Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Dua Kerentanan Kritis PHP Menjadi Ancaman bagi Keamanan Website
Pengelola proyek bahasa pemrograman PHP mengumumkan sepasang celah berbahaya dalam sistem PHP yang dapat membuka peluang eksekusi perintah berbahaya pada server. Kedua kerentanan tersebut tercatat menggunakan identitas CVE-2026-109618 dan CVE-2026-109619. Masing-masing memperoleh nilai keparahan 9,2 dalam sistem CVSS terbaru. Skor keamanan tersebut menggambarkan potensi dampak keamanan yang tinggi. Tidak seperti kelemahan yang hanya memengaruhi satu aplikasi, kelemahan ini berada dalam mesin pemrosesan PHP. Dengan kondisi tersebut, sejumlah layanan berbasis PHP berpotensi terdampak.
Dalam pengembangan website, PHP menjadi bahasa pemrograman populer untuk aplikasi web. Berbagai platform seperti WordPress, Drupal, dan Joomla mengandalkan PHP untuk menjalankan fungsinya. Mengingat tingkat adopsinya tinggi, masalah keamanan runtime perlu mendapatkan perhatian serius. Selain itu, pembaruan CMS saja belum tentu menghilangkan ancaman. Hal ini terjadi karena masalah muncul dalam komponen yang menjalankan kode aplikasi. Oleh karena itu, pemeriksaan versi PHP menjadi prioritas utama.
Bagaimana Dua Celah PHP Dapat Membahayakan Server?
Kerentanan pertama melibatkan kesalahan pemrosesan saat batas memori tercapai. Dalam kondisi tertentu, runtime berpotensi meninggalkan struktur data yang belum sepenuhnya diinisialisasi. Permasalahan memori tersebut dapat menyebabkan kerusakan memori. Jika kondisi eksploitasi terpenuhi, dampaknya dapat mencakup eksekusi kode berbahaya. Kelemahan pertama ini terjadi pada lapisan yang lebih mendasar daripada logika website. Dengan demikian, pengelola tidak cukup hanya memperbarui plugin.
Untuk CVE-2026-109619, gangguan terjadi pada pengelolaan keadaan global antarpermintaan. Pada kondisi pemrosesan khusus, informasi lama dapat digunakan kembali secara tidak semestinya. Keadaan ini dapat melibatkan referensi terhadap data yang sudah tidak berlaku. Jika kelemahan tersebut berhasil dipicu, informasi sensitif dari memori berpotensi terekspos. Kedua kerentanan muncul dari mekanisme pengelolaan keadaan pemrosesan. Meskipun demikian, tingkat risiko nyata dapat dipengaruhi konfigurasi serta jalur serangan yang tersedia. Pemasangan versi PHP yang telah diperbaiki tetap merupakan prioritas untuk mengurangi ancaman.
Rilis Patch PHP untuk Menutup Dua Kerentanan Kritis
Pengelola keamanan PHP menghadirkan patch keamanan pada 21 Oktober 2026 untuk mengatasi masalah manajemen memori tersebut. Rilis keamanan yang direkomendasikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Administrator yang masih menjalankan cabang PHP 8.5 sebaiknya memasang rilis 8.5.12 atau versi berikutnya yang telah diperbaiki. Untuk cabang lainnya, pengguna PHP 8.3 perlu menggunakan minimal 8.3.36 sesuai lingkungan server yang sedang berjalan. Rilis patch terbaru mengatasi celah eksekusi kode yang ditemukan. Dengan mempertimbangkan potensi serangan, pemasangan patch tidak sebaiknya ditunda.
Risiko meningkat bagi aplikasi berbasis cabang PHP usang. Rilis PHP sebelum seri 8.2 tidak lagi menerima perbaikan keamanan resmi dari proyek PHP. Artinya, pengelola website harus meningkatkan runtime ke versi yang didukung. Selain itu, PHP 8.2 akan memasuki status end-of-life pada penghujung Desember 2026. Dengan mempertimbangkan jadwal tersebut, pengelola website dianjurkan mempertimbangkan penggunaan seri PHP dengan masa dukungan lebih panjang. Walaupun pembaruan sangat diperlukan, pengujian plugin serta tema menjadi langkah penting agar website tetap berfungsi setelah pembaruan.
Panduan Mengecek Kerentanan PHP Sebelum Memperbarui Website
Apabila situs menggunakan CMS WordPress, informasi runtime tersedia pada halaman administrasi. Pada tahap awal, buka dashboard pengelolaan website. Kemudian, akses menu pengelolaan Tools, kemudian masuk ke Site Health. Dalam tab Informasi, periksa detail lingkungan server untuk memeriksa informasi konfigurasi PHP. Jika hasilnya menunjukkan versi rentan, pemilik situs sebaiknya menyiapkan peningkatan versi. Pemeriksaan ini memberikan gambaran kondisi keamanan server.
