CZ Peringatkan Pengguna Kripto atas Kerentanan PHP Kritis

Changpeng Zhao (CZ) memperingatkan pengguna internet, termasuk pengguna kripto, agar lebih berhati-hati saat mengunjungi situs web mana pun dalam beberapa hari ke depan setelah dua kerentanan PHP ditambal pada 21 Oktober dan detailnya bocor lebih awal. Karena penyerang tidak memerlukan login untuk mengeksploitasi celah tersebut, situs yang sekadar dikunjungi dapat menjadi jalur pencurian kredensial atau kompromi perangkat, demikian peringatan CZ.

Peringatan CZ dan Eksploitasi Kerentanan PHP

Dalam unggahan 21 Oktober di X yang merujuk pada kerentanan CVE-2026-109618 dan CVE-2026-109619, Zhao menulis: “Anggap saya paranoid, tetapi berhati-hatilah ekstra saat mengunjungi situs web APA PUN dalam beberapa hari ke depan, karena sebagian admin web tidak selalu mutakhir dengan patch keamanan.”

NSA Cyber menyarankan organisasi yang menjalankan PHP bersiap untuk pembaruan dan menonaktifkan sistem terdampak jika patch tidak dapat segera diterapkan. Divisi siber FBI mengulangi opsi offline tersebut dan meminta operator mengawasi proses PHP yang tiba-tiba meluncurkan command shell. Cloudflare menyatakan telah mengaktifkan perlindungan firewall default sebelum celah-celah itu menjadi publik.

Menurut unggahan blog PHP Foundation, dua nomor CVE itu mulai beredar daring pada 20 Oktober dengan waktu rilis yang salah dan skor keparahan 10,0 alih-alih 9,2 yang sebenarnya, meskipun tidak ada detail teknis yang beredar. Calif, salah satu firma yang melaporkan bug, kemudian keliru menerbitkan video proof-of-concept, dan Chainguard merilis image patch lebih dari enam jam sebelum waktu yang disepakati. Menariknya, yayasan mencatat tidak ada eksploit fungsional yang ditemukan saat rilis berlangsung, sedangkan unggahan CZ menyebut serangan yang dikonfirmasi setelahnya.

“Eksploitasi dikonfirmasi di lapangan tak lama setelah pengungkapan, memicu perlindungan WAF cepat dan patching oleh tim TI, karena serangan tanpa autentikasi dapat mengubah situs yang dikunjungi menjadi vektor pencurian kredensial atau eksploitasi perangkat,” tulis pendiri Binance itu.

BNB Chain dan PancakeSwap Menegaskan Sistem Aman

Peringatan tersebut tidak berarti setiap platform kripto rentan. Eksekutif BNB Chain Nina Rong mengonfirmasi bahwa jaringan itu tidak menggunakan PHP dalam tumpukan teknologinya, sementara bursa terdesentralisasi PancakeSwap mengunggah bahwa mereka tidak menggunakan PHP di mana pun dalam infrastrukturnya dan dana pengguna aman.

Zhao kemudian membagikan ulang pernyataan PancakeSwap dan berkomentar bahwa “Sebagian besar proyek setidaknya harus mengunggah konfirmasi seperti ini.”

OpenAI, Vitalik Buterin, dan Implikasi Keamanan AI

OpenAI menyatakan bahwa model-modelnya membantu peneliti menemukan celah-celah tersebut melalui inisiatif Patch the Planet dan menyebut celah itu “salah satu kerentanan paling berdampak dalam ingatan terakhir.” Menurut pengetahuan perusahaan, AI frontier telah mencapai masalah itu lebih dulu daripada penyerang.

Pendiri bersama Ethereum Vitalik Buterin mendorong gagasan bahwa peretasan berbasis AI membuat keamanan siber tanpa harapan, dengan alasan bahwa AI yang mampu memberikan teorema matematika sulit juga dapat membuktikan bahwa sebuah program aman.

Bagi pengguna, imbauan CZ menegaskan pentingnya kewaspadaan saat mengunjungi situs web, sementara pernyataan BNB Chain dan PancakeSwap menunjukkan bahwa tidak semua platform kripto terdampak karena tidak memakai PHP. Perkembangan berikutnya bergantung pada kecepatan admin web menerapkan patch dan pemantauan terhadap eksploitasi tanpa autentikasi.