Ringkasnya

  • Pendiri Binance, Changpeng Zhao, memberi tahu para pengguna kripto agar “lebih berhati-hati” saat mengunjungi situs web mana pun setelah dua celah kritis di PHP ditemukan.

  • Celah keamanan yang mendapat nilai 9,2 dari 10 ini dapat memungkinkan penyerang menjalankan kode di server tanpa harus masuk.

  • PHP merilis patch darurat pada 21 Oktober setelah detail celah tersebut bocor di internet lebih awal.

  • Pemerintah di Eropa, Australia, dan wilayah lainnya menonaktifkan situs web sebagai tindakan pencegahan.

  • Coinbase dan BitGo menyatakan bahwa mereka tidak terdampak, dan belum ada kerugian kripto yang dikaitkan dengan celah keamanan tersebut.

Pendiri Binance, Changpeng Zhao, telah memperingatkan para pengguna mata uang kripto agar lebih berhati-hati saat online setelah dua celah keamanan kritis ditemukan di PHP. PHP adalah bahasa pemrograman yang menggerakkan jutaan situs web di seluruh dunia.

“Anggap saja saya paranoid, tetapi berhati-hatilah saat mengunjungi situs web APA PUN dalam beberapa hari ke depan,” tulis Zhao pada 22 Oktober. Ia mengatakan bahwa beberapa administrator situs web mungkin belum memasang pembaruan keamanan terbaru.

Anggap saja saya paranoid, tetapi berhati-hatilah saat mengunjungi situs web APA PUN dalam beberapa hari ke depan, karena sebagian administrator web tidak selalu mengikuti perkembangan terbaru terkait patch keamanan.

Dua kerentanan (CVE-2026-109618 dan CVE-2026-109619) dilaporkan pada PHP, bahasa pemrograman web, yang berdampak pada server…

— CZ 🔶 BNB (@cz_binance) 21 Oktober 2026

Celah keamanan yang dilacak sebagai CVE-2026-109618 dan CVE-2026-109619 ini dapat memungkinkan penyerang menjalankan kode berbahaya di server web tanpa perlu masuk. Celah tersebut berdampak pada situs yang dibangun dengan platform seperti WordPress, Magento, Drupal, dan Joomla.

Celah tersebut berdampak pada server, bukan langsung pada pengunjung. Mengunjungi situs web berbasis PHP tidak serta-merta membuat perangkat atau dompet kripto seseorang berisiko.

Cara Kerja Celah PHP

PHP Foundation memberi kedua celah itu skor tingkat keparahan 9,2 dari 10. Celah tersebut berkaitan dengan kelemahan dalam cara PHP mengelola memori dan menangani kesalahan.

Celah pertama melibatkan kerusakan memori ketika PHP mencapai batas memorinya. Celah kedua berkaitan dengan memori yang tetap dapat diakses setelah dilepaskan. Perusahaan keamanan Cloudflare menyebut keduanya “PHP2Shell.”

PHP merilis versi yang telah ditambal, yaitu 8.2.35, 8.3.36, 8.4.27, dan 8.5.12, pada 21 Oktober. Foundation mendesak para administrator untuk segera memperbarui sistem.

Detailnya bocor secara daring pada 20 Oktober dengan skor tingkat keparahan yang keliru, yaitu 10,0. Perusahaan keamanan Calif kemudian tanpa sengaja menerbitkan video proof of concept, sehingga tim PHP memajukan jadwal rilis satu hari.

Foundation mengakui bahwa mereka pertama kali melihat tanda-tanda masalah ini pada 2024. Mereka menyebut keterlambatan dalam memperbaikinya sebagai “kegagalan struktural” yang disebabkan oleh proses pengambilan keputusan dan kurangnya sumber daya.

Calif dan OpenAI kemudian melaporkan masalah yang sama pada 11 Agustus, sehingga masalah ini menjadi prioritas utama.

Pemerintah dan Perusahaan Kripto Merespons

Badan-badan pemerintah di seluruh dunia menonaktifkan situs web pada Rabu sebagai langkah pencegahan. Belanda menutup layanan identitas digitalnya, sementara Finlandia, Prancis, dan Jerman menonaktifkan sejumlah situs publik.

Situs web keamanan siber Australia juga terdampak. Perdana Menteri Jepang Sanae Takaichi mendesak operator situs web untuk menerapkan patch secepat mungkin.

Wikimedia Foundation menonaktifkan beberapa layanan dukungan, sehingga sebagian Wikipedia tidak dapat diakses.

Di sektor kripto, perusahaan keamanan SlowMist menemukan 793 domain dengan sidik jari PHP langsung dari 1.488 domain kripto yang diperiksanya. Perusahaan itu mendesak bursa, platform DeFi, dan penyedia dompet untuk melakukan pembaruan.

Intersect, yang mendukung pengembangan Cardano, menonaktifkan Area Anggotanya sambil meninjau tingkat paparannya. Coinbase mengatakan tidak menemukan instans PHP yang terekspos, sementara BitGo menyatakan platformnya tidak terdampak.

Peringatan Zhao menyusul serangan phishing baru-baru ini yang menargetkan pengguna kripto, termasuk situs web Ledger palsu dalam hasil pencarian Google. Server PHP yang diretas dapat memungkinkan penyerang mengubah konten situs atau menambahkan permintaan koneksi dompet palsu.

Tim keamanan PHP mengatakan bahwa mereka belum mengidentifikasi eksploit yang berfungsi saat pengungkapan dilakukan. Hingga berita ini ditulis, belum ada insiden keamanan di bursa kripto atau dompet pengguna yang dikaitkan dengan celah tersebut.

Artikel Binance Founder CZ Warns Crypto Users Over Critical PHP Security Flaws pertama kali terbit di Blockonomi.

#CZ