AI dan Celah PHP2Shell: Bug Lama Jadi Krisis Keamanan
ORBITINDONESIA.COM – Bug lama PHP kini meledak jadi krisis baru bernama PHP2Shell, setelah AI mempercepat cara peneliti menemukan eksploit yang praktis. Dalam hitungan jam sejak celah dipublikasikan, Cloudflare mencatat jutaan percobaan eksploitasi menghantam internet.
Tim keamanan dan admin web pekan ini berkejaran menambal bug PHP yang baru dipublikasikan. Para peretas kriminal langsung mencoba mengeksploitasi celah itu di dunia nyata, dan serangannya terjadi sangat cepat.
Cloudflare melaporkan jutaan upaya eksploitasi hanya dalam beberapa jam setelah informasi kerentanan tersebar. Ini tidak mengejutkan, karena alat AI yang mudah diakses membantu penyerang bergerak lebih cepat.
Namun skenario terburuk belum terjadi, setidaknya sampai saat ini. PHP Foundation menyatakan belum melihat eksploitasi yang berhasil, dan banyak contoh “eksploit” yang beredar ternyata tidak efektif.
Yang lebih mengkhawatirkan justru peran AI di sisi lain cerita. Model AI canggih membantu peneliti mengubah kerentanan yang sudah lama diketahui menjadi eksploitasi yang benar-benar dapat dijalankan.
Dengan kata lain, AI tidak sekadar mempercepat serangan, tetapi juga mempercepat pembuktian bahwa sebuah bug “bisa dipakai.” Di titik ini, bug historis dapat tiba-tiba naik kelas menjadi krisis keamanan hari ini.
Kerentanan ini dijuluki PHP2Shell, dan pertama kali diidentifikasi serta dieksploitasi oleh peneliti di perusahaan keamanan Calif pada awal Agustus. Mereka menggunakan kombinasi alat AI frontier dari program OpenAI Patch the Planet dan pengetahuan manusia yang mendalam tentang dinamika PHP.
Sejumlah isu dasarnya sudah terdeteksi pada 2024, tetapi saat itu dianggap terlalu kompleks untuk dieksploitasi. Setelah temuan Calif, peneliti OpenAI dan perusahaan keamanan Wiz milik Google juga menemukan celah PHP2Shell secara independen dengan bantuan AI.
Peneliti Wiz, Sagi Tzadik, menilai masalahnya bukan karena PHP “tidak tahu,” melainkan karena eksploitnya dulu tidak realistis. Ia mengatakan, “Kerentanan itu sudah diketahui tim PHP selama bertahun-tahun, tetapi karena tidak bisa dimanfaatkan penyerang—setidaknya bukan manusia—maka tidak ditangani.”
Di sinilah AI mengubah kalkulasi risiko yang selama ini dipakai industri. Bug yang “secara teori ada” dapat berubah menjadi “secara praktik bisa dipakai,” karena AI membantu menyusun jalur eksploitasi, menguji variasi, dan mempercepat iterasi.
Tekanan pada tim TI yang kekurangan sumber daya pun makin berat. Dalam laporan yang sama, disebutkan pembaruan keamanan Microsoft bulan ini mencakup rekor 1.453 kerentanan, menunjukkan skala pekerjaan tambal-sulam yang terus membesar.
Di sektor finansial, Bank of America bahkan dilaporkan merekrut 1.000 konsultan untuk memperbaiki kelemahan yang ditemukan oleh Mythos dari Anthropic. Data ini menegaskan bahwa “biaya AI” tidak hanya pada komputasi, tetapi juga pada tenaga kerja remediasi.
Namun para peneliti mengingatkan bahwa AI tidak menciptakan hukum baru dalam keamanan siber. AI memperbesar dinamika lama, yakni perlombaan antara penemuan kerentanan, pengungkapan terkoordinasi, dan kecepatan penambalan.
Jake Williams dari Hunter Strategy memperkirakan lebih banyak “bug berumur panjang” akan muncul karena AI membantu membongkar kode lama. Ia berkata, “Kita pasti akan melihat lebih banyak bug berumur panjang yang ada di setiap versi perangkat lunak selama satu dekade terakhir atau semacamnya.”
Meski begitu, Williams menilai buah yang rendah tidak tak terbatas. Ia menekankan bahwa tidak banyak perangkat lunak lain yang memiliki jangkauan paparan seperti PHP, karena banyak alat lain memang tidak dirancang terbuka ke internet.
Catatan penting lain adalah peran manusia tetap dominan pada kasus-kasus rumit. Ryan Austin dari Calif menulis, “Tidak ada model yang mampu menemukan ‘semua bug’ hanya dengan prompt sederhana, setidaknya untuk saat ini.”
Pernyataan itu memotong dua mitos sekaligus. AI memang mempercepat, tetapi AI juga tidak otomatis menggantikan keahlian, konteks sistem, dan intuisi yang membentuk eksploitasi nyata.
Kisah PHP2Shell memperlihatkan paradoks era AI dalam keamanan siber. AI membuat penyerang lebih cepat, tetapi juga membuat peneliti lebih cepat membuktikan dan menutup celah sebelum korban berjatuhan.
Masalah utamanya bukan sekadar “AI berbahaya,” melainkan cara industri menilai prioritas perbaikan. Jika sebuah bug lama dianggap tidak bisa dieksploitasi, maka ia cenderung dibiarkan, sampai suatu hari asumsi itu runtuh.
Runtuhnya asumsi inilah yang paling mahal, karena datang tanpa jadwal dan tanpa belas kasihan. Ketika publikasi kerentanan terjadi, jendela waktu antara “diketahui” dan “diserang” kini bisa menyusut menjadi jam.
Namun kepanikan massal juga tidak produktif. Niels Provos, insinyur keamanan dan peneliti, mengatakan ia tidak terlalu khawatir AI akan menemukan jumlah bug historis yang tak tertahankan atau membuat bug baru yang sebelumnya mustahil dieksploitasi.
Provos menekankan bahwa orang sudah memakai AI untuk berburu bug selama lebih dari setahun, dan tetap dibutuhkan tim sangat terampil untuk menemukan kasus PHP2Shell. Ia menutup dengan keraguan yang sehat, bahwa ia bisa saja salah, tetapi ia meragukannya.
Refleksi ini penting karena menempatkan AI pada proporsi yang benar. AI adalah pengungkit, bukan sihir, dan pengungkit bekerja paling efektif di tangan orang yang memahami titik tumpunya.
Karena itu, respons yang paling masuk akal adalah memperkuat higienitas dasar keamanan. Patch cepat, inventaris aset, pemantauan eksploitasi, dan latihan respons insiden harus menjadi kebiasaan, bukan proyek musiman.
PHP2Shell adalah peringatan bahwa “bug lama” tidak pernah benar-benar mati, hanya menunggu alat yang tepat untuk dibangunkan. AI memperpendek jarak antara teori kerentanan dan praktik eksploitasi, sehingga definisi risiko harus diperbarui.
Di saat yang sama, kasus ini menunjukkan bahwa keahlian manusia tetap menjadi pusat, baik untuk menyerang maupun bertahan. Pertanyaannya kini bukan apakah AI akan menemukan lebih banyak celah, tetapi apakah organisasi siap menambal sebelum celah itu berubah menjadi bencana. (Orbit dari berbagai sumber, 29 Oktober 2026)
