PHP Foundation mengakui bahwa masalah pengambilan keputusan dan keterbatasan sumber daya menunda perbaikan keamanan PHP untuk celah yang pertama kali terdeteksi pada 2024. Saat patch darurat untuk dua kerentanan kritis terkait dirilis pada Rabu, lembaga pemerintah dan organisasi lain menonaktifkan situs web sebagai langkah pencegahan.

Hal-Hal Penting

  • Yayasan tersebut menyebut respons yang tertunda sebagai kegagalan struktural yang melibatkan proses keamanan dan sumber dayanya.
  • Kerentanan tersebut dapat memungkinkan penyerang yang tidak terautentikasi mengeksekusi kode di server yang terdampak.
  • Organisasi kripto meninjau paparan mereka, sementara Coinbase dan BitGo melaporkan tidak memiliki sistem yang terdampak.

Daftar Isi

Perbaikan keamanan PHP terhambat oleh masalah kompatibilitas dan staf

Uraian yayasan tersebut menyoroti bagaimana masalah teknis yang telah diketahui dibiarkan tanpa penyelesaian selama berbulan-bulan. Pengembang mengidentifikasi indikasi kerentanan itu pada 2024, tetapi kesulitan menemukan solusi yang tidak akan mengganggu ekosistem perangkat lunak luas yang dibangun dengan PHP, bahasa yang banyak digunakan untuk situs web dan aplikasi web.

Pada tahap itu, pengembang belum menemukan cara untuk mengeksekusi kode dari jarak jauh. Kelompok kecil yang memiliki pengetahuan yang diperlukan tentang mesin PHP juga memiliki tanggung jawab lain, sehingga pengerjaan perbaikan berulang kali terhenti dan dimulai kembali, menurut yayasan tersebut.

Yayasan itu menggambarkan penundaan tersebut sebagai “kegagalan struktural” yang disebabkan oleh proses pengambilan keputusan tim keamanan serta sumber daya yang tidak memadai.

Masalah ini menjadi prioritas keamanan utama setelah perusahaan keamanan Calif dan OpenAI secara independen melaporkan masalah mendasar yang sama pada 11 Agustus. Calif mendemonstrasikan eksekusi kode jarak jauh tanpa syarat.

Penutupan preventif meluas ke berbagai layanan publik

Rilis darurat tersebut memicu gangguan di beberapa negara ketika operator memutus layanan sambil menyiapkan pembaruan. Belanda menutup layanan identitas digitalnya, dan Pusat Keamanan Siber Nasionalnya juga menonaktifkan situs webnya.

Penyedia TI pemerintah Finlandia, Valtori, memutus layanan web publik pemerintah, sementara Kementerian Dalam Negeri Prancis untuk sementara menonaktifkan situs web prefektur. Penyedia TI federal Jerman, ITZBund, juga menonaktifkan sejumlah situs web.

Direktorat Sinyal Australia mengatakan bahwa cyber.gov.au termasuk di antara situs web pemerintah yang terdampak masalah PHP tersebut. Perdana Menteri Jepang Sanae Takaichi mendesak operator agar bersiap memasang patch dengan cepat dan mengatakan bahwa penangguhan sementara fungsi situs web dapat mengurangi risiko ketika pembaruan segera tidak memungkinkan.

Wikimedia Foundation juga menonaktifkan layanan pendukung, termasuk Toolforge dan Cloud VPS, sehingga beberapa fungsi Wikipedia terdampak pada Rabu.

Perusahaan kripto menilai potensi paparan

Perusahaan keamanan blockchain SlowMist mengatakan layanan MistEye-nya menemukan sidik jari PHP langsung pada 793 dari 1.488 domain industri kripto yang dinilai. Perusahaan itu mendesak bursa, platform DeFi, dan penyedia dompet untuk meninjau paparan mereka dan melakukan pembaruan. Temuan tersebut mengidentifikasi penggunaan PHP, bukan mengonfirmasi bahwa domain-domain itu rentan.

Intersect, organisasi keanggotaan yang mendukung pengembangan dan tata kelola Cardano, untuk sementara menutup Members Area sambil menilai potensi paparan.

Kepala keamanan Coinbase, Jeff Lunglhofer, mengatakan perusahaan tidak menemukan bukti adanya instans PHP yang terekspos dan juga sedang melakukan pemeriksaan kepada pemasok pihak ketiga. BitGo secara terpisah mengatakan platformnya tidak terdampak.

Status eksploitasi tetap berbeda dari risiko yang telah dibuktikan

Meskipun risiko eksekusi kode jarak jauh telah didemonstrasikan, tim keamanan PHP mengatakan belum mengidentifikasi eksploit yang berfungsi pada saat pengungkapan kepada publik.

OpenAI merilis skill Codex melalui GitHub untuk membantu operator memeriksa versi PHP yang mungkin rentan dan mengidentifikasi pembaruan yang sesuai.

Kesimpulan

Patch darurat menangani kerentanan langsung, sementara pengakuan yayasan tersebut menyoroti kegagalan dalam proses yang menyebabkan penundaan. Penutupan yang dilaporkan merupakan langkah pencegahan, bukan bukti bahwa organisasi yang terdampak telah diretas.

Baca Berita Lainnya

Berita FinanceVelix lainnya

Penafian

Artikel FinanceVelix ini menyajikan informasi umum, bukan nasihat keuangan, investasi, hukum, atau pajak yang dipersonalisasi. Harga pasar, suku bunga, dan kondisi ekonomi dapat berubah; investasi mengandung risiko kerugian. Fakta mencerminkan materi yang tersedia pada saat diterbitkan dan dapat berubah. Periksa informasi penting secara independen dan konsultasikan dengan profesional yang berkualifikasi jika diperlukan. Penyebutan aset, perusahaan, atau layanan bukan merupakan dukungan.