Bayangkan kamu baru belajar memasak, lalu ada asisten yang langsung menyiapkan
semua bahan, memotong, dan menyalakan kompor untukmu. Enak, kan? Masalahnya, asisten
yang sama juga bisa dipakai orang lain untuk membuka pintu dapur rumahmu.

Kira-kira begitulah yang terjadi di dunia maya pada pekan ketiga Oktober 2026. AI
yang sekarang bisa menulis kode untukmu ternyata juga bisa menemukan kesalahan di kode
itu jauh lebih cepat daripada manusia mana pun. Pekan itu sampai dijuluki
Black October.

Semua berawal Selasa malam, 20 Oktober. Rincian teknis dua celah keamanan di PHP
bocor ke internet, empat hari lebih awal dari rencana. PHP itu bahasa pemrograman
yang dipakai WordPress, dan WordPress dipakai jutaan situs, termasuk mungkin situs
tempat kamu membaca ini. Dua puluh empat jam kemudian PHP merilis tambalannya, yaitu versi baru yang
sudah ditutup celahnya dan wajib dipasang.

Dalam 45 menit setelah pengumuman, Cloudflare mencatat puluhan ribu percobaan
serangan. Dua jam kemudian jadi ratusan ribu. Sampai artikel ini ditulis, angkanya
sudah jutaan.

tangan manusia dan tangan robot menyentuh keyboard cahaya merah - AI Bikin Semua Mudah, Termasuk Menjebol Keamanan Sistem
Manusia dan AI memakai papan ketik yang sama. Yang satu menulis kode, yang satu lagi menemukan celahnya.

Tapi yang membuat pekan itu berbeda bukan jumlah serangannya. Yang berbeda adalah
siapa yang menemukan celahnya.

Celah keamanan yang menganggur sepuluh tahun

Dua celah keamanan itu sudah ada di PHP sejak versi 5.4. Rilisnya tahun 2012. Selama lebih
dari sepuluh tahun, tidak ada yang bisa membuktikan bahwa celah itu benar-benar
bisa dipakai untuk masuk. Bukan karena tidak ada yang mencari, tapi karena untuk
membuktikannya orang harus merangkai puluhan langkah berurutan, dan satu langkah
saja salah, semuanya batal.

Peneliti dari perusahaan keamanan Wiz menyebutnya di batas kemampuan manusia.
Tahun ini, ada alat yang tidak kenal lelah dan tidak butuh istirahat untuk mencoba
ribuan kemungkinan.

Lima hal yang jebol dalam 72 jam

Bukan satu masalah. Lima, hampir bersamaan, dan sebagian besar menimpa orang
yang merasa tidak melakukan apa pun yang berisiko.

  • PHP (nama resmi celah keamanannya PHP2Shell, nomor resminya CVE-2026-109618
    dan CVE-2026-109619).     Ini yang paling luas. Siapa
    pun yang bisa menjangkau situsmu bisa menjalankan kode jahat di servernya, tanpa
    perlu username atau password. Angka tingkat bahayanya 9,2 dari 10. Artinya: kalau
    situsmu jalan di atas PHP versi lama dan belum diperbarui, servermu praktis boleh
    dimasuki siapa saja. Versi yang sudah aman: 8.2.35, 8.3.36, 8.4.27, dan 8.5.12.
  • Node.js. Node.js adalah mesin yang menjalankan banyak aplikasi
    web modern. Anggap saja mesin di balik layar yang membuat aplikasimu bisa
    melayani banyak pengunjung sekaligus. Pada 21 Oktober ada sepuluh perbaikan sekaligus. Yang paling berbahaya bernomor
    CVE-2026-111497. Yang paling berbahaya
    ada di fitur pemampatan data: kalau aplikasimu menerima file dari pengguna lalu
    membukanya, pengirim yang jahat bisa membuat aplikasimu kacau sampai bisa
    dikendalikan dari jauh.
  • LiteLLM. Ini yang paling licik, dan bisa menimpa siapa saja yang
    sedang membangun sesuatu dengan AI. Versi 1.107.0 di toko paket Python ternyata
    berisi kode pencuri. Bukan celah yang disusupi orang, melainkan paketnya sendiri
    yang jahat. Kalau kamu pasang versi itu, kunci-kunci rahasiamu, termasuk kunci API
    model AI, sudah berpindah tangan.
  • Railway. Ini layanan penyimpanan aplikasi di internet. Banyak orang
    menyimpan pengaturan rahasia aplikasi mereka di sana mengumumkan ada aktivitas mencurigakan di sistemnya.
    Artinya: kata sandi dan kunci yang kamu simpan di sana, bukan cuma kodenya.
  • FortiMail (CVE-2026-104286). Mesin penyaring email. Angka bahayanya 9,8 dari 10,
    hampir sempurna. Pemerintah Amerika Serikat (lewat lembaga CISA) langsung
    memasukkannya ke daftar celah yang sudah dipakai di lapangan, di hari yang sama
    pengumumannya.

