Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Mengenal Celah Keamanan PHP yang Memerlukan Pembaruan Segera
Komunitas pengembang inti PHP mengumumkan dua kerentanan keamanan dengan tingkat keparahan kritis yang memungkinkan pengambilalihan proses tertentu dalam kondisi yang memenuhi syarat. Kedua kerentanan tersebut tercatat menggunakan identitas CVE-2026-109618 dan CVE-2026-109619. Masing-masing memperoleh skor CVSS versi 4.0 sebesar 9,2. Angka tersebut menempatkan keduanya dalam kategori kritis. Berbeda dari masalah pada plugin tertentu, permasalahan tersebut berkaitan dengan runtime PHP. Akibatnya, sejumlah layanan berbasis PHP berpotensi terdampak.
Dalam pengembangan website, PHP menjadi salah satu teknologi server yang banyak digunakan. Berbagai platform seperti WordPress, Drupal, dan Joomla mengandalkan PHP untuk menjalankan fungsinya. Mengingat tingkat adopsinya tinggi, kerentanan pada komponen inti memiliki dampak yang luas. Dalam kondisi tertentu, plugin yang aman tidak otomatis melindungi runtime PHP yang rentan. Penyebab utamanya adalah kelemahan berada pada lapisan pemrosesan PHP. Untuk mengurangi kemungkinan serangan, pemeriksaan versi PHP menjadi prioritas utama.
Bagaimana Dua Celah PHP Dapat Membahayakan Server?
Kerentanan pertama terjadi pada penanganan kondisi out-of-memory. Dalam kondisi tertentu, sistem dapat memperlakukan informasi internal yang tidak lengkap secara keliru. Permasalahan memori tersebut berpotensi mengganggu integritas proses. Ketika penyerang mampu memicu kelemahan tersebut, proses PHP dapat mengalami pengambilalihan dalam kondisi tertentu. Kelemahan pertama ini terjadi pada lapisan yang lebih mendasar daripada logika website. Dengan demikian, perbaikan tema website tidak menyelesaikan akar masalah.
Pada kerentanan kedua, permasalahan berkaitan dengan status internal yang tertinggal. Ketika PHP menangani rangkaian permintaan, informasi lama dapat digunakan kembali secara tidak semestinya. Situasi tersebut dapat melibatkan referensi terhadap data yang sudah tidak berlaku. Jika kelemahan tersebut berhasil dipicu, informasi sensitif dari memori berpotensi terekspos. Dua masalah keamanan tersebut muncul dari mekanisme pengelolaan keadaan pemrosesan. Meskipun demikian, tingkat risiko nyata dapat dipengaruhi konfigurasi serta jalur serangan yang tersedia. Penerapan patch keamanan terbaru tetap menjadi langkah perlindungan paling penting.
Versi PHP yang Terdampak dan Pembaruan Keamanan Resmi
Proyek resmi PHP telah menyediakan pembaruan pada 21 Oktober 2026 untuk menutup kedua kerentanan kritis. Rilis keamanan yang direkomendasikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengelola server berbasis PHP 8.5 harus memastikan sistem tidak lagi menggunakan 8.5.11 atau rilis rentan sebelumnya. Sementara itu, instalasi PHP 8.2 membutuhkan pembaruan minimal ke 8.2.35 sesuai lingkungan server yang sedang berjalan. Rilis patch terbaru mengurangi risiko eksploitasi pada komponen inti PHP. Mengingat tingkat keparahannya tinggi, administrator dianjurkan segera melakukan peningkatan versi.
Perhatian tambahan diperlukan bagi aplikasi berbasis cabang PHP usang. Versi PHP 8.1 dan sebelumnya sudah berada di luar periode dukungan keamanan utama. Dengan kata lain, pengguna versi tersebut perlu merencanakan migrasi. Sebagai informasi tambahan, PHP 8.2 memiliki batas dukungan keamanan hingga akhir tahun 2026. Untuk menghindari masalah berikutnya, pembaruan ke cabang PHP yang lebih baru sebaiknya dipersiapkan. Walaupun pembaruan sangat diperlukan, pengujian plugin serta tema menjadi langkah penting agar layanan tidak mengalami gangguan yang tidak diharapkan.
Panduan Mengecek Kerentanan PHP Sebelum Memperbarui Website
Bagi pengguna WordPress, informasi runtime tersedia pada halaman administrasi. Pada tahap awal, akses panel administrasi situs. Setelah berhasil masuk, pilih menu Tools, kemudian pilih Kesehatan Situs. Pada bagian Info, temukan kategori Server untuk memeriksa informasi konfigurasi PHP. Apabila instalasi belum menggunakan rilis yang diperbaiki, pemilik situs sebaiknya menyiapkan peningkatan versi. Langkah sederhana tersebut memberikan gambaran kondisi keamanan server.
