Yayasan PHP mengakui bahwa keraguan dan kekurangan sumber daya menunda perbaikan kerentanan keamanan kritis yang pertama kali ditemukan pada 2024, dan menyebut respons yang berlarut-larut itu sebagai «kegagalan struktural».
Pada Rabu, lembaga pemerintah dan organisasi lain di seluruh dunia secara proaktif menonaktifkan situs mereka sementara PHP merilis perbaikan darurat untuk dua kerentanan kritis yang saling terkait. Kerentanan ini dapat memungkinkan penyerang tanpa autentikasi menjalankan kode di server yang terdampak tanpa masuk ke sistem.
PHP adalah bahasa pemrograman yang banyak digunakan untuk menjalankan situs dan aplikasi web, termasuk sistem manajemen konten.
Dalam sebuah unggahan blog setelah merilis perbaikan, yayasan tersebut menjelaskan bagaimana para pengembangnya pertama kali menemukan tanda-tanda kerentanan pada 2024, tetapi kesulitan menemukan solusi yang tidak mengganggu ekosistem besar perangkat lunak berbasis PHP.
“Ditambah tidak adanya cara yang diketahui untuk mengeksekusi kode dari jarak jauh dan kecilnya tim inti pengembang yang memiliki pengetahuan mendalam tentang mesin tersebut, tetapi dibebani banyak tanggung jawab, proses pengambilan keputusan ini menyebabkan pengerjaan perbaikan berulang kali terhenti dan dilanjutkan kembali selama beberapa bulan,” ujar yayasan tersebut.
“Kami tidak akan berpura-pura bahwa hal itu tidak terjadi: penundaan ini merupakan kegagalan struktural, yang disebabkan oleh proses pengambilan keputusan tim keamanan maupun kekurangan sumber daya yang mereka miliki.”
Pada 11 Agustus, yayasan tersebut kembali diberi tahu tentang kerentanan itu setelah perusahaan keamanan siber Calif dan OpenAI secara independen melaporkan akar masalah yang sama. Calif mendemonstrasikan eksekusi kode jarak jauh tanpa autentikasi, sehingga kerentanan ini menjadi prioritas keamanan.
Situs-situs dinonaktifkan di tengah kekhawatiran atas keamanan PHP
Gangguan menyebar ke seluruh dunia: para pengembang menonaktifkan situs saat bersiap memasang perbaikan darurat.
Belanda menonaktifkan layanan identitas digitalnya, sementara Pusat Keamanan Siber Nasional negara itu juga membuat situs webnya luring.
Penyedia layanan TI pemerintah Finlandia, Valtori, menonaktifkan layanan web pemerintah yang dapat diakses publik, sementara Kementerian Dalam Negeri Prancis untuk sementara membuat situs-situs prefektur luring. Penyedia layanan TI federal Jerman, ITZBund, juga menonaktifkan beberapa situs web, menurut Reuters.
Di Australia, Australian Signals Directorate mengakui bahwa situs keamanan sibernya, cyber.gov.au, termasuk di antara situs pemerintah yang terdampak masalah PHP.
Perdana Menteri Jepang Sanae Takaichi mengunggah pesan di X yang menyerukan kepada operator situs agar bersiap memasang perbaikan sesegera mungkin. Dalam unggahannya, ia menyatakan bahwa penghentian sementara operasi situs dapat mengurangi risiko jika perbaikan tidak dapat segera dipasang.
Wikimedia Foundation, yang mengelola Wikipedia, mengatakan bahwa mereka secara proaktif menonaktifkan beberapa layanan pendukung, termasuk Toolforge dan Cloud VPS, yang menjadi tempat bagi alat dan proyek yang digunakan oleh para pengembang sukarelawan. Akibatnya, beberapa bagian Wikipedia tidak dapat diakses pada hari Rabu.
Intersect, organisasi keanggotaan yang mendukung pengembangan dan tata kelola blockchain Cardano, mengatakan bahwa mereka menonaktifkan sementara portal anggotanya sambil menilai potensi kerentanan tersebut. Saat artikel ini ditulis, halaman itu masih tidak dapat diakses.
Kepala petugas keamanan Coinbase, Jeff Lunglhofer, mengatakan bahwa perusahaan tidak menemukan tanda-tanda adanya instalasi PHP yang rentan.
“Saat mendengar tentang kerentanan seperti ini, kami secara otomatis melakukan pemeriksaan menyeluruh untuk memastikan semuanya seaman mungkin. Kami juga bekerja sama dengan penyedia pihak ketiga kami untuk mendapatkan jaminan tambahan.”
Perusahaan infrastruktur digital BitGo juga mengatakan bahwa platformnya tidak terdampak oleh kerentanan PHP tersebut.
Sementara itu, salah satu pendiri Binance, Changpeng Zhao, memperingatkan para pengguna internet pada hari Rabu agar “sangat berhati-hati” saat mengunjungi situs apa pun dalam beberapa hari ke depan, karena sebagian administrator situs mungkin belum memasang pembaruan keamanan terbaru.
OpenAI merilis keterampilan Codex yang membantu operator situs memeriksa apakah mereka menggunakan versi PHP yang berpotensi rentan dan menentukan pembaruan yang sesuai; keterampilan ini dapat diakses melalui GitHub.
Tim keamanan PHP mengatakan bahwa hingga kerentanan itu diungkapkan kepada publik, mereka belum menemukan eksploit yang berfungsi.