Kalau kelimanya diletakkan berjajar, ada satu pola yang muncul. Semuanya bukan di
aplikasi yang kamu buat. Semuanya di lapisan di bawahnya: bahasa pemrograman,
mesin yang menjalankannya, dan paket yang kamu unduh dari internet. Bagian yang
biasanya tidak pernah kita lihat.

Kenapa sekarang, dan kenapa tidak akan berhenti

Google punya tim yang memantau angka ini sepanjang waktu. Mereka merilis temuan
yang membuat pola ini tidak bisa disebut kebetulan.

Sepanjang 2025, ada 127 celah keamanan yang terbukti benar-benar dipakai
menyerang, dalam dua belas bulan penuh. Pada delapan bulan pertama 2026 saja,
angkanya sudah 141. Dari rata-rata sepuluh kali sebulan, jadi delapan belas kali
sebulan.

dinding kode terbelah retakan merah menyala - AI Bikin Semua Mudah, Termasuk Menjebol Keamanan Sistem
Celah di lapisan yang tidak pernah kita lihat: bukan aplikasinya, tapi bahasa pemrograman di bawahnya.

Tapi ada satu hal yang justru sering salah dipahami orang. Dari semua celah yang
diumumkan tahun ini, cuma 0,23 persen, atau sekitar satu dari 431, yang benar-benar
dipakai menyerang. Jadi memperbaiki semuanya memang tidak mungkin, dan sebenarnya
tidak perlu. Yang perlu: tahu mana yang sedang dipakai penyerang hari ini.

Di sinilah pergeserannya. Kenaikan serangan tahun ini sebagian besar bukan dari
celah keamanan yang belum ada obatnya. Justru dari celah keamanan yang obatnya SUDAH tersedia, lalu
dibongkar balik oleh penyerang.

Caranya begini: pabrik perangkat lunak merilis versi baru beserta daftar
perbaikannya. Dari daftar itu, orang bisa menebak apa yang rusak. Dulu menebak
butuh berhari-hari. Sekarang, dengan AI, proses itu bisa selesai dalam hitungan jam.
Serangan ke celah yang sudah ada tambalannya naik dari 28 sepanjang 2025 menjadi 75
hanya dalam delapan bulan.

Artinya sederhana dan tidak nyaman. Dulu menunda pembaruan selama dua minggu
berarti belum sempat. Sekarang menunda dua minggu berarti sudah didahului.

Celah yang sama ada di kode buatan AI

Bagian ini menyentuh meja kerja kita sendiri, jadi perlu dikatakan terus terang.

Ada perusahaan bernama Veracode yang menguji lebih dari 100 model AI, pada 80
tugas pembuatan kode, dalam empat bahasa pemrograman. Hasilnya: 45 dari 100 potongan kode gagal uji keamanan. Artinya hampir separuhnya punya celah keamanan.

Lebih tepatnya, untuk masalah yang paling umum di aplikasi web (celah yang
membuat penyerang bisa menyusupkan perintah lewat kolom isian seperti kolom
komentar atau kotak pencarian), AI gagal menghasilkan kode yang aman pada 86 persen
percobaan.

Yang paling perlu dicatat: angka ini tidak membaik seiring AI menjadi lebih pintar.
Model yang lebih baru tidak menghasilkan kode yang lebih aman. Ia hanya menghasilkan
kode yang lebih cepat terlihat benar.

Kenapa begitu? Karena AI belajar dari kode yang ada di internet, dan di sana ada
jutaan contoh kode bercelah keamanan yang jalan baik-baik saja selama bertahun-tahun. Dari
sudut pandang AI, pola itu bukan kesalahan. Itu pola yang terbukti bekerja.

Jadi ketika ada yang bilang sekarang aplikasi bisa jadi dalam satu sore, itu
benar, dan justru itu masalahnya. Aplikasi yang dulu butuh tiga minggu sekarang
jadi tiga jam. Termasuk tiga minggu kesempatan untuk menyadari bahwa isian dari
orang asing tidak boleh dipercaya begitu saja.

Yang bisa kamu lakukan malam ini

Bukan daftar panjang. Lima hal, dari yang paling mendesak.

