Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Mengenal Celah Keamanan PHP yang Memerlukan Pembaruan Segera
Tim pengembang PHP merilis informasi mengenai dua kelemahan serius pada komponen inti PHP yang dapat membuka peluang eksekusi perintah berbahaya pada server. Permasalahan yang ditemukan tersebut diidentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619. Setiap kerentanan mendapatkan nilai keparahan 9,2 dalam sistem CVSS terbaru. Tingkat penilaian ini menempatkan keduanya dalam kategori kritis. Berbeda dari masalah pada plugin tertentu, permasalahan tersebut berkaitan dengan runtime PHP. Dengan kondisi tersebut, berbagai website dapat menghadapi risiko.
Dalam pengembangan website, PHP menjadi komponen penting dalam berbagai layanan internet. Berbagai platform seperti WordPress, Drupal, dan Joomla mengandalkan PHP untuk menjalankan fungsinya. Dengan banyaknya sistem yang memanfaatkan PHP, kerentanan pada komponen inti memiliki dampak yang luas. Bahkan, pembaruan CMS saja belum tentu menghilangkan ancaman. Kondisi tersebut berkaitan dengan kerentanan terjadi pada mesin PHP sebelum sebagian logika aplikasi diproses. Oleh karena itu, pengelola server perlu segera melakukan pembaruan.
Bagaimana Dua Celah PHP Dapat Membahayakan Server?
Celah keamanan dengan kode CVE-2026-109618 terjadi pada penanganan kondisi out-of-memory. Dalam kondisi tertentu, sistem dapat memperlakukan informasi internal yang tidak lengkap secara keliru. Kesalahan pengelolaan ini dapat menyebabkan kerusakan memori. Jika kondisi eksploitasi terpenuhi, dampaknya dapat mencakup eksekusi kode berbahaya. Kerentanan tersebut terjadi pada lapisan yang lebih mendasar daripada logika website. Dengan demikian, pengelola tidak cukup hanya memperbarui plugin.
Sementara itu, kelemahan muncul akibat penggunaan kembali informasi memori yang sudah tidak valid. Dalam proses tertentu, informasi lama dapat digunakan kembali secara tidak semestinya. Kesalahan pengelolaan tersebut dapat melibatkan referensi terhadap data yang sudah tidak berlaku. Apabila dimanfaatkan penyerang, server dapat menghadapi risiko eksekusi kode jarak jauh. Kedua kerentanan muncul dari mekanisme pengelolaan keadaan pemrosesan. Namun perlu diperhatikan, keberhasilan eksploitasi bergantung pada kondisi lingkungan. Pemasangan versi PHP yang telah diperbaiki tetap merupakan prioritas untuk mengurangi ancaman.
Versi PHP yang Terdampak dan Pembaruan Keamanan Resmi
Tim pengembang PHP merilis versi perbaikan pada 21 Oktober 2026 untuk memperbaiki kelemahan pada runtime. Pembaruan yang tersedia meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengelola server berbasis PHP 8.5 perlu memperbarui instalasi minimal ke 8.5.12. Sementara itu, instalasi PHP 8.2 membutuhkan pembaruan minimal ke 8.2.35 sesuai cabang versi yang digunakan. Perbaikan keamanan tersebut ditujukan untuk menutup kedua kelemahan. Mengingat tingkat keparahannya tinggi, administrator dianjurkan segera melakukan peningkatan versi.
Permasalahan menjadi lebih penting bagi website dengan instalasi PHP yang sudah tidak didukung. Cabang PHP 8.1 beserta versi yang lebih tua tidak lagi menerima perbaikan keamanan resmi dari proyek PHP. Artinya, administrator perlu mengganti cabang PHP yang sudah usang. Selain itu, PHP 8.2 memiliki batas dukungan keamanan hingga akhir tahun 2026. Untuk menghindari masalah berikutnya, pengelola website dianjurkan mempertimbangkan penggunaan seri PHP dengan masa dukungan lebih panjang. Walaupun pembaruan sangat diperlukan, perubahan versi perlu disertai evaluasi perangkat lunak agar layanan tidak mengalami gangguan yang tidak diharapkan.
Langkah Mengetahui PHP yang Digunakan Server Hosting
Untuk pengelola website berbasis WordPress, versi PHP bisa diketahui melalui fitur bawaan WordPress. Langkah pertama, buka dashboard pengelolaan website. Kemudian, akses menu pengelolaan Tools, kemudian masuk ke Site Health. Melalui halaman Info, periksa detail lingkungan server untuk memeriksa informasi konfigurasi PHP. Jika hasilnya menunjukkan versi rentan, pemilik situs sebaiknya menyiapkan peningkatan versi. Pemeriksaan ini memberikan gambaran kondisi keamanan server.
