Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Mengenal Celah Keamanan PHP yang Memerlukan Pembaruan Segera
Komunitas pengembang inti PHP mengungkapkan dua kelemahan serius pada komponen inti PHP yang memungkinkan pengambilalihan proses tertentu dalam kondisi yang memenuhi syarat. Kedua kerentanan tersebut didaftarkan dengan kode CVE-2026-109618 dan CVE-2026-109619. Keduanya memiliki skor CVSS versi 4.0 sebesar 9,2. Skor keamanan tersebut menunjukkan tingkat risiko yang sangat serius. Tidak seperti kerentanan yang terbatas pada tema website, permasalahan tersebut berkaitan dengan runtime PHP. Dengan kondisi tersebut, banyak sistem yang menggunakan PHP perlu diperiksa.
PHP merupakan komponen penting dalam berbagai layanan internet. Berbagai platform seperti WordPress, Drupal, dan Joomla menggunakan PHP sebagai bagian dari pemrosesan server. Dengan banyaknya sistem yang memanfaatkan PHP, kerentanan pada komponen inti memiliki dampak yang luas. Selain itu, pembaruan CMS saja belum tentu menghilangkan ancaman. Hal ini terjadi karena kelemahan berada pada lapisan pemrosesan PHP. Dengan mempertimbangkan situasi tersebut, pemeriksaan versi PHP menjadi prioritas utama.
Penjelasan Teknis Kerentanan Kritis pada Runtime PHP
Kerentanan pertama melibatkan kesalahan pemrosesan saat batas memori tercapai. Pada situasi pemrosesan khusus, sistem dapat memperlakukan informasi internal yang tidak lengkap secara keliru. Permasalahan memori tersebut dapat menyebabkan kerusakan memori. Ketika penyerang mampu memicu kelemahan tersebut, server berpotensi menjalankan instruksi yang tidak sah. Kelemahan pertama ini berasal dari pemrosesan internal PHP. Karena itu, pengelola tidak cukup hanya memperbarui plugin.
Untuk CVE-2026-109619, gangguan terjadi pada pengelolaan keadaan global antarpermintaan. Pada kondisi pemrosesan khusus, status dari permintaan sebelumnya berpotensi bertahan. Situasi tersebut dapat melibatkan referensi terhadap data yang sudah tidak berlaku. Apabila dimanfaatkan penyerang, server dapat menghadapi risiko eksekusi kode jarak jauh. Dua masalah keamanan tersebut melibatkan penanganan data internal yang tidak aman. Namun perlu diperhatikan, keberhasilan eksploitasi bergantung pada kondisi lingkungan. Pemasangan versi PHP yang telah diperbaiki tetap harus dilakukan sesegera mungkin.
Rilis Patch PHP untuk Menutup Dua Kerentanan Kritis
Proyek resmi PHP menghadirkan patch keamanan pada 21 Oktober 2026 untuk mengatasi masalah manajemen memori tersebut. Rilis keamanan yang direkomendasikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengelola server berbasis PHP 8.5 harus memastikan sistem tidak lagi menggunakan 8.5.11 atau rilis rentan sebelumnya. Pada seri PHP yang berbeda, versi 8.4 harus diperbarui minimal ke 8.4.27 sesuai lingkungan server yang sedang berjalan. Pembaruan ini mengurangi risiko eksploitasi pada komponen inti PHP. Mengingat tingkat keparahannya tinggi, pemasangan patch tidak sebaiknya ditunda.
Permasalahan menjadi lebih penting bagi aplikasi berbasis cabang PHP usang. Cabang PHP 8.1 beserta versi yang lebih tua sudah berada di luar periode dukungan keamanan utama. Dengan kata lain, pengelola website harus meningkatkan runtime ke versi yang didukung. Selain itu, PHP 8.2 akan memasuki status end-of-life pada penghujung Desember 2026. Dengan mempertimbangkan jadwal tersebut, pengelola website dianjurkan mempertimbangkan penggunaan seri PHP dengan masa dukungan lebih panjang. Namun dalam pelaksanaannya, perubahan versi perlu disertai evaluasi perangkat lunak agar layanan tidak mengalami gangguan yang tidak diharapkan.
Langkah Mengetahui PHP yang Digunakan Server Hosting
Untuk pengelola website berbasis WordPress, versi PHP bisa diketahui melalui fitur bawaan WordPress. Langkah pertama, akses panel administrasi situs. Kemudian, akses menu pengelolaan Tools, kemudian masuk ke Site Health. Dalam tab Informasi, buka informasi Server untuk melihat versi PHP yang digunakan. Jika hasilnya menunjukkan versi rentan, pemilik situs sebaiknya menyiapkan peningkatan versi. Proses identifikasi awal ini membantu menentukan tindakan yang diperlukan.
