PHP Foundation mengakui adanya “kegagalan struktural” yang membuat perbaikan sebuah celah keamanan kritis tertunda berbulan-bulan. Celah yang sebenarnya sudah terdeteksi sejak 2024 ini memungkinkan penyerang tanpa autentikasi menjalankan kode di server yang rentan. Patch darurat untuk celah tersebut dan satu kerentanan terkait akhirnya dirilis pada Rabu (21/10).

Menurut Foundation, tim inti yang kecil, minimnya sumber daya, dan kesulitan mencari solusi yang tidak mengganggu ekosistem PHP membuat proses perbaikan berulang kali mandek. Isu ini kembali menjadi prioritas setelah firma keamanan Calif dan OpenAI melaporkannya secara terpisah, dan Calif berhasil mendemonstrasikan remote code execution tanpa syarat. Tim keamanan PHP menyatakan belum menemukan exploit yang berfungsi saat pengungkapan publik.

Dampaknya terasa luas. Sejumlah layanan pemerintah di Belanda, Finlandia, Prancis, Jerman, dan Australia dimatikan sementara, sedangkan Wikimedia menonaktifkan sebagian infrastrukturnya sehingga beberapa bagian Wikipedia sempat offline.

Industri crypto juga bergerak cepat. Firma keamanan blockchain SlowMist memetakan 793 domain dengan jejak PHP dari 1.488 yang diperiksa, dan meminta exchange, platform DeFi, serta penyedia wallet segera mengecek eksposur dan melakukan upgrade. Intersect, organisasi tata kelola Cardano, menutup Members Area sebagai langkah pencegahan. Coinbase menyatakan tidak menemukan instance PHP yang terekspos, BitGo memastikan platformnya aman, sementara Changpeng Zhao mengimbau pengguna lebih berhati-hati saat mengunjungi situs dalam beberapa hari ke depan.