Kerentanan Kritis PHP2Shell Nyaris Lumpuhkan Internet, Jutaan Sistem Terancam

Sekitar 70% dari internet yang terhubung ke web mengandalkan PHP, meskipun penggunaannya telah perlahan menurun selama bertahun-tahun demi bahasa pemrograman yang lebih baru dan aman. Mengingat popularitasnya, beberapa situs web terpopuler di dunia beroperasi pada perangkat lunak web yang bergantung pada PHP.

Contohnya adalah WordPress, yang juga menghosting TechCrunch, serta Drupal, Joomla, dan MediaWiki yang mendukung ensiklopedia daring raksasa Wikipedia. PHP hanyalah salah satu dari banyak teknologi lama namun fungsional yang telah bertahan melalui gelombang internet dan generasi yang kini begitu tersebar luas, menjadikannya seperti perekat yang menyatukan sebagian besar internet.

Seringkali, alat-alat ini dikembangkan oleh pengelola sumber terbuka yang tidak dibayar untuk pekerjaan mereka. Oleh karena itu, mereka tidak mampu membiayai tinjauan keamanan pihak ketiga, namun tetap sangat diandalkan oleh perusahaan yang tidak berkontribusi secara finansial pada proyek-proyek tersebut.

Apakah AI Digunakan untuk Menemukan Kerentanan Ini?

Para peneliti keamanan di Calif dikreditkan atas penemuan kerentanan ini awal tahun ini sebagai bagian dari audit keamanan kode PHP. Calif berpartisipasi dalam inisiatif Hack the Planet oleh pembuat model AI OpenAI dan raksasa keamanan siber Wiz, yang kemudian memverifikasi bukti konsep eksploitasi yang dibuat Calif.

Dalam laporan Calif, para peneliti menjelaskan bahwa AI digunakan sebagai bantuan dalam mengeksploitasi kerentanan. Namun, sebagian besar pekerjaan masih mengandalkan pengetahuan yang telah dimiliki para peneliti, serta pemahaman mendalam mereka tentang kode dasar PHP dan riwayat eksploitasinya.

“Tidak ada model yang mampu secara sederhana menggali ‘semua kerentanan’ hanya dengan perintah sederhana. Setidaknya untuk saat ini,” tulis Calif dalam laporannya.

Mengapa Kerentanan Ini Dieksploitasi Sebelum Pengungkapan?

Meskipun ada upaya untuk menjaga kerahasiaan detail kerentanan hingga hari Rabu, tampaknya memang terjadi beberapa eksploitasi PHP2Shell sebelum rilis tambalan. Amazon, yang memiliki visibilitas besar terhadap ancaman daring karena ukuran dan skalanya, menyatakan dalam sebuah unggahan blog bahwa mereka mendeteksi eksploitasi PHP2Shell sekitar seminggu sebelum tambalan PHP tersedia.

Hal ini menunjukkan bahwa seseorang, di suatu tempat, telah mengetahui cara mengeksploitasi kerentanan tersebut sebelum detailnya tersedia secara luas. Amazon menyatakan tidak jelas bagaimana peretas mengetahui kerentanan tersebut, namun pihak pertahanan harus mencari bukti eksploitasi sedini tanggal 17 Oktober.

Ada beberapa teori mengenai apa yang terjadi. Begitu sebuah kerentanan ditambal, detail tambalan dapat segera terlihat, terutama jika kodenya, seperti dalam kasus PHP, bersifat sumber terbuka sehingga publik dapat memeriksanya. Mengeksploitasi kerentanan mungkin tidak mudah, namun mengetahui di mana letak kerentanan dan bagaimana cara memperbaikinya dapat memungkinkan peretas jahat memahami di mana harus menargetkan dan bagaimana mengembangkan eksploitasi mereka.

Ada kemungkinan terjadi kebocoran atau kerusakan komunikasi di suatu tempat selama masa embargo. Komunitas sumber terbuka sangat besar dan mengendalikan informasi dengan cara ini sangat bergantung pada itikad baik.

Ada juga kemungkinan bahwa peretas menemukan kerentanan ini lebih awal, baik secara independen maupun melalui kegiatan spionase. PHP Foundation menyalahkan satu perusahaan karena merilis tambalan beberapa jam sebelum masa embargo berakhir, yang mungkin memberikan keuntungan bagi beberapa penyerang jika mereka memperoleh detail tambalan sebelum yang lain.

Namun, alasan ini tidak menjelaskan aktivitas selama seminggu yang terdeteksi oleh Amazon. Para peneliti mengatakan bahwa kerentanan memerlukan banyak upaya untuk dapat dieksploitasi dan mempersenjatai kerentanan tersebut merupakan tantangan, meskipun bukan tidak mungkin.

