Sejumlah game populer seperti Pokemon Sleep, Pokemon HOME, Pokemon Champions, hingga Umamusume terpaksa menghentikan layanannya secara mendadak. Pemeliharaan darurat (emergency maintenance) ini dilakukan oleh para pengembang demi merespons dua celah keamanan kritis pada sistem server berbasis PHP.
Gangguan meluas mulai terjadi sejak 21 Oktober, sesaat sebelum tim pengembang PHP merilis pembaruan keamanan resmi. Hingga saat ini, beberapa pengembang belum memberikan kepastian kapan layanan akan kembali normal, membuat para pemain harus gigit jari karena tidak bisa mengakses game maupun akun mereka.
Deretan Game Raksasa yang Terdampak Pemeliharaan Darurat
Pokemon Sleep menjadi salah satu yang pertama mengumumkan pemeliharaan darurat tanpa memberikan perkiraan waktu selesai. Laporan dari Serebii juga mencatat bahwa gangguan serupa melanda Pokemon HOME, Pokemon Champions, hingga jaringan online Nintendo Switch 1 dan Switch 2. Meski Nintendo belum mengonfirmasi secara langsung, kuat dugaan bahwa penutupan server ini dilakukan sebagai langkah pencegahan.
Sementara itu, raksasa game Jepang Cygames secara terbuka mengonfirmasi dalam pengumuman resminya bahwa server game mereka mengidentifikasi adanya celah keamanan PHP. Laporan dari media teknologi Jepang juga mengaitkan penutupan server game arcade CHUNITHM dengan isu keamanan yang sama.
Berikut adalah daftar layanan dan game yang menghentikan operasinya secara sementara:
- Pokemon Sleep
- Pokemon HOME
- Pokemon Champions
- Layanan online Nintendo Switch 1 dan Switch 2
- Umamusume: Pretty Derby
- Granblue Fantasy
- Shadowverse: Worlds Beyond
- Princess Connect! Re:Dive
- CHUNITHM
Penting untuk dipahami bahwa status offline ini bukan berarti server dari game-game tersebut telah berhasil diretas. Pengembang memilih untuk mematikan server guna menerapkan pembaruan keamanan (patch) serta mencegah potensi serangan siber sebelum terjadi hal yang tidak diinginkan.
Penjelasan Celah Keamanan PHP dan Bahayanya
Bagi yang belum familiar, PHP adalah bahasa pemrograman yang bekerja di balik layar (backend) untuk mengelola situs web dan layanan berbasis internet. PHP tidak berjalan langsung di konsol atau ponsel pemain, melainkan di server pusat yang memproses sistem login, data akun, transaksi microtransaction, serta fitur online lainnya.
Dua celah keamanan terbaru yang terdeteksi (dengan kode CVE-2026-109618 dan CVE-2026-109619) mendapat skor keparahan sangat tinggi, yakni 9,2 dari 10 oleh tim PHP. Kerentanan ini memungkinkan aksi unauthenticated remote code execution (RCE). Sederhananya, peretas bisa mengirimkan perintah khusus ke server yang rentan untuk menjalankan program jahat tanpa perlu memiliki akses login sama sekali.
Jika berhasil dieksploitasi, peretas dapat merubah tampilan situs, mencuri data pribadi pengguna, menginstal malware, hingga menggunakan server yang terinfeksi untuk menyerang sistem lain.
Tim PHP telah merilis perbaikan untuk PHP versi 8.2, 8.3, 8.4, dan 8.5, serta mendesak para pengelola server untuk segera melakukan pembaruan. Karena tidak ada solusi sementara yang benar-benar ampuh selain melakukan perbaikan penuh, mematikan server untuk sementara menjadi satu-satunya langkah paling aman yang bisa diambil para pengembang saat ini.
