OpenAI Temukan Kerentanan Kritis PHP yang Ancam Mayoritas Situs Web Dunia

OpenAI mengumumkan penemuan dua kerentanan keamanan kritis pada PHP, bahasa pemrograman open-source yang menjalankan sekitar 70% situs web di seluruh dunia.

Temuan besar ini diungkapkan pada 21 Oktober 2026 melalui inisiatif keamanan siber "Patch the Planet" dengan memanfaatkan model AI GPT-5.6 Sol.

Audit keamanan tersebut dilakukan oleh peneliti dari perusahaan siber Calif atas permintaan PHP Foundation. Yayasan tersebut sebenarnya telah mengetahui adanya cacat mendasar pada mesin inti PHP sejak 2024, namun belum mampu mengidentifikasi metode eksploitasi maupun solusinya.

Melalui bantuan AI, kerentanan tersebut akhirnya berhasil diidentifikasi dan dicatat sebagai CVE-2026-109618 serta CVE-2026-109619 dengan skor keparahan kritis 9,2 dari 10.

Kerentanan ini dinilai sangat berbahaya karena berada di mesin inti PHP, yang berarti situs web dapat terdampak meskipun kode aplikasinya bersih dari cacat keamanan.

Dalam kondisi tertentu, penyerang dapat mengeksploitasi kelemahan ini dari jarak jauh tanpa memerlukan kredensial login untuk mengeksekusi kode berbahaya, mengambil alih situs web, hingga membocorkan informasi sensitif di memori server seperti kata sandi, token autentikasi, dan API key.

Menanggapi perdebatan publik terkait risiko penggunaan AI dalam keamanan siber, OpenAI memperkenalkan konsep Defender's Window. Perusahaan menegaskan pentingnya bertindak proaktif sebelum aktor kejahatan mengeksploitasi celah serupa.

OpenAI berargumen bahwa "teknologi kuat dan revolusioner akan selalu digunakan oleh aktor jahat, sehingga menjadi tanggung jawab kolektif untuk bertindak proaktif mengatasi potensi celah yang dapat dieksploitasi".

Sebagai langkah mitigasi, PHP Foundation telah merilis versi pembaruan yang mencakup patch keamanan melalui versi PHP 8.2.35, 8.3.36, 8.4.27, dan 8.5.12.

Pengguna yang masih menjalankan sistem pada versi PHP 8.1 ke bawah diimbau untuk segera meningkatkan versinya, mengingat versi tersebut tidak akan mendapatkan perbaikan resmi dan tetap rentan terhadap risiko serangan.