Hal ini menjelaskan mengapa kita belum melihat skala eksploitasi massal saat ini. Namun, hingga Jumat malam, telah ada kompromi yang dikonfirmasi dan aktivitas pasca-eksploitasi terkait kerentanan PHP, menurut raksasa keamanan Palo Alto Networks dan Trail of Bits. Ini berarti kerentanan tersebut terdeteksi disalahgunakan untuk meretas dan secara aktif melakukan aktivitas jahat pada target yang belum diketahui.

Apakah Bagian Besar Internet yang Ditutup Sudah Kembali Normal? Apakah Kita Menghindari yang Terburuk?

Ini masih awal, namun merupakan pertanda baik bahwa belum ada tanda-tanda eksploitasi massal, meski kita belum sepenuhnya keluar dari zona bahaya. Matthew Prince, kepala eksekutif raksasa keamanan dan pemantauan jaringan Cloudflare, yang juga memiliki telemetri ke sebagian besar internet, mengatakan pekan ini bahwa pihaknya telah melihat peningkatan eksponensial dalam upaya mengeksploitasi kerentanan setelah pengungkapannya.

Hal ini memberikan perspektif tentang seberapa cepat aktor jahat berusaha menyalahgunakan celah keamanan untuk keuntungan mereka sendiri. PHP tidak hanya ditemukan pada server web, tetapi juga digunakan dalam alat pengembang, paket baris perintah dan terminal, serta komponen perangkat lunak lainnya yang digunakan oleh router, perangkat penyimpanan, dan perangkat keamanan perusahaan seperti firewall dan VPN.

Kita harus bersiap untuk melihat eksploitasi PHP2Shell di kemudian hari, karena tim IT yang lebih kecil dan pengembang tunggal mungkin lebih lambat dalam memperbarui sistem mereka. Akan ada juga periode di mana berbagai perusahaan yang mengandalkan dan mengintegrasikan PHP ke dalam produk dan perangkat lunak mereka sendiri juga perlu diperbarui.

Seiring semakin banyak perangkat dan sistem yang diperbarui, permukaan serangan akan berkurang seiring waktu. Namun, efek riak dari kerentanan ini masih dapat dirasakan selama bertahun-tahun mendatang, terutama pada sistem lama (legacy systems) yang tidak memiliki sarana untuk diperbarui.

Apakah Ini Akan Terjadi Lagi?

Insiden ini adalah salah satu dari hari-hari langka yang nyaris melumpuhkan internet yang saya saksikan selama menjadi reporter keamanan. Pada tahun 2016, botnet besar membanjiri registri internet Dyn dengan lalu lintas sampah yang menyebabkan sebagian besar layanan teratas web melambat hingga terhenti.

Pada tahun 2017, Korea Utara menggunakan alat peretasan pemerintah AS yang bocor untuk menginfeksi sistem kesehatan Inggris dengan ransomware. Dan pada tahun 2024, pembaruan CrowdStrike yang salah memicu pemadaman global besar-besaran yang menyebabkan sebagian besar komputer Windows di dunia lumpuh sekaligus.

Dengan PHP2Shell, internet berhasil lolos dari apa yang seharusnya bisa menjadi hari yang sangat menyakitkan dan merusak. Namun, ini kemungkinan bukan insiden besar terakhir yang melanda web, dan ini mungkin yang pertama dalam tren insiden yang mengeksploitasi kelemahan dalam teknologi lama.

Banyak dari hal ini disebabkan oleh cacat bawaan pada perangkat lunak lama namun sudah tersebar luas yang belum ditemukan, ditambah dengan alat AI yang semakin memudahkan penemuan celah. PHP, seperti halnya bahasa pemrograman web dan teknologi lain dari puluhan tahun lalu, adalah “tidak aman memori” (memory unsafe).

Artinya, mereka dapat diserang melalui seluruh kelas kerentanan yang dapat memaksa perangkat lunak membocorkan atau menumpahkan data sensitif dari penyimpanan memori perangkat lunak. National Security Agency (NSA) menyatakan bahwa sekitar 75% dari semua kerentanan yang aktif dieksploitasi menyalahgunakan cacat terkait memori, yang berarti peretas sangat sering menggunakannya.

Kondisi ini telah mendorong pergeseran menuju penggunaan bahasa aman memori (memory-safe languages), seperti Python, Rust, dan Swift, yang tidak dapat disalahgunakan dengan cara yang sama seperti kerentanan memori. Dengan demikian, bahasa-bahasa ini membuat mereka secara luas kebal terhadap sebagian besar kerentanan yang masih memengaruhi pendahulunya.

Namun, hal itu masih menyisakan seluruh bagian internet yang menjalankan sejumlah teknologi, seperti PHP, codec media dan video, pustaka kompresi, dan perangkat lunak lain dari puluhan tahun lalu. Ketika teknologi-teknologi ini rusak, akan ada implikasi besar bagi seluruh web.