Untuk pengguna layanan hosting, versi PHP dapat diperiksa melalui panel hosting. Dalam lingkungan hosting berbasis cPanel, fitur pengelolaan versi PHP tersedia melalui MultiPHP Manager apabila penyedia hosting mengaktifkan fitur tersebut. Untuk server yang dikelola sendiri, versi PHP bisa diketahui menggunakan perintah sistem. Perintah php -v memberikan detail instalasi PHP yang dipanggil terminal. Namun perlu diketahui, versi PHP untuk website bisa berbeda dari versi terminal. Karena itu, informasi PHP-FPM atau modul web server harus diverifikasi. Melalui pemeriksaan menyeluruh, pembaruan tidak hanya dilakukan pada instalasi yang tidak digunakan website.
Risiko Serangan Siber akibat Dua Celah Keamanan PHP
Risiko utama dari kerentanan tersebut adalah potensi remote code execution oleh penyerang anonim. Dalam pengelolaan keamanan server, serangan tersebut termasuk kategori remote code execution tanpa login. Jika penyerang mampu memanfaatkan celah, sistem dapat mengalami kompromi. Dampaknya dapat berupa perubahan data website. Dalam lingkungan perdagangan elektronik, risiko tersebut menjadi perhatian penting karena sistem terhubung dengan layanan bisnis yang bernilai. Namun perlu ditegaskan, indikasi kompromi tetap memerlukan pemeriksaan tersendiri.
Dua kelemahan PHP ini memiliki cakupan lebih luas daripada WordPress karena masalahnya berada pada runtime PHP. Sistem Laravel serta platform web khusus perusahaan perlu diperiksa jika menggunakan runtime yang belum diperbaiki. Untuk konfigurasi web server, berbagai mode integrasi PHP dengan web server tidak sebaiknya dianggap aman tanpa pemeriksaan. Tim keamanan PHP menyoroti tingkat bahaya khusus untuk Apache mod_php karena serangan dapat dipicu sebelum logika website diproses. Untuk mengurangi kemungkinan eksploitasi, pembaruan runtime menjadi tindakan utama.
Langkah Mendesak Mengamankan Website dari Celah PHP
Prioritas pertama bagi pengelola website adalah meningkatkan instalasi ke versi keamanan terbaru. Sebelum melakukan pembaruan, tim teknis dianjurkan menyimpan salinan konfigurasi dan aplikasi. File backup yang tersedia membantu proses pemulihan apabila terjadi gangguan. Pada tahap implementasi, gunakan paket PHP dari penyedia sistem operasi atau hosting. Untuk pengguna penyedia hosting yang mengatur PHP, minta konfirmasi mengenai versi PHP aktif. Setelah pembaruan, pastikan layanan PHP yang aktif menggunakan versi baru. Pengujian fungsi website juga penting untuk memastikan layanan tetap berjalan.
Apabila pembaruan belum memungkinkan, pengelola server harus mempertimbangkan perlindungan darurat. Penerapan aturan WAF dapat membantu menyaring sebagian permintaan mencurigakan, tetapi tidak dapat dianggap menutup seluruh kelemahan. Untuk sistem dengan risiko tinggi, pembatasan akses jaringan perlu dipertimbangkan sampai patch selesai dipasang dan diverifikasi. Selain itu, administrator dianjurkan memeriksa log server. Pemeriksaan tersebut dapat memberikan petunjuk upaya eksploitasi. Meski beberapa mitigasi tersedia, penggunaan versi yang telah diperbaiki harus tetap diprioritaskan.
Rangkuman Ancaman PHP dan Langkah Perlindungan Website
Ditemukannya CVE-2026-109618 dan CVE-2026-109619 menjadi pengingat penting bagi pengelola website. Kedua celah tersebut tergolong kritis dengan penilaian 9,2 dan dapat membuka peluang pengambilalihan proses dari jarak jauh. Rilis keamanan terbaru untuk cabang PHP yang masih didukung menjadi langkah utama untuk menutup kelemahan tersebut. Sebagai bagian dari perlindungan menyeluruh, pembuatan backup serta evaluasi konfigurasi membantu menjaga keamanan operasional. Dalam perkembangan TEKNOLOGI keamanan siber, keamanan runtime tidak boleh diabaikan. Apakah website Anda sudah menggunakan PHP versi terbaru? Mari sampaikan pandangan tentang pentingnya keamanan website.
