JAMBI — Dua kerentanan keamanan serius baru saja terungkap dan berpotensi memicu serangan skala besar. Satu menyerang bahasa pemrograman PHP yang dipakai jutaan situs, termasuk WordPress dan Drupal, sementara satunya lagi menyangkut sertifikat TLS dengan kunci enkripsi sangat lemah. Administrator situs diminta segera menambal kedua masalah tersebut.
Yayasan PHP mengumumkan patch keamanan untuk dua kerentanan kritis dengan skor keparahan 9,2 dari 10. Pengumuman disampaikan menjelang rilis patch pada 14.00 UTC, atau 10.00 waktu Amerika Timur, seperti dikutip Ars Technica.
Peringatan datang setelah beredar rekaman video yang memperlihatkan alat bernama PHP2Shell menjalankan kode di sejumlah server web. Server yang terdampak mencakup versi terbaru WordPress, MediaWiki, Symphony, Drupal, dan situs lain berbasis PHP.
Seberapa Luas Dampak Kerentanan PHP?
Firma keamanan watchTowr mengklaim telah mengonfirmasi kerentanan tersebut dan menyebut semua versi PHP sejak versi 5 pada 2004 ikut terdampak. Menurut watchTowr, laporan yang belum terverifikasi menyebut celah ini memungkinkan penyerang menjalankan kode sendiri di server dan berpotensi mengambil kendali penuh.
Perusahaan keamanan Sansec memperkirakan serangan massal bisa dimulai hanya 15 menit setelah patch dirilis. Artinya, jendela waktu bagi administrator situs untuk memperbarui sistem sangat sempit.
Yayasan PHP menyatakan akan merilis pembaruan lebih awal jika detail kerentanan bocor ke publik atau muncul bukti eksploitasi aktif. Pengguna PHP diminta bersiap melakukan pembaruan.
Dampak praktisnya, sebagian situs berbasis PHP berpotensi down sementara saat proses patching berlangsung. Pemilik situs perlu menyiapkan rencana pemeliharaan agar gangguan bisa ditekan seminimal mungkin.
Kunci Enkripsi eMudhra Cuma 3-8 Bit
Masalah kedua datang dari perusahaan sertifikat asal India, eMudhra. Delapan sertifikat intermediate CA miliknya dinyatakan terekspos dan terhubung ke root certificate yang dipercaya program Mozilla, Microsoft, Apple, Chrome, serta banyak trust store turunan.
Akar masalahnya ada pada ukuran private key yang sangat lemah. Kunci yang seharusnya 384 bit justru hanya berkisar 4, 56, 66, 115, 155, 156, 230, dan 237 bit. Dengan rentang sependek itu, siapa pun bisa memulihkan kunci hanya dengan menguji 256 kemungkinan angka.
Sertifikat eMudhra sebelumnya dipercaya luas oleh layanan seperti Cloudflare, browser, sistem operasi, perangkat IoT, dan perangkat lain yang terhubung ke internet. Begitu kunci berhasil dipulihkan, penyerang bisa memalsukan sertifikat domain untuk menyamar sebagai server dan menyadap lalu lintas data.
Mozilla, Google, dan Apple sudah memblokir sertifikat yang terekspos di browser masing-masing. eMudhra juga telah mencabut delapan sertifikat tersebut dan menyalahkan skrip yang dipakai untuk membuatnya.
macOS dan Perangkat IoT Masih Berisiko
Pakar keamanan Mozilla, Dennis Jackson, memperingatkan bahwa sebuah utilitas di macOS mungkin masih mempercayai sertifikat yang sudah dicabut. Penyebabnya, utilitas itu tidak memeriksa informasi pencabutan sertifikat, dan pola serupa berlaku di banyak klien lain.
Risiko terbesar saat ini mengarah ke layanan VPN, terutama di negara yang pemerintahnya aktif melakukan intersepsi lalu lintas. Perangkat IoT dan server yang tidak terawat juga masuk daftar rentan.
Insinyur kriptografi Filippo Valsorda menyebut pembersihan kali ini akan jauh lebih besar dibanding kasus Heartbleed pada 2014. Heartbleed sendiri merupakan bug TLS yang memicu serangan massal dan memaksa banyak layanan merombak sistem keamanannya.
Apa yang Perlu Dilakukan Pengguna dan Admin?
Bagi pengelola situs berbasis PHP, prioritas utama adalah memantau rilis patch resmi dan memperbarui versi PHP secepatnya. Jangan menunda hingga muncul laporan eksploitasi aktif, karena serangan bisa datang dalam hitungan menit setelah pembaruan tersedia.
Untuk pengguna umum, pastikan browser dan sistem operasi selalu dalam versi terbaru. Pembaruan browser dari Mozilla, Google, dan Apple menjadi lapisan pertahanan pertama terhadap sertifikat yang sudah dicabut.
Pemilik perangkat IoT dan server lama sebaiknya memeriksa apakah perangkat masih menerima pembaruan keamanan. Perangkat yang sudah tidak dirawat pabrikan menjadi titik lemah yang paling sulit ditutup.
Kedua insiden ini menegaskan satu hal: kecepatan respons menentukan skala kerusakan. Administrator yang bergerak cepat bisa menekan risiko, sementara yang terlambat harus bersiap menghadapi pembersihan besar-besaran.
