Peneliti keamanan OpenAI dan tim Wiz milik Google pada Rabu 21 Oktober 2026 mengungkap dua celah keamanan kritis di PHP, bahasa pemrograman yang menjadi fondasi sekitar 70 persen situs web dunia termasuk jutaan situs WordPress di Indonesia. Kedua celah memungkinkan penyerang menyusup ke berkas server atau basis data aplikasi web, dan ternyata sudah bersembunyi di seluruh versi PHP sejak PHP 5 yang meluncur pada 2004.
Penemuan ini lahir dari inisiatif keamanan bernama Patch the Planet. Perusahaan keamanan Calif menemukan celah pertama dengan bantuan model GPT 5.6 Sol. Sementara itu, tim Wiz menemukan celah kedua memakai agen keamanan AI bernama Wiz Atlas yang didukung Gemini 4 Argon dan GPT 5.6 Sol. Fakta ini sekaligus menunjukkan peran ganda AI dalam keamanan siber, yakni sebagai alat pemburu celah sekaligus pendorong risiko baru.
Celah Tua yang Baru Terungkap Berkat AI
Yang mengejutkan, kedua celah sudah ada selama lebih dari dua dekade tanpa terdeteksi. Para peneliti menilai temuan ini penting karena PHP dipakai oleh puluhan juta situs, dari toko daring kecil sampai portal perusahaan besar. Di Indonesia, jutaan situs milik UMKM, perusahaan, dan blogger berjalan di atas WordPress yang dibangun dengan PHP.
Wiz memperingatkan bahwa celah semacam ini dulu terlalu sulit dimanfaatkan peretas. Namun kini model bahasa besar mampu menyesuaikan serangan untuk berbagai versi dan konfigurasi PHP. Akibatnya, celah lama justru menjadi lebih berbahaya di era AI karena serangan bisa dirakit lebih cepat dan lebih luas.
Patch Tersedia, Pengguna Diminta Segera Memperbarui
OpenAI dan Wiz mengikuti praktik pengungkapan yang bertanggung jawab. Mereka bekerja sama dengan tim pengembang PHP untuk menyiapkan perbaikan sebelum temuan diumumkan ke publik. Sejumlah perusahaan teknologi besar ikut membantu, antara lain Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft, dan Vercel.
Perbaikan sudah tersedia saat berita ini diterbitkan dan belum ada laporan eksploitasi di lapangan. Namun pengguna diminta tidak menunda. Versi PHP 8.1 ke bawah sudah tidak lagi mendapat dukungan, sehingga disarankan naik ke PHP 8.5.12. Badan keamanan siber Amerika Serikat bahkan menyarankan situs yang belum bisa ditambal segera untuk dimatikan sementara sampai perbaikan terpasang.
Bagi pemilik situs di Indonesia, langkah paling aman adalah menghubungi penyedia hosting atau pengelola situs untuk memastikan versi PHP sudah diperbarui. Menunda pembaruan berarti membiarkan pintu terbuka bagi penyerang yang kini dibantu AI.
