PADA Juli 2004, peneliti keamanan Stefan Esser mengirimkan peringatan serius. Satu celah kritis ditemukan pada PHP, bahasa pemrograman yang menggerakkan 70% situs web di dunia. Celah ini memungkinkan penyerang melakukan tindakan berbahaya: membaca kata sandi, mencuri basis data, hingga mengambil alih seluruh situs web.
Namun, peringatan Esser sebagian besar diabaikan selama dua dekade. Meskipun masalah terkait ditemukan kembali pada tahun 2020 dan 2024, perbaikan yang diberikan hanya bersifat parsial atau bahkan dibiarkan begitu saja. Mengapa ancaman sebesar ini dibiarkan selama 22 tahun?
Jawabannya, eksploitasi celah tersebut membutuhkan kerja keras yang sangat membosankan dan memakan waktu bagi manusia. Hal ini membuat kerentanan PHP dianggap tidak praktis untuk dieksploitasi secara nyata.
Kini, paradigma tersebut berubah total. Kecerdasan buatan (AI) berhasil menemukan cara untuk mengeksploitasinya hanya dalam waktu dua hari.
Runtuhnya Security by Exhaustion
Selama ini, keamanan internet sering kali bergantung pada sesuatu yang disebut sebagai security by exhaustion. Banyak celah keamanan dibiarkan karena dianggap terlalu sulit atau terlalu mahal untuk dieksploitasi oleh peretas manusia. Namun, AI tidak mengenal lelah.
Pada 30 Juli, peneliti di perusahaan keamanan AI, Calif, bekerja sama dengan inisiatif Patch the Planet dari OpenAI, mengarahkan model bahasa besar (LLM) ke struktur PHP. Hasilnya mengejutkan:
- 1 Agustus: AI menemukan metode untuk menyerang kerentanan PHP.
- Beberapa hari kemudian: AI menemukan metode serangan kedua dan ketiga.
- Akhir Agustus: Perusahaan keamanan Wiz (didukung Google) menemukan eksploitasi baru lain pada kerentanan PHP tersebut.
Nick Rogers, CEO Fieldwork AI, menyatakan bahwa AI dapat terus bekerja secara mekanis hingga menemukan solusi. “Anda bahkan tidak perlu mencoba. Anda bisa minum kopi sementara AI menyelesaikannya,” ujarnya.
Detail Kerentanan: Kekacauan di Dapur Server
Hingga tambalan (patch) dirilis pada Rabu (21/10), PHP memiliki cacat fatal dalam cara memproses permintaan. Jika server mengalami crash karena kehabisan memori, ia akan meninggalkan data sisa yang dapat dieksploitasi untuk membocorkan informasi atau menjalankan kode berbahaya.
Para peneliti mengibaratkan eksploitasi ini seperti dapur restoran yang sibuk. Pelanggan membanjiri koki dengan pesanan rumit hingga koki tersebut menyerah dan berhenti di tengah jalan, meninggalkan panci kotor dan bahan mentah berserakan. Saat koki baru datang, ia secara tidak sengaja menyajikan makanan terkontaminasi dari sisa-sisa tersebut kepada pelanggan.
AI menemukan cara untuk memicu kegagalan memori ini, salah satunya dengan memanfaatkan ketidaksesuaian cara PHP mengukur file terkompresi dibandingkan dengan file yang didekodekan, sehingga memungkinkan file jahat masuk dan mengambil alih sistem dari dalam.
Peringatan bagi Masa Depan Siber
Meskipun tambalan telah dirilis, ancaman belum sepenuhnya berakhir. Adam Meyers dari CrowdStrike mencatat bahwa banyak versi PHP lama yang masih digunakan di seluruh dunia. Selain itu, Cloudflare melaporkan ada ribuan upaya eksploitasi sesaat sebelum pengumuman resmi dilakukan, yang menunjukkan bahwa pelaku kejahatan siap bergerak cepat setelah informasi bocor.
Vyas Sekar, profesor teknik komputer di Carnegie Mellon University, menyebut ini sebagai panggilan bangun (wakeup call). “Industri keamanan telah lama memperingatkan tentang kiamat keamanan karena AI dapat melakukan hal-hal ini dengan sangat cepat, lebih baik daripada manusia,” katanya.
Rekomendasi OpenAI: Perusahaan disarankan untuk menulis kode yang lebih aman sejak awal. Namun, bagi situs yang sudah terlanjur menggunakan PHP, migrasi bukanlah perkara mudah karena membutuhkan pembangunan ulang aplikasi secara keseluruhan.
Kini, komunitas keamanan siber didorong untuk mengubah paradigma: menganggap setiap operasi bisnis sebagai risiko tinggi. Madhu Shashanka dari Concentric AI menegaskan bahwa AI membuat upaya manual yang dulunya menghalangi peretas menjadi tidak berarti lagi. Keamanan internet tidak lagi bisa mengandalkan kelelahan manusia sebagai benteng pertahanan. (CNN/I-2)