Di luar dashboard CMS, pengelola dapat meninjau konfigurasi PHP dari control panel. Dalam lingkungan hosting berbasis cPanel, menu MultiPHP Manager dapat digunakan apabila layanan hosting mendukung pengaturan versi PHP. Sementara itu, versi PHP bisa diketahui menggunakan perintah sistem. Pemeriksaan menggunakan php -v memberikan detail instalasi PHP yang dipanggil terminal. Walaupun informasi CLI dapat diperoleh, versi PHP untuk website bisa berbeda dari versi terminal. Untuk pemeriksaan yang tepat, administrator perlu mengidentifikasi runtime yang benar-benar melayani website. Melalui pemeriksaan menyeluruh, pembaruan tidak hanya dilakukan pada instalasi yang tidak digunakan website.
Risiko Serangan Siber akibat Dua Celah Keamanan PHP
Ancaman terbesar yang perlu diperhatikan adalah kemungkinan eksekusi kode jarak jauh tanpa autentikasi. Pada bidang perlindungan sistem, serangan tersebut termasuk kategori remote code execution tanpa login. Jika penyerang mampu memanfaatkan celah, proses yang rentan dapat dikuasai. Akibat yang mungkin terjadi dapat berupa perubahan data website. Dalam lingkungan perdagangan elektronik, risiko tersebut menjadi perhatian penting karena server sering menyimpan atau mengakses informasi penting. Meski demikian, keberadaan versi rentan bukan bukti bahwa serangan telah terjadi.
Kerentanan ini tidak hanya relevan untuk WordPress karena beragam sistem web memanfaatkan mesin PHP yang sama. Website Drupal serta aplikasi PHP buatan sendiri memerlukan peninjauan keamanan pada lingkungan server. Dalam penggunaan infrastruktur hosting, PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed tidak sebaiknya dianggap aman tanpa pemeriksaan. Tim keamanan PHP menyoroti risiko yang sangat tinggi pada konfigurasi mod_php karena serangan dapat dipicu sebelum logika website diproses. Karena itu, pembaruan runtime menjadi tindakan utama.
Panduan Pembaruan PHP dan Perlindungan Server Website
Langkah utama yang direkomendasikan adalah meningkatkan instalasi ke versi keamanan terbaru. Menjelang proses peningkatan versi, tim teknis dianjurkan menyimpan salinan konfigurasi dan aplikasi. Salinan data tersebut memberikan pilihan pemulihan saat pembaruan menimbulkan kendala. Setelah persiapan selesai, lakukan pembaruan melalui metode resmi yang didukung server. Untuk pengguna penyedia hosting yang mengatur PHP, periksa pemberitahuan keamanan dari perusahaan hosting. Setelah pembaruan, periksa kembali runtime yang melayani permintaan web. Validasi aplikasi setelah peningkatan versi juga harus menjadi bagian dari prosedur.
Jika patch tidak dapat segera dipasang, administrator perlu menerapkan tindakan pembatasan sementara. Penerapan aturan WAF mendukung pembatasan trafik berbahaya tertentu, tetapi tidak menjamin perlindungan penuh. Pada server yang terbuka langsung ke internet, isolasi sementara dapat menjadi pilihan sampai patch selesai dipasang dan diverifikasi. Selain itu, pengelola dapat mengevaluasi catatan permintaan dan kesalahan sistem. Evaluasi keamanan tersebut mendukung identifikasi indikasi kompromi. Walaupun langkah tambahan bermanfaat, patch resmi merupakan solusi utama.
Penutup: Pentingnya Memperbarui PHP untuk Mencegah Serangan
Ditemukannya CVE-2026-109618 dan CVE-2026-109619 menegaskan pentingnya pembaruan perangkat lunak server. Permasalahan keamanan ini mendapatkan tingkat keparahan kritis dan berpotensi memungkinkan eksekusi kode tanpa autentikasi. Pembaruan PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 harus diprioritaskan oleh administrator. Di samping meningkatkan versi PHP, pembuatan backup serta evaluasi konfigurasi mendukung pengelolaan risiko yang lebih baik. Dalam perkembangan TEKNOLOGI keamanan siber, keamanan runtime tidak boleh diabaikan. Bagaimana pengalaman Anda melakukan pembaruan keamanan PHP? Mari sampaikan pandangan tentang pentingnya keamanan website.
