Ketika berita muncul pada Rabu, 22 Oktober, bahwa PHP memiliki kerentanan yang dapat diretas, sebagian besar orang belum pernah mendengar bahasa pemrograman yang terlibat. Menurut laporan dari AJ Vicens, PHP mendasari sekitar 70 persen dari seluruh situs web, dan pengungkapan ini membuat bisnis dan tim keamanan bergerak cepat. Jika Anda bertanya-tanya tentang kerentanan PHP dan cara tetap aman, jawaban singkatnya adalah bahwa perlindungan paling efektif terjadi di sisi layar Anda, dan caranya sederhana.
Catatan tentang apa yang kita ketahui: teks artikel sumber yang tersedia singkat, dan artikel tersebut membingkai berita ini dalam diskusi yang lebih luas tentang peretasan yang dipercepat AI. Kami tidak akan berspekulasi tentang detail teknis celah ini di luar apa yang telah dilaporkan. Yang dapat kami lakukan adalah menjelaskan mengapa bug seperti ini penting bagi pengguna biasa dan kebiasaan mana yang mengurangi paparan Anda.
Mengapa celah PHP menjangkau pengguna sehari-hari
PHP adalah bahasa sisi server. Ia berjalan di balik layar pada server web, menghasilkan halaman yang Anda lihat saat Anda masuk, berbelanja, atau membaca berita. Anda tidak pernah memasangnya dan Anda tidak pernah melihatnya, tetapi jika situs yang Anda gunakan berjalan di atasnya, kelemahan dalam PHP dapat menjadi kelemahan pada situs tersebut.
Itulah sebabnya jangkauannya begitu luas. Dengan PHP yang mendasari sekitar 70 persen situs web, menurut laporan tersebut, kumpulan yang terdampak mencakup situs usaha kecil, toko online, blog, dan layanan tempat Anda mungkin memiliki akun. Memperbaiki masalah ini sebagian besar adalah tugas pemilik situs dan penyedia hosting, yang harus menerapkan patch. Anda tidak dapat menambal server orang lain.
Yang dapat Anda kendalikan adalah seberapa besar kerusakan yang dapat ditimbulkan situs yang terkompromi terhadap Anda. Jika situs yang Anda gunakan dibobol, pertanyaannya adalah apakah kata sandi Anda berfungsi di tempat lain, apakah login yang dicuri saja cukup untuk masuk, dan apakah Anda akan tertipu oleh penipuan lanjutan yang sering datang setelahnya.
Bagaimana AI mempercepat peretasan dan penipuan
Judul artikel menunjuk pada peretasan yang dipercepat AI, dan kekhawatirannya mudah dipahami. Alat otomatis dapat membantu penyerang memindai situs yang rentan lebih cepat dan menyusun pesan yang lebih meyakinkan dalam skala besar. Email penipuan yang dulu membocorkan dirinya dengan kata-kata yang canggung kini dapat terbaca dengan rapi.
Artikel sumber mencakup bagian yang ditujukan pada taktik para penipu, termasuk peringatan tentang tautan yang tidak diminta. Pelajaran praktisnya adalah Anda tidak dapat lagi mengandalkan pengenalan tata bahasa yang buruk atau kesalahan yang jelas. Sebaliknya, andalkan proses: verifikasi dari mana pesan berasal sebelum Anda bertindak atasnya.
Lima langkah praktis untuk melindungi diri Anda
Kebiasaan-kebiasaan ini adalah praktik terbaik umum dan bukan rangkuman dari daftar persis artikel tersebut, yang tidak sepenuhnya tersedia bagi kami. Kebiasaan ini mengatasi paparan yang diciptakan oleh kerentanan seperti ini.
- Jaga perangkat lunak Anda tetap diperbarui. Aktifkan pembaruan otomatis untuk sistem operasi, browser, dan aplikasi Anda. Jika Anda menjalankan situs web sendiri atau blog bergaya WordPress di atas PHP, perbarui platform, plugin, dan versi PHP dengan segera, atau minta penyedia hosting Anda mengonfirmasi bahwa mereka telah menambalnya.
- Waspadai tautan yang tidak diminta. Jangan klik tautan dalam email, teks, atau pesan yang tidak terduga, bahkan jika tampak familiar. Ketik sendiri alamat situs atau gunakan bookmark yang tersimpan.
- Gunakan kata sandi unik untuk setiap akun. Jika satu situs terkompromi, kata sandi unik mencegah kerusakan menyebar. Pengelola kata sandi membuat ini realistis.
- Aktifkan autentikasi dua faktor (2FA). Bahkan jika kata sandi bocor, langkah kedua membuat penyerang jauh lebih sulit masuk. Aplikasi autentikator atau kunci perangkat keras umumnya lebih kuat daripada kode pesan teks.
- Waspadai penipuan lanjutan. Setelah celah yang dilaporkan secara luas, perkirakan pesan yang mengklaim sebagai "peringatan keamanan" dari perusahaan yang Anda gunakan. Kunjungi langsung situs resmi atau aplikasi perusahaan alih-alih menggunakan tautan yang disediakan.
Apa yang dilindungi dan tidak dilindungi VPN
VPN mengenkripsi lalu lintas Anda antara perangkat Anda dan server VPN, yang berguna di Wi-Fi publik, di mana orang lain pada jaringan yang sama jika tidak demikian dapat mengamati aktivitas Anda. Ia juga dapat menyembunyikan alamat IP Anda dari situs yang Anda kunjungi.
Yang tidak dilakukannya adalah memperbaiki celah dalam kode situs web. Jika server yang menjalankan PHP rentan terkompromi, VPN di perangkat Anda tidak mengubah itu. Ia juga tidak akan menghentikan Anda memasukkan kata sandi Anda di halaman phishing. Anggap saja sebagai satu lapisan yang terbatas, bukan perisai terhadap masalah semacam ini. Untuk konteks tentang mengapa enkripsi dan alat privasi tetap menjadi debat kebijakan yang hidup, lihat liputan kami tentang bagaimana Chat Control 2.0 masih mengancam enkripsi UE, kata para kritikus.
Apa Artinya Ini Bagi Anda
Anda tidak perlu memahami PHP untuk mengurangi risiko Anda. Pengungkapan ini terutama merupakan pengingat bahwa akun Anda berada di server yang tidak Anda kendalikan. Anggaplah bahwa situs mana pun bisa dibobol suatu hari nanti, dan atur akun Anda sehingga pembobolan menjadi ketidaknyamanan daripada bencana: kata sandi unik, 2FA, dan sikap skeptis terhadap tautan yang tidak terduga.
Ambil tindakan hari ini
Jika Anda tidak melakukan hal lain setelah membaca ini, lakukan tiga hal ini sekarang: pasang pembaruan yang tertunda, aktifkan 2FA untuk akun email dan perbankan Anda, dan ganti kata sandi yang digunakan ulang. Tetap aman setelah kerentanan PHP bermuara pada kebiasaan sehari-hari ini. Gunakan VPN jika Anda sering terhubung di Wi-Fi publik, tetapi perlakukan itu sebagai satu lapisan di antara beberapa, bukan obat mujarab.
