Dunia Panik, Situs Bank hingga Kantor Pajak Mendadak Padam gara-gara PHP

Hanya dalam hitungan jam setelah dua celah kritis PHP diumumkan, percobaan peretasan melonjak dari ribuan menjadi jutaan.

Celah itu bertahun-tahun tak terdeteksi, sebelum akhirnya terungkap lewat kecerdasan buatan (artificial intelligence/AI).

Pengembang PHP merilis perbaikan pada Rabu (21/10/2026) dan meminta pengguna segera memperbarui sistem. Bahasa pemrograman ini dipakai lebih dari dua pertiga situs web dan disebut menopang hingga 70 persen internet, sehingga satu celah bisa merembet ke banyak layanan.

Jutaan Percobaan

CEO Cloudflare Matthew Prince mengungkapkan, lonjakan percobaan serangan terjadi sangat cepat. ”Dalam 10 jam sebelum diumumkan, di seluruh jaringan kami melihat ribuan upaya untuk mengeksploitasinya,” tulis Prince di platform X, Rabu malam waktu Amerika Serikat.

Angkanya naik menjadi puluhan ribu dalam 45 menit setelah pengumuman, ratusan ribu dalam dua jam, dan kini jutaan.

Padahal, penyerang sudah bergerak sebelum rincian celah dibuka. Laporan Amazon menyebutkan, aktor ancaman tak dikenal entah bagaimana memperoleh informasi tentang celah itu sebelum dipublikasikan.Unit intelijen ancaman Amazon mencatat upaya eksploitasi pada jaringan sensor yang dipakai untuk memantau kejahatan siber.

Pendiri bersama firma keamanan siber asal Belgia Aikido Security Madeline Lawrence menilai, rincian celah telah terbuka sebelum perbaikan siap. ”Perusahaan berlomba memperbarui sistem melawan penyerang yang bisa memakai AI untuk mengeksploitasinya. Itulah perlombaannya,” ujar Madeline.

Layanan Dipadamkan

Akibatnya, layanan penting dipadamkan lebih dulu. Di Jepang, Nomura, Mitsubishi UFJ Financial Group, Mizuho Financial Group, ANA, dan East Japan Railway menghentikan sebagian layanan daring, sedangkan Badan Pajak Nasional mengambil layanannya luring.

Di Inggris, lebih dari 30 layanan pemerintah masih luring pada Kamis (22/10/2026), kata Menteri Antariksa, Siber, dan Reformasi Regulasi Inggris Elizabeth Lloyd.

Di Asia, Kementerian Perindustrian China meminta organisasi memeriksa sistem dan mengganti kredensial, kata sandi, serta kunci. Korea Selatan menaikkan level siaga keamanan siber sektor swasta.

Mematikan situs membuat penyerang tak bisa menjangkau celah selama perbaikan. Namun, pemulihan tak instan. Finlandia, lewat penyedia layanan teknologi informasi negara Valtori, menutup situs pemerintah sehari sebelumnya.Direktur Jenderal Valtori Hannu Naumanen menyebut pemulihan bisa memakan waktu berhari-hari hingga berminggu-minggu karena sistem harus diuji cermat.

Di sisi lain, tidak semua pihak secepat itu. Kepala keamanan asosiasi industri digital Jerman, Bitkom, Felix Kuhlenkamp mengatakan, banyak operator besar telah memasang pembaruan, tetapi sistem rumit dan organisasi kecil butuh waktu lebih lama.

”Mereka mungkin menjalankan situs dengan PHP, tetapi tak benar-benar mengawasinya,” ujarnya.

Terlepas dari jutaan percobaan itu, ada satu masalah yang belum teratasi: belum jelas berapa banyak yang benar-benar berhasil menembus sistem. CEO Microsoft Satya Nadella, dalam acara di Jerman pada Kamis (22/10/2026), mengaku, ”Sudah lama sekali saya tidak melihat kejadian seperti ini.”