1. Periksa versi PHP di servermu

Kalau kamu punya situs, ini yang paling mendesak. Buka halaman admin WordPress,
masuk ke menu Site Health atau Kesehatan Situs, dan lihat nomor
versi PHP di situ. Kalau angkanya di bawah 8.2.35, itu pekerjaan malam ini. Kalau
kamu tidak punya akses ke sana, kirim tangkapan layarnya ke penyedia hosting dan
minta mereka memperbarui.

Satu hal yang sering salah dipahami: menaruh lapisan tambahan di depan server
(misalnya nginx, perangkat lunak penjaga pintu yang meneruskan kunjungan, atau
layanan pelindung berbayar) tidak menutup celah keamanan ini. Lapisan itu cuma
meneruskan permintaan ke dalam. Kalau isi rumahnya masih bolong, penjaga pintu
depan tidak banyak menolong.

2. Cek apakah kamu memakai LiteLLM 1.107.0

Kalau sedang membangun sesuatu dengan AI, cek daftar paket di proyekmu. Kalau ada
LiteLLM versi 1.107.0, hapus. Lalu hal yang lebih penting: ganti semua kunci
rahasia yang bisa dijangkau oleh program itu. Menghapus paketnya tidak
menarik kembali kunci yang sudah terkirim.

3. Perbarui Node.js

Versi yang sudah diperbaiki: 26.12.1, 24.22.1, dan 22.23.4. Kalau kamu masih
memakai versi yang sudah tidak didukung, tidak akan ada perbaikan untukmu. Itu
bukan kelalaian pembuatnya, itu memang definisi dari tidak didukung lagi.

4. Ganti kata sandi yang pernah disimpan di Railway

Kalau kamu menyimpan pengaturan rahasia di sana, anggap semuanya sudah terlihat
sampai terbukti sebaliknya. Mulai dari yang paling berkuasa: kunci untuk mengunggah
aplikasi, lalu kata sandi database, lalu kunci layanan lain.

5. Berhenti menganggap HTTPS sebagai jawaban

Semua kejadian di atas terjadi pada koneksi yang terenkripsi dengan baik. HTTPS
itu seperti amplop tertutup. Ia menjaga isi surat tidak dibaca orang di jalan. Tapi
ia tidak tahu bahwa suratnya sendiri berisi perintah untuk membongkar rumahmu.

Yang tidak akan menyelamatkanmu

Beberapa hal yang sering diandalkan, dan perlu dikatakan apa adanya.

Pelindung otomatis bukan tambalan. Cloudflare sendiri mencatat
penyerang mengubah cara mereka menyerang untuk melewati pelindungnya, dalam hitungan
jam. Alat itu membeli waktu. Waktu hanya berguna kalau dipakai untuk memperbaiki.

Belum pernah diserang bukan berarti aman. Pemindai otomatis
menyapu seluruh internet tanpa pandang bulu. Kalau sebuah celah keamanan bisa dimasuki tanpa
kata sandi, yang menentukan bukan apakah kamu menarik perhatian, tapi apakah
pintumu terbuka.

Nanti saja, ini cuma situs kecil. Justru situs kecil yang paling
lama tidak diperbarui, dan justru itu yang paling berguna bagi penyerang. Bukan
untuk mencuri isinya, tapi untuk dijadikan titik pijakan. Situs yang jarang
diperiksa itu seperti rumah kosong dengan pintu belakang yang kuncinya tidak
pernah diganti.

Dan yang paling penting: kecepatan sekarang berjalan dua arah.
AI memangkas waktu untuk membuat sesuatu, dan memangkas waktu untuk membobolnya
dengan takaran yang tidak seimbang. Membuat aplikasi jadi mungkin dua kali lebih
cepat. Menemukan celahnya jadi jauh lebih cepat lagi, karena menyerang hanya butuh
satu celah, sementara membangun butuh semuanya benar.

Pekan itu bukan puncaknya. Itu contoh pertama yang cukup besar untuk semua orang
menyadarinya. Yang bisa kamu kendalikan bukan laju serangan itu, melainkan berapa
lama versi PHP di servermu tertinggal.

Sumber data artikel ini

Artikel ini adalah berita, bukan opini. Semua angka dan nomor celah keamanan di
atas diambil dari pengumuman resmi dan laporan yang bisa kamu periksa sendiri.
Tautannya di bawah, urut sesuai kemunculannya di artikel.

Kalau kamu hanya punya waktu untuk satu tautan, buka pengumuman PHP yang
pertama. Di situ semuanya terlihat jelas: nomor versi yang terdampak, versi yang
sudah diperbaiki, dan pernyataan bahwa memperbarui adalah satu-satunya
penanganan yang tuntas.

0 0 votes
Article Rating
Subscribe
Notify of
guest
0 Comments
Oldest
Newest Most Voted

Tags :