Minggu ini, dunia digital digemparkan dengan pengumuman menarik. Beberapa kerentanan yang baru ditemukan pada bahasa pemrograman sumber terbuka, PHP, memaksa pemilik situs web untuk segera memperbaiki situs mereka. Jika tidak bisa melakukan pembaruan dengan cepat, mereka disarankan untuk menonaktifkan situs sebagai langkah pencegahan.
Di episode terbaru podcast Equity dari TechCrunch, Kirsten Korosec, Sean O’Kane, dan tim membahas betapa signifikannya peristiwa yang disebut “PHP-ocalypse” ini dan kemungkinan akan ada lebih banyak insiden serupa di masa depan.
Sean menilai ini sebagai “momen penyelesaian yang nyata” yang menunjukkan bahwa ketika kita mengeksplor lebih dalam dunia internet, semuanya seolah terikat oleh lem dan mimpi. Dengan akses luas terhadap model bahasa besar dan agen AI, menemukan kerentanan ini akan semakin mudah. Meski begitu, kerentanan spesifik ini ditemukan oleh para peneliti manusia, bukan model AI.
Sementara itu, Kirsten mencemaskan apakah kita akan melihat “level baru dari bencana bagi para persiapan,” mengingat potensi eksploitasi terhadap bank dan masalah privasi data, yang tampaknya jadi lebih besar dari yang bisa kita perbaiki saat ini.
Meneruskan percakapan yang penuh wawasan ini, mari kita telaah beberapa poin penting yang diangkat.
Sean O’Kane: “Internet sepertinya sedang ‘break’ dalam banyak cara minggu ini. Untuk yang baru mendengar ini, sudah berapa kali dalam sepuluh tahun terakhir kita mengalami momen di mana sesuatu ‘rusak’ atau hampir rusak? Ketika satu orang yang mengelola repositori kecil sebagai hobi bisa menangkap sesuatu yang mencurigakan dan menyelamatkan infrastruktur internet dari keruntuhan total.”
“Bayangkan jika satu orang memiliki akses ke perangkat lunak canggih dalam bentuk LLM yang semuanya digunakan orang, ditambah kemampuan untuk menciptakan agen AI yang fokus untuk mencapai tujuan. Senin ini, kita melihat keseimbangan antara dua hal: Pertama, beberapa laboratorium dan perusahaan besar seperti Google dan OpenAI berhasil menemukan banyak kerentanan, termasuk yang terkait dengan PHP. Kedua, banyak pihak tampak tergesa-gesa untuk mengeksploitasi kerentanan ini demi membobol situs web. Kita bisa melihat pemerintah menutup situs, dan banyak situs populer yang mengalami downtime untuk memperbaiki masalah ini.”
“Momen penyelesaian yang nyata ini menunjukkan risiko negatif dari membangun sebagian besar internet dengan teknologi sumber terbuka seperti PHP. Bila kita menggali lebih dalam, kita bisa melihat bahwa ini semua terjalin dengan lem dan impian.”
Anthony Ha: “Ada banyak hal mencolok dari situasi ini. Salah satunya adalah kenyataan bahwa ini bukan kerentanan baru. Ini adalah kerentanan yang sudah ada di PHP selama puluhan tahun.”
“PHP telah digunakan sebagai bahasa pemrograman untuk membangun banyak situs web, jadi kerentanan ini sudah ada sejak lama, tapi tak ada yang menyadarinya. Yang terjadi adalah, perusahaan-perusahaan besar seperti Wiz, yang kini dimiliki Google, mampu menemukan kerentanan ini menggunakan LLM. Tetapi, koreksi: Kerentanan ini sebenarnya ditemukan oleh para peneliti manusia yang ikut serta dalam inisiatif Hack the Planet dari OpenAI dan Wiz.”
“Maka, keputusan untuk melakukan patch ini sangat mendesak karena jika kita bisa menemukan kerentanan ini menggunakan LLM, orang lain juga bisa. Namun, satu-satunya cara untuk menyebarluaskan patch ini adalah dengan mengumumkan kerentanan tersebut. Ini menciptakan situasi panik di mana mereka berteriak: ‘Kerentanan ini sudah ada selama puluhan tahun. Anda harus segera memperbaiki, dan jika tidak bisa, tutup situs Anda. Kerentanannya sangat serius.’”
