Kerentanan PHP Kritis Membahayakan Jutaan Situs Web: Apa yang Perlu Diketahui Pengembang Indonesia
Dua Kerentanan PHP Kritis Dieksploitasi Secara Massal
Komunitas keamanan siber sedang dalam keadaan waspada tinggi. Dua kerentanan pada PHP — bahasa pemrograman yang menggerakkan sekitar 77% situs web di dunia — dieksploitasi secara aktif oleh peretas. Kedua kerentanan ini mendapat skor keparahan 9.8 dari 10 (CVSS), yang berarti sangat kritis dan memungkinkan eksekusi kode jarak jauh tanpa autentikasi.
Detail Kerentanan
- CVE-2024-4577: Kerentanan argument injection pada PHP-CGI di sistem Windows. Memungkinkan penyerang mengeksekusi perintah sistem melalui parameter baris perintah yang dimanipulasi.
- CVE-2024-4578: Kerentanan serupa yang memengaruhi konfigurasi PHP tertentu saat memproses permintaan HTTP.
Kedua celah ini memengaruhi PHP versi 8.1.x sebelum 8.1.29, 8.2.x sebelum 8.2.20, dan 8.3.x sebelum 8.3.8. Versi PHP 8.0 dan lama sudah tidak mendapat dukungan keamanan (EOL).
Mengapa Ini Berdampak Besar bagi Ekosistem Web Indonesia
Banyak situs web pemerintahan, UMKM, media, dan platform e-commerce di Indonesia masih berjalan di PHP versi lama. Menurut data W3Techs, PHP digunakan oleh 77,4% situs web yang menggunakan bahasa sisi server yang diketahui. Banyak server shared hosting di Indonesia masih menawarkan PHP 7.4 atau 8.0 sebagai default.
“Banyak pengembang Indonesia menganggap pembaruan PHP hal sepele, padahal ini adalah garis pertahanan utama,” kata Budi Raharjo, peneliti keamanan siber dari Institut Teknologi Bandung. “Eksploitasi massal ini menunjukkan betapa rapuhnya rantai pasokan perangkat lunak jika dasarnya tidak diperbarui.”
Langkah Mitigasi yang Hacks Dilakukan Sekarang
1. Perbarui PHP ke Versi Terbaru
Unduh dan pasang PHP 8.1.29, 8.2.20, atau 8.3.8 dari php.net. Jika menggunakan shared hosting, hubungi penyedia hosting untuk meminta pembaruan.
2. Periksa Konfigurasi PHP-CGI di Windows
Jika server berjalan di Windows dengan PHP-CGI, pastikan konfigurasi cgi.force_redirect diatur ke 1 dan cgi.fix_pathinfo=0 di php.ini. Ini mengurangi permukaan serangan.
3. Terapkan WAF dan Aturan Blokir Eksploitasi
Pasang Web Application Firewall (WAF) seperti ModSecurity dengan aturan OWASP Fire Rule Set terbaru. Aturan khusus untuk memblokir pola eksploitasi CVE-2024-4577 sudah tersedia di repositori Coraza dan ModSecurity.
4. Audit Kode dan Log Server
Periksa log akses (access.log) untuk pola mencurigakan seperti parameter URL yang mengandung -d, allow_url_include, atau auto_prepend_file. Gunakan alat seperti grep atau SIEM untuk pencarian massal.
5. Nonaktifkan Fitur Berbahaya Jika Tidak Digunakan
Di php.ini, pastikan pengaturan berikut:
allow_url_include = Off
allow_url_fopen = Off (jika tidak dibutuhkan)
disable_functions = exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source
Studi Kasus: Eksploitasi Nyata di Indonesia
Pada minggu pertama Juli 2024, tim keamanan Qwords merekam peningkatan 340% upaya eksploitasi menuju server PHP di jaringan mereka. Serangan berasal dari alamat IP di Eropa Timur dan Asia Tenggara, menargetkan endpoint /.php dan /cgi-bin/php dengan payload yang mencoba men-download dan mengeksekusi skrip backdoor.
Satu klien e-commerce di Jakarta kehilangan akses ke panel admin selama 6 jam karena skrip ransomware ditanam melalui celah ini. Kerugian diperkirakan ratusan juta rupiah dari transaksi yang terhenti.
Tanggung Jawab Pengembang dan Manajer Infrastruktur
Keamanan bukan tanggung jawab tim IT saja. Pengembang Hacks:
- Menulis kode yang tidak bergantung pada fungsi berbahaya (
eval(),system(), dll). - Menggunakan dependency management (Composer) dan memindai kerentanan dengan
composer auditatauroave/security-advisories. - Menerapkan CI/CD pipeline yang termasuk pemindaian keamanan otomatis (SAST/DAST).
Manajer infrastruktur Hacks menjadwalkan pembaruan keamanan bulanan dan memiliki rollback plan jika pembaruan merusak aplikasi.
Sumber Daya dan Referensi
- PHP ChangeLog Resmi — catatan rilis lengkap dengan perbaikan keamanan.
- NIST CVE-2024-4577 — detail teknis dan referensi eksploit.
- Roave Security Advisories — paket Composer yang mencegah instalasi paket dengan kerentanan diketahui.
- OWASP Fire Rule Set — aturan WAF gratis dan terbuka.
Kesimpulan: Jangan Tunggu Serangan Datang
Kerentanan PHP ini bukan ancaman teoretis. Eksploitasi sudah terjadi di liar, termasuk di Indonesia. Setiap jam penundaan pembaruan memperluas jendela peluang bagi peretas. Perbarui PHP hari ini, audit konfigurasi server, dan pastikan lapisan pertahanan (WAF, logging, pemindaian berkala) sudah aktif.
Keamanan siber adalah proses berkelanjutan, bukan proyek sekali jadi. Mulai dari hari ini, jadikan pembaruan keamanan PHP sebagai rutina bulanan wajib — bukan pilihan.
