Tim darurat siber Eropa telah menyarankan agar situs web yang tidak bisa melakukan patch untuk dua kerentanan kritis di PHP mempertimbangkan untuk offline. Kedua celah ini bisa memungkinkan penyerang mengambil alih server web tanpa login.
PHP digunakan di balik banyak situs web, mulai dari blog WordPress hingga toko online Magento. Akan tetapi, detail kedua celah ini sudah bocor di internet sebelum perbaikan siap dirilis.
Penyerang Mendapat Keunggulan Awal
Kebocoran tersebut muncul pada 20 Oktober, sebelum pengumuman resmi dirilis, Huntress melaporkan. Tim keamanan dari foundation PHP kemudian menjadwalkan rilis perbaikan pada 21 Oktober pukul 14:00 UTC.
Perusahaan keamanan watchTowr telah berhasil mereproduksi salah satu dari dua bug tersebut, papar Huntress. Sementara itu, Huntress sendiri menyebut belum menemukan eksploitasi di sistem para pelanggan mereka.
Di sisi lain, chief technology officer Cloudflare, Dane Knecht, menuturkan serangan sudah mulai terjadi. Perusahaannya telah menerapkan aturan firewall untuk menutup jalur serangan yang diketahui ke semua pelanggan, termasuk pengguna gratis.
Kami sudah melihat serangan awal bermunculan dan terus memperbarui mitigasi saat ada vektor baru. Ini hanya solusi sementara.
Knecht membagikan peringatan ini dalam sebuah postingan di X.
Tim Tanggap Darurat Komputer Uni Eropa (CERT-EU) dan lembaga siber Australia sama-sama memperingatkan bahwa kerentanan PHP tersebut bisa mempengaruhi semua rilis PHP sejak versi 5, Reuters melaporkan.
Beberapa peneliti memperkirakan perbaikan hanya tersedia untuk PHP 8 yang masih didukung, jelas Huntress. Artinya, situs yang masih memakai versi lama dan tidak didukung tidak akan mendapatkan patch.
Peringatan ini datang beberapa minggu setelah lebih dari 100 perusahaan memperingatkan lonjakan serangan siber berbasis AI dalam beberapa bulan ke depan.
Arti Kerentanan PHP Bagi Pemilik Situs Web
PHP berjalan di sekitar 69% situs web yang bahasa server-sidenya diketahui, berdasarkan data W3Techs. Sendiri saja, WordPress menggerakkan kurang lebih 40% dari seluruh situs web.
CERT-EU menjelaskan bahwa skor keparahan 9,2 mengindikasikan kemungkinan eksekusi kode jarak jauh tanpa autentikasi. Artinya, pihak luar bisa menjalankan kode berbahaya di server tanpa perlu kredensial apapun.
Penyedia hosting GoDaddy mengingatkan bahwa penyerang bisa mencuri data, merusak tampilan situs, atau mengambil kendali penuh atas sistem. Data yang dicuri bernilai nyata, seperti yang ditunjukkan kasus pembobolan bank Korea Selatan.
Plugin keamanan Wordfence menegaskan setiap situs WordPress pasti berjalan di server PHP. Tapi update otomatis WordPress tidak akan memperbaiki kerentanan PHP ini. Maka, pemilik situs harus mencari tahu siapa yang mengelola PHP di layanan mereka.
Serangan pada infrastruktur sehari-hari terus meluas, seperti kasus peretasan lemari pendingin supermarket Prancis pada Oktober lalu. Kerentanan PHP kali ini menggeser ancaman ke lapisan perangkat lunak yang menopang banyak situs di web, dan satu saja update server yang terlewat bisa membuka celah baru.
