Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Peringatan Keamanan PHP dan Risiko Serangan terhadap Server Website
Tim pengembang PHP mengumumkan dua kelemahan serius pada komponen inti PHP yang memungkinkan pengambilalihan proses tertentu dalam kondisi yang memenuhi syarat. Dua kelemahan keamanan ini tercatat menggunakan identitas CVE-2026-109618 dan CVE-2026-109619. Keduanya memiliki skor CVSS versi 4.0 sebesar 9,2. Angka tersebut menempatkan keduanya dalam kategori kritis. Berbeda dari masalah pada plugin tertentu, kelemahan ini berada dalam mesin pemrosesan PHP. Dengan kondisi tersebut, berbagai website dapat menghadapi risiko.
PHP merupakan bahasa pemrograman populer untuk aplikasi web. Sejumlah sistem manajemen konten seperti WordPress, Drupal, dan Joomla menggunakan PHP sebagai bagian dari pemrosesan server. Karena penggunaannya luas, kelemahan tersebut berpotensi memengaruhi berbagai jenis website. Dalam kondisi tertentu, plugin yang aman tidak otomatis melindungi runtime PHP yang rentan. Hal ini terjadi karena masalah muncul dalam komponen yang menjalankan kode aplikasi. Untuk mengurangi kemungkinan serangan, pengelola server perlu segera melakukan pembaruan.
Mengenal CVE-2026-109618 dan CVE-2026-109619
Kerentanan pertama melibatkan kesalahan pemrosesan saat batas memori tercapai. Ketika permintaan mencapai keadaan tertentu, runtime berpotensi meninggalkan struktur data yang belum sepenuhnya diinisialisasi. Permasalahan memori tersebut memungkinkan terjadinya memory corruption. Jika kondisi eksploitasi terpenuhi, server berpotensi menjalankan instruksi yang tidak sah. Masalah ini terjadi pada lapisan yang lebih mendasar daripada logika website. Dengan demikian, perbaikan tema website tidak menyelesaikan akar masalah.
Sementara itu, kelemahan muncul akibat penggunaan kembali informasi memori yang sudah tidak valid. Pada kondisi pemrosesan khusus, status dari permintaan sebelumnya berpotensi bertahan. Situasi tersebut dapat melibatkan referensi terhadap data yang sudah tidak berlaku. Apabila dimanfaatkan penyerang, server dapat menghadapi risiko eksekusi kode jarak jauh. Kedua kerentanan berkaitan dengan kesalahan manajemen memori. Meskipun demikian, tidak setiap server pasti telah diserang. Penerapan patch keamanan terbaru tetap menjadi langkah perlindungan paling penting.
Daftar PHP yang Harus Segera Diperbarui oleh Administrator
Proyek resmi PHP menghadirkan patch keamanan pada 21 Oktober 2026 untuk mengatasi masalah manajemen memori tersebut. Pembaruan yang tersedia meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengguna PHP 8.5 harus memastikan sistem tidak lagi menggunakan 8.5.11 atau rilis rentan sebelumnya. Sementara itu, instalasi PHP 8.2 membutuhkan pembaruan minimal ke 8.2.35 sesuai lingkungan server yang sedang berjalan. Rilis patch terbaru mengatasi celah eksekusi kode yang ditemukan. Mengingat tingkat keparahannya tinggi, pemasangan patch tidak sebaiknya ditunda.
Permasalahan menjadi lebih penting bagi website dengan instalasi PHP yang sudah tidak didukung. Versi PHP 8.1 dan sebelumnya tidak memperoleh patch baru melalui siklus rilis resmi PHP. Artinya, administrator perlu mengganti cabang PHP yang sudah usang. Untuk perencanaan jangka panjang, PHP 8.2 dijadwalkan mencapai akhir masa dukungan pada 31 Desember 2026. Dengan mempertimbangkan jadwal tersebut, organisasi perlu menyusun rencana migrasi jangka panjang. Meski demikian, perubahan versi perlu disertai evaluasi perangkat lunak agar layanan tidak mengalami gangguan yang tidak diharapkan.
Cara Memeriksa Versi PHP pada Website WordPress
Bagi pengguna WordPress, informasi runtime tersedia pada halaman administrasi. Pada tahap awal, akses panel administrasi situs. Setelah berhasil masuk, pilih menu Tools, kemudian pilih Kesehatan Situs. Dalam tab Informasi, buka informasi Server untuk mengetahui nomor rilis runtime PHP. Jika hasilnya menunjukkan versi rentan, administrator harus menghubungi penyedia hosting. Proses identifikasi awal ini memberikan gambaran kondisi keamanan server.