Untuk pengguna layanan hosting, informasi runtime biasanya tersedia dalam pengaturan server. Jika menggunakan cPanel, menu MultiPHP Manager dapat digunakan apabila layanan hosting mendukung pengaturan versi PHP. Sementara itu, administrator dapat memeriksa konfigurasi runtime. Perintah php -v memperlihatkan informasi PHP pada lingkungan CLI. Namun perlu diketahui, versi PHP untuk website bisa berbeda dari versi terminal. Untuk pemeriksaan yang tepat, informasi PHP-FPM atau modul web server harus diverifikasi. Melalui pemeriksaan menyeluruh, server aktif benar-benar mendapatkan perbaikan.
Ancaman Remote Code Execution bagi Server yang Belum Diperbarui
Dampak paling serius adalah kemampuan menjalankan kode berbahaya tanpa harus memiliki akun. Dalam pengelolaan keamanan server, serangan tersebut termasuk kategori remote code execution tanpa login. Ketika serangan memenuhi kondisi eksploitasi, proses yang rentan dapat dikuasai. Konsekuensi keamanan yang berpotensi muncul dapat berupa perubahan data website. Pada website bisnis, dampaknya dapat memengaruhi operasional karena server sering menyimpan atau mengakses informasi penting. Walaupun dampak potensial sangat besar, keberadaan versi rentan bukan bukti bahwa serangan telah terjadi.
Ancaman keamanan tersebut melampaui satu platform CMS karena komponen yang rentan digunakan berbagai aplikasi. Aplikasi Joomla serta platform web khusus perusahaan berpotensi terdampak apabila menjalankan versi rentan. Dalam penggunaan infrastruktur hosting, berbagai mode integrasi PHP dengan web server perlu mendapatkan perhatian pembaruan. Peringatan pengembang menyebutkan perhatian utama terhadap lingkungan mod_php karena eksploitasi telah didemonstrasikan sebelum kode aplikasi berjalan. Untuk mengurangi kemungkinan eksploitasi, patch keamanan harus diprioritaskan.
Panduan Pembaruan PHP dan Perlindungan Server Website
Langkah utama yang direkomendasikan adalah menggunakan runtime PHP dengan patch resmi. Sebelum melakukan pembaruan, pengelola perlu menyiapkan backup data. Cadangan tersebut memberikan pilihan pemulihan saat pembaruan menimbulkan kendala. Pada tahap implementasi, gunakan paket PHP dari penyedia sistem operasi atau hosting. Apabila website berada pada hosting terkelola, periksa pemberitahuan keamanan dari perusahaan hosting. Sesudah patch diterapkan, validasi bahwa proses server telah menjalankan PHP yang diperbaiki. Pemeriksaan halaman dan fitur penting juga penting untuk memastikan layanan tetap berjalan.
Apabila pembaruan belum memungkinkan, administrator perlu menerapkan tindakan pembatasan sementara. Penerapan aturan WAF mendukung pembatasan trafik berbahaya tertentu, tetapi bukan pengganti pembaruan PHP. Pada server yang terbuka langsung ke internet, isolasi sementara dapat menjadi pilihan sampai patch selesai dipasang dan diverifikasi. Selain itu, tim keamanan perlu meninjau aktivitas mencurigakan. Pemeriksaan tersebut dapat memberikan petunjuk upaya eksploitasi. Namun demikian, penggunaan versi yang telah diperbaiki harus tetap diprioritaskan.
Penutup: Pentingnya Memperbarui PHP untuk Mencegah Serangan
Peringatan keamanan mengenai dua kelemahan PHP menunjukkan perlunya pemeliharaan sistem secara berkelanjutan. Kedua celah tersebut memiliki skor CVSS 9,2 dan dapat membuka peluang pengambilalihan proses dari jarak jauh. Rilis keamanan terbaru untuk cabang PHP yang masih didukung menjadi langkah utama untuk menutup kelemahan tersebut. Selain memasang patch, pemeriksaan log dan validasi server memperkuat proses pemeliharaan website. Seiring meningkatnya kompleksitas TEKNOLOGI website, keamanan runtime tidak boleh diabaikan. Menurut Anda, apa tantangan terbesar dalam menjaga keamanan server website? Bagikan pendapat Anda mengenai langkah perlindungan server yang efektif.