Kirsten Korosec: “Yang penting adalah, banyak orang tidak menyadari bahwa situs mereka menggunakan PHP, bahasa pemrograman sumber terbuka yang telah ada selama puluhan tahun. Di sini, Hypertext Preprocessor menjadi bahan inti dari sistem manajemen konten yang digunakan di WordPress, Drupal, dan sekitar 70% situs web. Kita berbicara tentang puluhan juta situs web. Jadi menurut saya, skalanya sangat besar. Ini juga membuat saya berpikir, satu: Ini baru permulaan. Apa lagi perangkat lunak buruk yang sudah berpuluh-puluh tahun yang mungkin akan dieksploitasi?”
“Kedua, ini juga mengingatkan pada masalah ‘link rot’ yang diangkat oleh 404 Media. Banyak orang, perusahaan, pemerintah, bahkan situs kecil bisa menutup situs mereka. Jadi, kita akan memiliki banyak ‘link rot’ dan juga situs yang mungkin memiliki jejak sejarah yang tidak akan bisa diakses lagi, ketimbang sekadar memperbaikinya.”
Sean: “Anthony, saya rasa Anda punya poin yang bagus. Saya melihat banyak orang tidak puas dengan cara pengumuman kerentanan ini dilakukan. Ada sedikit kebanggaan yang ditunjukkan oleh OpenAI dalam postingan mereka tentang ini.”
“Sepertinya beberapa orang sudah melangkah lebih dulu sebelum embargo pengumuman ini, yang memicu perlombaan di kalangan hacker. Saya rasa CEO Cloudflare, Matthew Prince, telah menunjukkan adanya lonjakan hack yang mencoba menyerang PHP2Shell hingga jutaan kali.”
“Kerentanan ini biasanya mengikuti pola tertentu dalam dunia keamanan siber. Jika Anda sedang menguji kekuatan perangkat lunak perusahaan, Anda bisa memberi tahu perusahaan tersebut, dan informasi itu tetap di dalam lingkaran tersebut. Namun saat menyangkut sesuatu yang mendalam dan fundamental seperti ini, tidak mungkin untuk memberitahu semua orang dengan diam-diam.”
“Dulu, masih banyak webmasters yang mudah dikenali, mungkin hal ini bisa membantu menyelesaikan masalah. Tapi saat ini, tidak ada cara mudah untuk menangani situasi ini. Saya rasa ini adalah awal dari banyak diskusi dan jelas akan menjadi babak baru dalam keamanan siber.”
Kirsten: “Postingan media sosial Matthew Prince sangat mencerahkan dan cukup menakutkan. Saya juga tidak tahu apakah Anda melihat ini, tetapi Amazon juga merilis postingan blog. Mereka adalah perusahaan yang cukup kuat secara finansial, sehingga mereka memiliki alat dan tim untuk menyelidiki apa yang sedang terjadi. Mereka memiliki jaringan ‘honeypot’, dan mereka bahkan melihat adanya upaya untuk mengeksploitasi kerentanan tersebut sebelum diumumkan secara publik.”
“Bagi saya, ini menunjukkan bahwa Amazon memiliki sumber daya untuk memerangi hal-hal semacam ini. Namun, banyak situs web yang bahkan mungkin situs pemerintah tidak memiliki perhatian level itu. Ini yang membuat saya merasa khawatir.”
“Terdapat AI yang mungkin akan membawa ini ke level yang lebih tinggi, mengingat potensi eksploitasi terhadap bank, dan dengan munculnya kekhawatiran mengenai data dan privasi, sepertinya masalah ini jauh lebih besar dari yang bisa kita atasi saat ini. Saya tertarik melihat dua hal: Seberapa ekstrem perilaku orang akan menjadi, dan apakah akan ada startup baru yang muncul akibat ini, atau adakah kita akan beralih ke beberapa alat sumber terbuka yang ditawarkan oleh perusahaan seperti Nvidia untuk menciptakan lapisan keamanan ini.”
