Kerentanan Kritis phpBB: Bug Bypass Autentikasi Berusia 10 Tahun Berhasil Ditambal

Kabar penting bagi para pengelola situs komunitas. Pihak pengembang software forum sumber terbuka (open-source) legendaris, phpBB, baru saja merilis pembaruan keamanan darurat. Langkah ini diambil untuk menambal sebuah celah keamanan kritis berjenis Bypass Autentikasi yang tersembunyi selama satu dekade di dalam kode pemrograman mereka.

Celah ini dinilai sangat berbahaya karena memungkinkan peretas untuk masuk (login) ke akun pengguna mana pun—termasuk akun Administrator tertinggi—secara instan tanpa perlu mengetahui kata sandi korban.

Eksploitasi Sangat Mudah Hanya dengan Satu Permintaan HTTP

Kerentanan ini ditemukan oleh tim peneliti dari perusahaan keamanan aplikasi Aikido pada 2 Juni 2026. Mereka melaporkannya secara privat melalui program pengungkapan bug (Bug Bounty) resmi milik phpBB di platform HackerOne.

Berdasarkan analisis Aikido, karakteristik dari exploit ini tergolong sangat mengkhawatirkan:

• Metode Serangan: Sangat sepele (trivial), peretas hanya perlu mengirimkan satu buah permintaan HTTP (single HTTP request) yang telah dimanipulasi ke server forum target.
• Tanpa Syarat Khusus: Bug ini aktif secara bawaan pada konfigurasi standar (default settings). Peretas tidak membutuhkan hak akses awal, tidak perlu konfigurasi server yang rumit, maupun pengetahuan teknis tingkat tinggi untuk melancarkannya.
• Kemudahan Membidik Target: Fitur daftar anggota (member list) pada phpBB aktif secara publik secara bawaan, sehingga memudahkan aktor jahat mencari nama pengguna (username) milik akun Administrator situs.

“Kerentanan ini dapat dieksploitasi dalam konfigurasi default dan tidak memerlukan pengetahuan khusus,” tulis laporan resmi Aikido.

Dampak Serangan dan Batasan Proteksi RCE

Jika seorang peretas berhasil mengambil alih hak akses Administrator melalui celah ini, mereka dapat melakukan kontrol penuh atas forum, meliputi:

• Membaca seluruh Pesan Pribadi (Private Messages/PM) rahasia milik pengguna lain yang tersimpan di basis data.
• Membuat, mengubah, atau menghapus konten serta akun pengguna secara sepihak.
• Mengubah tampilan situs secara ilegal (deface).

Meskipun dampaknya sangat merusak, Aikido memberikan satu catatan melegakan: Aktivitas Eksekusi Kode Jarak Jauh (RCE/Remote Code Execution) tidak dapat dilakukan. Hal ini dikarenakan phpBB memiliki lapisan pertahanan sekunder berupa verifikasi kata sandi ulang yang terpisah dan ketat ketika seseorang mencoba mengakses Panel Kontrol Admin (ACP).

Daftar Versi Terdampak dan Solusi Pembaruan

Bug ini telah bersarang di dalam basis kode phpBB selama 10 tahun terakhir, yang berarti berdampak pada seluruh lini rilis cabang versi 3.x dan 4.x:

Guna memberikan waktu yang cukup bagi para pemilik forum untuk melakukan patching, tim peneliti Aikido sengaja menahan dan menyembunyikan detail teknis kronologi bug ini dari publik, sembari menghubungi langsung para administrator forum phpBB berskala besar di seluruh dunia agar segera waspada.

Catatan Efek Samping Update: Otentikasi OAuth Bisa Terputus

Para pengelola forum perlu memperhatikan satu efek samping teknis setelah melakukan proses update ke versi 3.3.17. Pembaruan ini mengubah lokasi penanganan pengalihan (redirect handler) untuk sistem OAuth.

Jika forum Anda menggunakan fitur masuk lewat pihak ketiga (seperti Login via Google atau Facebook), fitur tersebut kemungkinan besar akan mengalami malfungsi atau terputus sementara pasca-update. Namun, kendala ini dikonfirmasi dapat diperbaiki dengan mudah melalui penyesuaian ulang alamat URL callback di panel konfigurasi OAuth Anda.

Sumber: Aikido Application Security Research Report