AI OpenAI Temukan Celah PHP Berusia Satu Dekade, Lalu Koordinasikan Perbaikannya

Sepasang cacat keamanan serius di PHP, bahasa skrip yang menggerakkan sebagian besar situs web dunia, memicu kesibukan global yang jarang terjadi pekan ini. Bug tersebut ditemukan dengan bantuan alat AI OpenAI dan kemudian diperbaiki dalam kerja sama cepat yang melibatkan para pemelihara perangkat lunak, firma keamanan, penyedia cloud, dan lembaga keamanan siber nasional, menurut OpenAI dan para peneliti keamanan.

Dua kerentanan tersebut, yang dikelompokkan dengan julukan PHP2Shell dan dilacak sebagai CVE-2026-109618 dan CVE-2026-109619, keduanya mendapat skor 9,2 dari 10 pada skala keparahan CVSS v4.0. Dalam skenario terburuk, penyerang dapat menjalankan kode arbitrer di server yang rentan, yang merupakan salah satu masalah paling serius dalam keamanan web. Cacat tersebut dilaporkan telah bersembunyi di basis kode selama lebih dari satu dekade.

Penemuan ini berasal dari program Patch the Planet milik OpenAI, sebuah inisiatif yang memadukan model AI dengan peneliti keamanan untuk memburu kelemahan pada perangkat lunak sumber terbuka yang banyak digunakan. Perusahaan keamanan Calif dan firma keamanan cloud Wiz dikabarkan secara independen mengungkap masalah PHP tersebut dengan bantuan AI pada bulan Agustus. Yang terjadi kemudian adalah sekitar dua bulan kerja senyap untuk menyiapkan perbaikan sebelum siapa pun dapat mempersenjatai bug tersebut.

Rencana itu terganggu ketika detailnya bocor pada 20 Oktober, tampaknya sebelum tanggal rilis terkoordinasi. Kebocoran tersebut membuat tim operasi PHP terjaga sepanjang malam, saat para administrator bergegas menilai paparan dan menerapkan mitigasi. PHP Foundation merilis patch resmi pada 21 Oktober, dan OpenAI menerbitkan laporan mereka tentang seluruh upaya tersebut pada hari yang sama.

Kisah ini penting jauh melampaui forum pengembang. PHP mendasari sistem manajemen konten, forum, dan toko daring di seluruh internet, dan perkiraan yang beredar di media teknologi Tiongkok menempatkan jangkauannya sekitar tujuh puluh persen situs web. Cacat yang dapat dieksploitasi dari jarak jauh pada lapisan tersebut merupakan risiko sistemik, bukan risiko niche, itulah sebabnya penyedia cloud dan badan keamanan pemerintah ikut serta dalam respons.

Bagi OpenAI, Patch the Planet juga merupakan pernyataan tentang bagaimana AI dapat mengubah penelitian kerentanan. Menemukan bug dalam skala besar secara tradisional merupakan pekerjaan manual yang lambat. Model AI dapat memindai basis kode yang sangat besar dengan cepat, tetapi bagian yang lebih sulit adalah mesin manusia yang menyusul: memverifikasi temuan, menulis patch, memperingatkan vendor, dan menjaga kerahasiaan semuanya hingga pengguna dapat memperbarui. Episode PHP menguji mesin itu di bawah tekanan kebocoran.

Episode ini juga menyoroti ketegangan yang berkembang. Penemuan berbantuan AI berarti lebih banyak cacat akan muncul lebih cepat, dan tidak setiap proyek memiliki pemelihara atau sumber daya untuk merespons dengan cepat. Norma pengungkapan terkoordinasi, yang dulunya sudut sunyi industri, kini menjadi latihan logistik global yang melibatkan perusahaan dan lembaga yang jarang berbicara satu sama lain.

Bagi pengguna biasa dan bisnis, saran praktisnya tidak berubah: perbarui instalasi PHP dan perangkat lunak dependen dengan segera, dan pantau saran vendor. Bagi industri, pelajarannya mungkin bahwa AI kini menjadi bagian dari rantai pasok keamanan, dan perlombaan bukan lagi sekadar menemukan bug tetapi memperbaikinya sebelum internet mengetahuinya.