Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Dua Kerentanan Kritis PHP Menjadi Ancaman bagi Keamanan Website
Pengelola proyek bahasa pemrograman PHP merilis informasi mengenai dua kerentanan keamanan dengan tingkat keparahan kritis yang memungkinkan pengambilalihan proses tertentu dalam kondisi yang memenuhi syarat. Dua kelemahan keamanan ini diidentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619. Masing-masing memperoleh penilaian tingkat bahaya 9,2 berdasarkan CVSS 4.0. Angka tersebut menggambarkan potensi dampak keamanan yang tinggi. Berbeda dari masalah pada plugin tertentu, kedua celah ditemukan pada komponen inti PHP. Oleh sebab itu, banyak sistem yang menggunakan PHP perlu diperiksa.
PHP merupakan salah satu teknologi server yang banyak digunakan. Berbagai platform seperti WordPress, Drupal, dan Joomla menggunakan PHP sebagai bagian dari pemrosesan server. Dengan banyaknya sistem yang memanfaatkan PHP, masalah keamanan runtime perlu mendapatkan perhatian serius. Bahkan, pembaruan CMS saja belum tentu menghilangkan ancaman. Kondisi tersebut berkaitan dengan kerentanan terjadi pada mesin PHP sebelum sebagian logika aplikasi diproses. Untuk mengurangi kemungkinan serangan, pengelola server perlu segera melakukan pembaruan.
Mengenal CVE-2026-109618 dan CVE-2026-109619
Celah keamanan dengan kode CVE-2026-109618 melibatkan kesalahan pemrosesan saat batas memori tercapai. Pada situasi pemrosesan khusus, sistem dapat memperlakukan informasi internal yang tidak lengkap secara keliru. Permasalahan memori tersebut memungkinkan terjadinya memory corruption. Jika kondisi eksploitasi terpenuhi, proses PHP dapat mengalami pengambilalihan dalam kondisi tertentu. Masalah ini tidak bergantung pada kesalahan penulisan kode aplikasi biasa. Dengan demikian, pembaruan aplikasi saja belum memberikan perlindungan menyeluruh.
Sementara itu, kelemahan muncul akibat penggunaan kembali informasi memori yang sudah tidak valid. Ketika PHP menangani rangkaian permintaan, status dari permintaan sebelumnya berpotensi bertahan. Situasi tersebut berhubungan dengan penggunaan memori setelah dibebaskan. Jika kelemahan tersebut berhasil dipicu, informasi sensitif dari memori berpotensi terekspos. Kedua kerentanan melibatkan penanganan data internal yang tidak aman. Meskipun demikian, tidak setiap server pasti telah diserang. Penerapan patch keamanan terbaru tetap menjadi langkah perlindungan paling penting.
Versi PHP yang Terdampak dan Pembaruan Keamanan Resmi
Tim pengembang PHP merilis versi perbaikan pada 21 Oktober 2026 untuk menutup kedua kerentanan kritis. Versi yang telah memperoleh perbaikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengguna PHP 8.5 sebaiknya memasang rilis 8.5.12 atau versi berikutnya yang telah diperbaiki. Sementara itu, pengguna PHP 8.3 perlu menggunakan minimal 8.3.36 sesuai konfigurasi runtime masing-masing. Rilis patch terbaru ditujukan untuk menutup kedua kelemahan. Dengan mempertimbangkan potensi serangan, pemasangan patch tidak sebaiknya ditunda.
Perhatian tambahan diperlukan bagi website dengan instalasi PHP yang sudah tidak didukung. Cabang PHP 8.1 beserta versi yang lebih tua sudah berada di luar periode dukungan keamanan utama. Artinya, pengelola website harus meningkatkan runtime ke versi yang didukung. Untuk perencanaan jangka panjang, PHP 8.2 memiliki batas dukungan keamanan hingga akhir tahun 2026. Dengan mempertimbangkan jadwal tersebut, organisasi perlu menyusun rencana migrasi jangka panjang. Namun dalam pelaksanaannya, kompatibilitas aplikasi tetap harus diperiksa agar proses migrasi berlangsung dengan risiko operasional minimal.
Cara Memeriksa Versi PHP pada Website WordPress
Bagi pengguna WordPress, informasi runtime tersedia pada halaman administrasi. Langkah pertama, masuk ke halaman administrator WordPress. Setelah berhasil masuk, pilih menu Tools, kemudian pilih Kesehatan Situs. Melalui halaman Info, temukan kategori Server untuk mengetahui nomor rilis runtime PHP. Jika hasilnya menunjukkan versi rentan, pemilik situs sebaiknya menyiapkan peningkatan versi. Proses identifikasi awal ini mempermudah prioritas pembaruan website.
