Minggu lalu terjadi rentetan kerentanan perangkat lunak yang parah dan kritis, memengaruhi ribuan situs besar dan membuat masyarakat panik. Dua celah Remote Code Execution (RCE) di PHP, dijuluki PHP2Shell, ditemukan oleh tim keamanan terpisah dari Calif dan Wiz, keduanya menggunakan model AI mutakhir untuk menemukan celah dan membangun exploit yang berfungsi. Perkiraan menunjukkan bug ini dapat memengaruhi lebih dari 70% internet, dengan ribuan situs terdampak, termasuk Wikimedia Foundation, DeviantArt, sebagian besar pemerintah Inggris, sistem perbankan Jepang, dan situs The Traitors milik BBC.
Salah satu bug, CVE-2026-109618, sebenarnya telah ditandai dalam audit keamanan 2024 oleh PHP Foundation, yang didanai oleh Sovereign Tech Agency. Tim tersebut menyingkirkannya karena memiliki kekhawatiran yang lebih besar dan tidak dapat sepakat tentang perbaikannya, dengan alasan bahwa tidak ada yang dapat membangun exploit nyata dari masalah teoretis itu. Model AI telah mengubah perhitungan tersebut. Mereka sangat andal dalam mengubah deskripsi kerentanan yang samar menjadi exploit lengkap, dan agen kini dapat memindai diff patch dalam hitungan saat setelah rilis untuk menelusuri mundur ke celah tersebut.
Embargo runtuh ketika pengguna bernama petecooper memposting tentang CVE di Hacker News, tampaknya tidak menyadari bahwa embargo itu ada. PHP Group buru-buru memajukan patch dari Kamis 22 ke Rabu 21, tetapi perbaikannya masih dijadwalkan satu hari lagi. Skor CVSS yang bocor sebesar 10.0 juga tidak akurat, dengan skor sebenarnya tercantum 9.2. Pada saat patch dirilis, bug tersebut sudah dieksploitasi di dunia nyata.
PHP Foundation menyalahkan Calif, yang dilaporkan membocorkan video exploit, dan Chainguard, yang menerbitkan perbaikan enam jam sebelum embargo berakhir. Urutan kejadiannya membingungkan, tetapi tampaknya beberapa kegagalan yang saling terkait membuat penyerang dapat mencapai sistem sebelum administrator sempat menerapkan patch.
Sumber: Hacker News · Diringkas oleh HeadlinesBriefing