Utas dari @ogixxxxx membahas celah keamanan yang menurutnya sudah 14 tahun ada di PHP tanpa disadari siapa pun. Yang menemukannya bukan manusia, melainkan AI.
Penulis utas menulis bahwa AI menemukannya hanya dengan GPT-5.6 Sol. Dampaknya sudah terlihat: website pemerintah di Eropa dimatikan, NSA turun tangan, dan PM Jepang ikut memberi peringatan. Padahal sekitar 70 persen website di dunia memakai PHP.
Apa yang bisa dilakukan celah ini
Menurut utas ini, celah tersebut memungkinkan orang menjalankan kode di server tanpa login sama sekali. Penulis menganalogikannya dengan tetangga yang masuk rumah lewat pintu belakang yang lupa dikunci selama 14 tahun.
Yang terdampak bukan cuma aplikasi lama. WordPress, Drupal, dan Joomla versi terbaru pun kena. Aplikasi PHP “Hello World” yang isinya cuma satu baris juga bisa dibobol.
Penulis menyimpulkan bahwa PHP 5.4 ke atas hampir semuanya kena.
Siapa yang menemukannya
Yang menemukan pertama kali disebut bernama Calif, memakai GPT-5.6 Sol. Wiz juga menemukannya sendiri memakai Gemini 4 Argon.
Penulis mengibaratkan temuan itu seperti rengginang di dasar kaleng Khong Guan: sudah 14 tahun di situ, baru ketahuan saat ada yang mengubek sampai bawah.
Reaksi di Eropa dan Amerika
Jerman, Prancis, Belanda, Belgia, Finlandia, dan Ceko mematikan sebagian website pemerintahnya. NSA juga menyarankan agar website yang belum bisa di-update dimatikan dulu untuk sementara.
Cloudflare mencatat puluhan ribu percobaan serangan hanya dalam 45 menit. Malam harinya jumlahnya sudah jutaan.
Serangan sudah berjalan
AWS menyebut celah ini sudah dipakai untuk menyerang. Bahkan ada yang mencoba mengeksploitasi sebelum diumumkan secara resmi.
Penulis utas juga menyoroti sisi lain: AI bisa dipakai siapa saja, termasuk pihak yang niatnya menyerang.
Kenapa baru ketahuan sekarang
Menurut Wiz, kode PHP-nya sendiri tidak berubah. Yang berubah adalah AI-nya, yang makin pintar sehingga bisa memahami celah dan merangkainya menjadi serangan yang benar-benar jalan.
Versi kecil dari bug ini bahkan sudah pernah ditemukan pada 2024, tapi dianggap tidak penting dan tidak ditindaklanjuti.
Pola yang sama terjadi di proyek lain
Januari lalu ada 12 celah OpenSSL yang diumumkan, dan semuanya ditemukan AI buatan AISLE. Dua belas dari dua belas.
Anthropic lewat Project Glasswing mengaku sudah menemukan lebih dari 10.000 celah level high dan critical. Pada Juni 2026, jumlah celah yang diumumkan perusahaan teknologi besar mencapai 3,5 kali lipat rekor sebelumnya.
Efek sampingnya juga nyata. curl sampai menutup program bug bounty-nya pada Januari karena kebanjiran laporan bug asal-asalan buatan AI. AI menemukan bug sungguhan, tapi juga menghasilkan sampah.
Yang perlu dilakukan pemilik website
Saran di utas ini singkat: bagi yang punya website PHP, update PHP-nya sekarang. Kalau belum bisa, tanyakan ke penyedia hosting apakah sudah dipatch atau belum.
Tanggapan di kolom balasan
@omyxxxxx menulis “Padahal 70%”, dan dijawab singkat: ironis.
@setiaji.kurniaxxxxx mengaku punya aplikasi yang masih memakai PHP 5 dan menyebutnya perlu total rombak. Dijawab dengan ajakan kerja bakti.
@keyrazxxxxx menilai cukup pakai Cloudflare dan tidak perlu panik. Penulis utas menjawab bahwa untuk sementara memang sudah ditambal Cloudflare.
@masterapxxxxx bertanya apakah bisa tanpa PHP. Jawabannya: banyak alternatif, tapi untuk web PHP masih paling populer sejauh ini.
@wawanxxxxx bertanya soal Docker, apakah yang jebol bisa sampai ke host atau hanya sebatas container. Penulis utas menjawab belum tahu pasti.
@rafiq.rxxxxx menulis pengalaman panjang: celah serupa disebutnya sudah ada sejak 2019 dan bisa mengambil alih hosting maupun server. Dia menyebut dulu ada yang memakai php2shell, ditemukan oleh anak yang baru masuk SMP, lalu diberi imbalan 5 juta dan langsung dipatch untuk lokal. Penulis utas menanyakan apakah server yang dimaksud benar-benar sempat diambil alih.
@pebrihaexxxxx membagikan tautan penjelasan dan simulasi soal bagaimana kebocoran bisa terjadi, dan dijawab dengan ucapan terima kasih.
Intinya
Celah lama yang diabaikan bisa tetap berbahaya sampai ada yang menemukannya. Dalam kasus ini, yang menemukan adalah AI, dan responsnya sudah sampai ke tingkat pemerintah di Eropa.