Di luar dashboard CMS, versi PHP dapat diperiksa melalui panel hosting. Jika menggunakan cPanel, pengguna dapat memeriksa PHP melalui halaman MultiPHP Manager apabila administrator server menyediakan akses tersebut. Dalam penggunaan VPS atau dedicated server, versi PHP bisa diketahui menggunakan perintah sistem. Instruksi terminal php -v memperlihatkan informasi PHP pada lingkungan CLI. Meskipun perintah tersebut berguna, runtime PHP-FPM tidak selalu identik dengan PHP CLI. Karena itu, administrator perlu mengidentifikasi runtime yang benar-benar melayani website. Dengan begitu, pembaruan tidak hanya dilakukan pada instalasi yang tidak digunakan website.
Risiko Serangan Siber akibat Dua Celah Keamanan PHP
Risiko utama dari kerentanan tersebut adalah kemungkinan eksekusi kode jarak jauh tanpa autentikasi. Pada bidang perlindungan sistem, kelemahan semacam ini memungkinkan eksekusi kode tanpa autentikasi. Jika penyerang mampu memanfaatkan celah, sistem dapat mengalami kompromi. Konsekuensi keamanan yang berpotensi muncul dapat berupa perubahan data website. Untuk aplikasi yang mengelola pelanggan, ancamannya perlu ditangani dengan serius karena aplikasi menangani data pengguna dan transaksi. Meski demikian, server yang belum diperbarui tidak otomatis sudah diretas.
Ancaman keamanan tersebut melampaui satu platform CMS karena beragam sistem web memanfaatkan mesin PHP yang sama. Aplikasi Joomla serta aplikasi PHP buatan sendiri perlu diperiksa jika menggunakan runtime yang belum diperbaiki. Untuk konfigurasi web server, berbagai mode integrasi PHP dengan web server harus dievaluasi sesuai versi yang digunakan. Dalam informasi keamanan resmi, pengembang PHP menekankan tingkat bahaya khusus untuk Apache mod_php karena serangan dapat dipicu sebelum logika website diproses. Untuk mengurangi kemungkinan eksploitasi, patch keamanan harus diprioritaskan.
Langkah Mendesak Mengamankan Website dari Celah PHP
Langkah utama yang direkomendasikan adalah meningkatkan instalasi ke versi keamanan terbaru. Untuk mempersiapkan perubahan server, administrator sebaiknya membuat cadangan website. Cadangan tersebut memberikan pilihan pemulihan saat pembaruan menimbulkan kendala. Setelah persiapan selesai, gunakan paket PHP dari penyedia sistem operasi atau hosting. Untuk pengguna penyedia hosting yang mengatur PHP, hubungi dukungan teknis untuk memastikan patch telah diterapkan. Sesudah patch diterapkan, periksa kembali runtime yang melayani permintaan web. Pengujian fungsi website juga harus menjadi bagian dari prosedur.
Ketika lingkungan produksi membutuhkan waktu untuk diperbarui, organisasi sebaiknya melakukan mitigasi risiko tambahan. Penerapan aturan WAF berpotensi mengurangi sejumlah jalur serangan, tetapi tidak dapat dianggap menutup seluruh kelemahan. Untuk sistem dengan risiko tinggi, isolasi sementara dapat menjadi pilihan sampai patch selesai dipasang dan diverifikasi. Selain itu, administrator dianjurkan memeriksa log server. Evaluasi keamanan tersebut membantu menemukan kemungkinan aktivitas tidak wajar. Meski beberapa mitigasi tersedia, pembaruan PHP tetap menjadi tindakan paling efektif.
Penutup: Pentingnya Memperbarui PHP untuk Mencegah Serangan
Ditemukannya CVE-2026-109618 dan CVE-2026-109619 menunjukkan perlunya pemeliharaan sistem secara berkelanjutan. Kerentanan pada runtime PHP tersebut tergolong kritis dengan penilaian 9,2 dan berpotensi memungkinkan eksekusi kode tanpa autentikasi. Rilis keamanan terbaru untuk cabang PHP yang masih didukung harus diprioritaskan oleh administrator. Selain memasang patch, pembuatan backup serta evaluasi konfigurasi mendukung pengelolaan risiko yang lebih baik. Seiring meningkatnya kompleksitas TEKNOLOGI website, keamanan runtime tidak boleh diabaikan. Apakah website Anda sudah menggunakan PHP versi terbaru? Silakan bagikan pengalaman Anda mengenai pembaruan PHP.
