya.
Para ahli mengatakan mereka bersiap menghadapi gelombang intrusi ketika para peretas melompat untuk mendahului pembaruan.
Andrew Cullen, dosen AI dan keamanan siber di Universitas Melbourne, mengatakan banyak perangkat di dunia terhubung ke satu perangkat lunak dasar, yang merupakan tempat ditemukannya bug.
Kerentanan ini memungkinkan peretas untuk menjalankan kode di situs web, yang berarti mereka dapat mengubah situs web atau memaksanya untuk merilis informasi pribadi yang dikumpulkan dalam database, kata Cullen kepada Al Jazeera.
Kedua kelemahan tersebut berasal dari cara PHP menangani kesalahan fatal, seperti kehabisan memori. Karena masalahnya terletak pada PHP itu sendiri, bahkan situs web paling sederhana yang menjalankan versi yang terpengaruh pun bisa menjadi rentan, dan penyerang dapat membaca kata sandi dan kredensial lainnya dari memori server, kata perusahaan keamanan cloud Wiz. Kedua kelemahan tersebut mendapat skor 9,2 dari 10 pada skala tingkat keparahan standar industri, sehingga menempatkan keduanya dalam kategori “kritis”.
Kedua kelemahan tersebut, yang dijuluki PHP2Shell, ditemukan secara independen oleh dua perusahaan keamanan siber yang menggunakan AI. Calif, bekerja sama dengan OpenAI, melaporkan laporan pertama pada 11 Agustus. Wiz, yang dimiliki oleh Google, melaporkan laporan kedua pada 24 Agustus.
Kerentanan tersebut tetap tersembunyi dalam basis kode PHP selama lebih dari satu dekade dan akan menjadi sangat rumit untuk dimanfaatkan oleh peretas manusia, kata Wiz dalam sebuah pernyataan.
Calif dan Wiz mengatakan mereka telah berkoordinasi satu sama lain, tim PHP dan OpenAI sebelum mempublikasikan kerentanan tersebut.
Namun, kepala keamanan Amazon CJ Moses mengatakan tim keamanannya mendeteksi upaya untuk mengeksploitasi kerentanan pada 17 Oktober.