Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Mengenal Celah Keamanan PHP yang Memerlukan Pembaruan Segera
Komunitas pengembang inti PHP mengungkapkan sepasang celah berbahaya dalam sistem PHP yang memungkinkan pengambilalihan proses tertentu dalam kondisi yang memenuhi syarat. Kedua kerentanan tersebut tercatat menggunakan identitas CVE-2026-109618 dan CVE-2026-109619. Masing-masing memperoleh nilai keparahan 9,2 dalam sistem CVSS terbaru. Tingkat penilaian ini menggambarkan potensi dampak keamanan yang tinggi. Tidak seperti kerentanan yang terbatas pada tema website, kelemahan ini berada dalam mesin pemrosesan PHP. Oleh sebab itu, banyak sistem yang menggunakan PHP perlu diperiksa.
Dalam pengembangan website, PHP menjadi komponen penting dalam berbagai layanan internet. Banyak aplikasi berbasis web seperti WordPress, Drupal, dan Joomla menggunakan PHP sebagai bagian dari pemrosesan server. Dengan banyaknya sistem yang memanfaatkan PHP, kerentanan pada komponen inti memiliki dampak yang luas. Dalam kondisi tertentu, plugin yang aman tidak otomatis melindungi runtime PHP yang rentan. Penyebab utamanya adalah kerentanan terjadi pada mesin PHP sebelum sebagian logika aplikasi diproses. Untuk mengurangi kemungkinan serangan, pemeriksaan versi PHP menjadi prioritas utama.
Mengenal CVE-2026-109618 dan CVE-2026-109619
Celah keamanan dengan kode CVE-2026-109618 terjadi pada penanganan kondisi out-of-memory. Dalam kondisi tertentu, PHP dapat mengalami gangguan saat mengelola data internal. Kesalahan pengelolaan ini memungkinkan terjadinya memory corruption. Apabila berhasil dimanfaatkan, dampaknya dapat mencakup eksekusi kode berbahaya. Masalah ini tidak bergantung pada kesalahan penulisan kode aplikasi biasa. Berdasarkan karakteristik tersebut, perbaikan tema website tidak menyelesaikan akar masalah.
Pada kerentanan kedua, gangguan terjadi pada pengelolaan keadaan global antarpermintaan. Pada kondisi pemrosesan khusus, status dari permintaan sebelumnya berpotensi bertahan. Situasi tersebut berhubungan dengan penggunaan memori setelah dibebaskan. Jika kelemahan tersebut berhasil dipicu, informasi sensitif dari memori berpotensi terekspos. Kedua kerentanan muncul dari mekanisme pengelolaan keadaan pemrosesan. Namun perlu diperhatikan, keberhasilan eksploitasi bergantung pada kondisi lingkungan. Pemasangan versi PHP yang telah diperbaiki tetap merupakan prioritas untuk mengurangi ancaman.
Daftar PHP yang Harus Segera Diperbarui oleh Administrator
Proyek resmi PHP merilis versi perbaikan pada 21 Oktober 2026 untuk menutup kedua kerentanan kritis. Versi yang telah memperoleh perbaikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengguna PHP 8.5 sebaiknya memasang rilis 8.5.12 atau versi berikutnya yang telah diperbaiki. Sementara itu, pengguna PHP 8.3 perlu menggunakan minimal 8.3.36 sesuai cabang versi yang digunakan. Rilis patch terbaru mengatasi celah eksekusi kode yang ditemukan. Mengingat tingkat keparahannya tinggi, administrator dianjurkan segera melakukan peningkatan versi.
Perhatian tambahan diperlukan bagi server yang menggunakan PHP versi lama. Rilis PHP sebelum seri 8.2 tidak memperoleh patch baru melalui siklus rilis resmi PHP. Dalam praktik pengelolaan server, pengelola website harus meningkatkan runtime ke versi yang didukung. Sebagai informasi tambahan, PHP 8.2 akan memasuki status end-of-life pada penghujung Desember 2026. Untuk menghindari masalah berikutnya, organisasi perlu menyusun rencana migrasi jangka panjang. Meski demikian, perubahan versi perlu disertai evaluasi perangkat lunak agar proses migrasi berlangsung dengan risiko operasional minimal.
Panduan Mengecek Kerentanan PHP Sebelum Memperbarui Website
Untuk pengelola website berbasis WordPress, pemeriksaan versi PHP dapat dilakukan melalui dashboard. Langkah pertama, masuk ke halaman administrator WordPress. Setelah berhasil masuk, buka bagian Peralatan, kemudian masuk ke Site Health. Dalam tab Informasi, periksa detail lingkungan server untuk mengetahui nomor rilis runtime PHP. Ketika nomor PHP masih lebih rendah daripada versi aman, administrator harus menghubungi penyedia hosting. Proses identifikasi awal ini membantu menentukan tindakan yang diperlukan.