Selain melalui WordPress, pengelola dapat meninjau konfigurasi PHP dari control panel. Jika menggunakan cPanel, pengguna dapat memeriksa PHP melalui halaman MultiPHP Manager apabila administrator server menyediakan akses tersebut. Sementara itu, pemeriksaan dapat dilakukan melalui terminal. Instruksi terminal php -v memberikan detail instalasi PHP yang dipanggil terminal. Namun perlu diketahui, versi PHP untuk website bisa berbeda dari versi terminal. Karena itu, administrator perlu mengidentifikasi runtime yang benar-benar melayani website. Dengan begitu, pembaruan tidak hanya dilakukan pada instalasi yang tidak digunakan website.
Risiko Serangan Siber akibat Dua Celah Keamanan PHP
Risiko utama dari kerentanan tersebut adalah kemampuan menjalankan kode berbahaya tanpa harus memiliki akun. Pada bidang perlindungan sistem, serangan tersebut termasuk kategori remote code execution tanpa login. Ketika serangan memenuhi kondisi eksploitasi, server berpotensi kehilangan integritas. Dampaknya mencakup akses terhadap informasi sensitif. Pada website bisnis, dampaknya dapat memengaruhi operasional karena aplikasi menangani data pengguna dan transaksi. Walaupun dampak potensial sangat besar, keberadaan versi rentan bukan bukti bahwa serangan telah terjadi.
Kerentanan ini tidak hanya relevan untuk WordPress karena beragam sistem web memanfaatkan mesin PHP yang sama. Aplikasi Joomla serta layanan digital berbasis PHP lainnya perlu diperiksa jika menggunakan runtime yang belum diperbaiki. Selain itu, PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed harus dievaluasi sesuai versi yang digunakan. Peringatan pengembang menyebutkan tingkat bahaya khusus untuk Apache mod_php karena permintaan berbahaya dapat mencapai bagian rentan lebih awal. Dengan kondisi tersebut, pembaruan runtime menjadi tindakan utama.
Strategi Mitigasi Risiko setelah Pengungkapan Kerentanan PHP
Prioritas pertama bagi pengelola website adalah menggunakan runtime PHP dengan patch resmi. Menjelang proses peningkatan versi, administrator sebaiknya membuat cadangan website. File backup yang tersedia membantu proses pemulihan apabila terjadi gangguan. Setelah persiapan selesai, lakukan pembaruan melalui metode resmi yang didukung server. Jika menggunakan layanan managed hosting, periksa pemberitahuan keamanan dari perusahaan hosting. Ketika instalasi selesai, pastikan layanan PHP yang aktif menggunakan versi baru. Pemeriksaan halaman dan fitur penting juga harus menjadi bagian dari prosedur.
Apabila pembaruan belum memungkinkan, pengelola server harus mempertimbangkan perlindungan darurat. Penggunaan web application firewall dapat membantu menyaring sebagian permintaan mencurigakan, tetapi tidak menjamin perlindungan penuh. Jika aplikasi penting belum dapat diperbaiki, penonaktifan layanan untuk sementara mungkin diperlukan sampai patch selesai dipasang dan diverifikasi. Selain itu, administrator dianjurkan memeriksa log server. Langkah investigasi ini membantu menemukan kemungkinan aktivitas tidak wajar. Walaupun langkah tambahan bermanfaat, pembaruan PHP tetap menjadi tindakan paling efektif.
Rangkuman Ancaman PHP dan Langkah Perlindungan Website
Peringatan keamanan mengenai dua kelemahan PHP menjadi pengingat penting bagi pengelola website. Kerentanan pada runtime PHP tersebut tergolong kritis dengan penilaian 9,2 dan berpotensi memungkinkan eksekusi kode tanpa autentikasi. Pembaruan PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 harus diprioritaskan oleh administrator. Selain memasang patch, pembuatan backup serta evaluasi konfigurasi memperkuat proses pemeliharaan website. Dalam perkembangan TEKNOLOGI keamanan siber, keamanan runtime tidak boleh diabaikan. Bagaimana pengalaman Anda melakukan pembaruan keamanan PHP? Mari sampaikan pandangan tentang pentingnya keamanan website.