Untuk pengguna layanan hosting, pengelola dapat meninjau konfigurasi PHP dari control panel. Pada layanan cPanel, fitur pengelolaan versi PHP tersedia melalui MultiPHP Manager apabila penyedia hosting mengaktifkan fitur tersebut. Sementara itu, versi PHP bisa diketahui menggunakan perintah sistem. Pemeriksaan menggunakan php -v memberikan detail instalasi PHP yang dipanggil terminal. Meskipun perintah tersebut berguna, konfigurasi aplikasi web mungkin menggunakan instalasi PHP yang berbeda. Karena itu, pastikan versi PHP pada web server juga diperiksa. Melalui pemeriksaan menyeluruh, pembaruan tidak hanya dilakukan pada instalasi yang tidak digunakan website.
Dampak Kerentanan PHP terhadap WordPress dan Website Bisnis
Risiko utama dari kerentanan tersebut adalah potensi remote code execution oleh penyerang anonim. Dalam istilah keamanan siber, serangan tersebut termasuk kategori remote code execution tanpa login. Jika penyerang mampu memanfaatkan celah, proses yang rentan dapat dikuasai. Akibat yang mungkin terjadi meliputi gangguan layanan serta penyalahgunaan sumber daya. Dalam lingkungan perdagangan elektronik, risiko tersebut menjadi perhatian penting karena aplikasi menangani data pengguna dan transaksi. Meski demikian, indikasi kompromi tetap memerlukan pemeriksaan tersendiri.
Kerentanan ini tidak hanya relevan untuk WordPress karena masalahnya berada pada runtime PHP. Website Drupal serta platform web khusus perusahaan berpotensi terdampak apabila menjalankan versi rentan. Untuk konfigurasi web server, berbagai mode integrasi PHP dengan web server harus dievaluasi sesuai versi yang digunakan. Peringatan pengembang menyebutkan tingkat bahaya khusus untuk Apache mod_php karena serangan dapat dipicu sebelum logika website diproses. Dengan kondisi tersebut, pembaruan runtime menjadi tindakan utama.
Panduan Pembaruan PHP dan Perlindungan Server Website
Tindakan paling penting adalah meningkatkan instalasi ke versi keamanan terbaru. Sebelum melakukan pembaruan, tim teknis dianjurkan menyimpan salinan konfigurasi dan aplikasi. Salinan data tersebut berguna ketika kompatibilitas aplikasi bermasalah. Pada tahap implementasi, lakukan pembaruan melalui metode resmi yang didukung server. Apabila website berada pada hosting terkelola, periksa pemberitahuan keamanan dari perusahaan hosting. Sesudah patch diterapkan, validasi bahwa proses server telah menjalankan PHP yang diperbaiki. Validasi aplikasi setelah peningkatan versi juga perlu dilakukan secara menyeluruh.
Apabila pembaruan belum memungkinkan, administrator perlu menerapkan tindakan pembatasan sementara. Penggunaan web application firewall dapat membantu menyaring sebagian permintaan mencurigakan, tetapi tidak dapat dianggap menutup seluruh kelemahan. Pada server yang terbuka langsung ke internet, penonaktifan layanan untuk sementara mungkin diperlukan sampai server berhasil menggunakan versi aman. Selain itu, tim keamanan perlu meninjau aktivitas mencurigakan. Evaluasi keamanan tersebut membantu menemukan kemungkinan aktivitas tidak wajar. Meski beberapa mitigasi tersedia, patch resmi merupakan solusi utama.
Penutup: Pentingnya Memperbarui PHP untuk Mencegah Serangan
Pengungkapan dua kerentanan kritis PHP menunjukkan perlunya pemeliharaan sistem secara berkelanjutan. Kedua celah tersebut mendapatkan tingkat keparahan kritis dan berpotensi memungkinkan eksekusi kode tanpa autentikasi. Pembaruan PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 perlu segera diterapkan. Selain memasang patch, pemeriksaan log dan validasi server membantu menjaga keamanan operasional. Seiring meningkatnya kompleksitas TEKNOLOGI website, pembaruan rutin menjadi bagian penting dari tanggung jawab pengelola. Menurut Anda, apa tantangan terbesar dalam menjaga keamanan server website? Mari sampaikan pandangan tentang pentingnya keamanan website.