Untuk pengguna layanan hosting, informasi runtime biasanya tersedia dalam pengaturan server. Pada layanan cPanel, pengguna dapat memeriksa PHP melalui halaman MultiPHP Manager apabila layanan hosting mendukung pengaturan versi PHP. Untuk server yang dikelola sendiri, administrator dapat memeriksa konfigurasi runtime. Perintah php -v memberikan detail instalasi PHP yang dipanggil terminal. Meskipun perintah tersebut berguna, runtime PHP-FPM tidak selalu identik dengan PHP CLI. Sebagai langkah validasi, pastikan versi PHP pada web server juga diperiksa. Berkat validasi tersebut, server aktif benar-benar mendapatkan perbaikan.
Risiko Serangan Siber akibat Dua Celah Keamanan PHP
Risiko utama dari kerentanan tersebut adalah kemampuan menjalankan kode berbahaya tanpa harus memiliki akun. Dalam istilah keamanan siber, kelemahan semacam ini memungkinkan eksekusi kode tanpa autentikasi. Apabila berhasil dieksploitasi, server berpotensi kehilangan integritas. Konsekuensi keamanan yang berpotensi muncul meliputi gangguan layanan serta penyalahgunaan sumber daya. Untuk aplikasi yang mengelola pelanggan, risiko tersebut menjadi perhatian penting karena sistem terhubung dengan layanan bisnis yang bernilai. Meski demikian, keberadaan versi rentan bukan bukti bahwa serangan telah terjadi.
Kerentanan ini tidak hanya relevan untuk WordPress karena beragam sistem web memanfaatkan mesin PHP yang sama. Website Drupal serta platform web khusus perusahaan perlu diperiksa jika menggunakan runtime yang belum diperbaiki. Untuk konfigurasi web server, berbagai mode integrasi PHP dengan web server tidak sebaiknya dianggap aman tanpa pemeriksaan. Dalam informasi keamanan resmi, pengembang PHP menekankan risiko yang sangat tinggi pada konfigurasi mod_php karena serangan dapat dipicu sebelum logika website diproses. Untuk mengurangi kemungkinan eksploitasi, administrator perlu menangani masalah pada tingkat server.
Strategi Mitigasi Risiko setelah Pengungkapan Kerentanan PHP
Langkah utama yang direkomendasikan adalah memasang pembaruan PHP yang sudah memperbaiki kedua celah. Menjelang proses peningkatan versi, administrator sebaiknya membuat cadangan website. File backup yang tersedia membantu proses pemulihan apabila terjadi gangguan. Selanjutnya, lakukan pembaruan melalui metode resmi yang didukung server. Jika menggunakan layanan managed hosting, hubungi dukungan teknis untuk memastikan patch telah diterapkan. Sesudah patch diterapkan, pastikan layanan PHP yang aktif menggunakan versi baru. Validasi aplikasi setelah peningkatan versi juga perlu dilakukan secara menyeluruh.
Jika patch tidak dapat segera dipasang, organisasi sebaiknya melakukan mitigasi risiko tambahan. Penerapan aturan WAF berpotensi mengurangi sejumlah jalur serangan, tetapi tidak menjamin perlindungan penuh. Jika aplikasi penting belum dapat diperbaiki, isolasi sementara dapat menjadi pilihan sampai server berhasil menggunakan versi aman. Selain itu, tim keamanan perlu meninjau aktivitas mencurigakan. Pemeriksaan tersebut membantu menemukan kemungkinan aktivitas tidak wajar. Meski beberapa mitigasi tersedia, penggunaan versi yang telah diperbaiki harus tetap diprioritaskan.
Penutup: Pentingnya Memperbarui PHP untuk Mencegah Serangan
Pengungkapan dua kerentanan kritis PHP menjadi pengingat penting bagi pengelola website. Kedua celah tersebut memiliki skor CVSS 9,2 dan menimbulkan ancaman serius terhadap server yang rentan. Rilis keamanan terbaru untuk cabang PHP yang masih didukung harus diprioritaskan oleh administrator. Sebagai bagian dari perlindungan menyeluruh, pengujian aplikasi dan pengawasan aktivitas mendukung pengelolaan risiko yang lebih baik. Dalam perkembangan TEKNOLOGI keamanan siber, pengawasan infrastruktur harus dilakukan secara konsisten. Apakah website Anda sudah menggunakan PHP versi terbaru? Silakan bagikan pengalaman Anda mengenai pembaruan PHP.
