Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Mengenal Celah Keamanan PHP yang Memerlukan Pembaruan Segera
Komunitas pengembang inti PHP mengumumkan dua kerentanan keamanan dengan tingkat keparahan kritis yang memungkinkan pengambilalihan proses tertentu dalam kondisi yang memenuhi syarat. Dua kelemahan keamanan ini didaftarkan dengan kode CVE-2026-109618 dan CVE-2026-109619. Masing-masing memperoleh nilai keparahan 9,2 dalam sistem CVSS terbaru. Angka tersebut menunjukkan tingkat risiko yang sangat serius. Berbeda dari masalah pada plugin tertentu, kedua celah ditemukan pada komponen inti PHP. Oleh sebab itu, sejumlah layanan berbasis PHP berpotensi terdampak.
Bahasa pemrograman PHP dikenal sebagai komponen penting dalam berbagai layanan internet. Banyak aplikasi berbasis web seperti WordPress, Drupal, dan Joomla mengandalkan PHP untuk menjalankan fungsinya. Dengan banyaknya sistem yang memanfaatkan PHP, masalah keamanan runtime perlu mendapatkan perhatian serius. Bahkan, plugin yang aman tidak otomatis melindungi runtime PHP yang rentan. Penyebab utamanya adalah kerentanan terjadi pada mesin PHP sebelum sebagian logika aplikasi diproses. Dengan mempertimbangkan situasi tersebut, pemeriksaan versi PHP menjadi prioritas utama.
Mengenal CVE-2026-109618 dan CVE-2026-109619
Permasalahan pertama yang diungkap terjadi pada penanganan kondisi out-of-memory. Pada situasi pemrosesan khusus, runtime berpotensi meninggalkan struktur data yang belum sepenuhnya diinisialisasi. Permasalahan memori tersebut dapat menyebabkan kerusakan memori. Ketika penyerang mampu memicu kelemahan tersebut, proses PHP dapat mengalami pengambilalihan dalam kondisi tertentu. Kelemahan pertama ini tidak bergantung pada kesalahan penulisan kode aplikasi biasa. Karena itu, pembaruan aplikasi saja belum memberikan perlindungan menyeluruh.
Untuk CVE-2026-109619, gangguan terjadi pada pengelolaan keadaan global antarpermintaan. Ketika PHP menangani rangkaian permintaan, status dari permintaan sebelumnya berpotensi bertahan. Keadaan ini termasuk permasalahan stale state pada runtime. Jika kelemahan tersebut berhasil dipicu, server dapat menghadapi risiko eksekusi kode jarak jauh. Kedua kerentanan berkaitan dengan kesalahan manajemen memori. Namun perlu diperhatikan, keberhasilan eksploitasi bergantung pada kondisi lingkungan. Penggunaan pembaruan resmi tetap merupakan prioritas untuk mengurangi ancaman.
Versi PHP yang Terdampak dan Pembaruan Keamanan Resmi
Pengelola keamanan PHP telah menyediakan pembaruan pada 21 Oktober 2026 untuk memperbaiki kelemahan pada runtime. Pembaruan yang tersedia meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengelola server berbasis PHP 8.5 sebaiknya memasang rilis 8.5.12 atau versi berikutnya yang telah diperbaiki. Pada seri PHP yang berbeda, instalasi PHP 8.2 membutuhkan pembaruan minimal ke 8.2.35 sesuai lingkungan server yang sedang berjalan. Rilis patch terbaru ditujukan untuk menutup kedua kelemahan. Karena ancamannya serius, pengelola website perlu menjadikan pembaruan sebagai prioritas.
Risiko meningkat bagi website dengan instalasi PHP yang sudah tidak didukung. Versi PHP 8.1 dan sebelumnya sudah berada di luar periode dukungan keamanan utama. Dalam praktik pengelolaan server, administrator perlu mengganti cabang PHP yang sudah usang. Selain itu, PHP 8.2 akan memasuki status end-of-life pada penghujung Desember 2026. Untuk menghindari masalah berikutnya, pembaruan ke cabang PHP yang lebih baru sebaiknya dipersiapkan. Walaupun pembaruan sangat diperlukan, pengujian plugin serta tema menjadi langkah penting agar layanan tidak mengalami gangguan yang tidak diharapkan.
Langkah Mengetahui PHP yang Digunakan Server Hosting
Bagi pengguna WordPress, pemeriksaan versi PHP dapat dilakukan melalui dashboard. Langkah pertama, buka dashboard pengelolaan website. Kemudian, buka bagian Peralatan, kemudian masuk ke Site Health. Pada bagian Info, temukan kategori Server untuk melihat versi PHP yang digunakan. Jika hasilnya menunjukkan versi rentan, pemilik situs sebaiknya menyiapkan peningkatan versi. Proses identifikasi awal ini memberikan gambaran kondisi keamanan server.
Di luar dashboard CMS, informasi runtime biasanya tersedia dalam pengaturan server. Jika menggunakan cPanel, menu MultiPHP Manager dapat digunakan apabila layanan hosting mendukung pengaturan versi PHP. Dalam penggunaan VPS atau dedicated server, administrator dapat memeriksa konfigurasi runtime. Perintah php -v menampilkan versi PHP untuk command-line. Namun perlu diketahui, konfigurasi aplikasi web mungkin menggunakan instalasi PHP yang berbeda. Karena itu, administrator perlu mengidentifikasi runtime yang benar-benar melayani website. Berkat validasi tersebut, server aktif benar-benar mendapatkan perbaikan.
Risiko Serangan Siber akibat Dua Celah Keamanan PHP
Risiko utama dari kerentanan tersebut adalah kemampuan menjalankan kode berbahaya tanpa harus memiliki akun. Dalam istilah keamanan siber, kelemahan semacam ini memungkinkan eksekusi kode tanpa autentikasi. Apabila berhasil dieksploitasi, sistem dapat mengalami kompromi. Akibat yang mungkin terjadi dapat berupa perubahan data website. Pada website bisnis, risiko tersebut menjadi perhatian penting karena server sering menyimpan atau mengakses informasi penting. Namun perlu ditegaskan, server yang belum diperbarui tidak otomatis sudah diretas.
Ancaman keamanan tersebut melampaui satu platform CMS karena masalahnya berada pada runtime PHP. Aplikasi Joomla serta platform web khusus perusahaan memerlukan peninjauan keamanan pada lingkungan server. Selain itu, PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed tidak sebaiknya dianggap aman tanpa pemeriksaan. Tim keamanan PHP menyoroti tingkat bahaya khusus untuk Apache mod_php karena permintaan berbahaya dapat mencapai bagian rentan lebih awal. Untuk mengurangi kemungkinan eksploitasi, administrator perlu menangani masalah pada tingkat server.
Langkah Mendesak Mengamankan Website dari Celah PHP
Prioritas pertama bagi pengelola website adalah menggunakan runtime PHP dengan patch resmi. Untuk mempersiapkan perubahan server, administrator sebaiknya membuat cadangan website. Cadangan tersebut membantu proses pemulihan apabila terjadi gangguan. Setelah persiapan selesai, lakukan pembaruan melalui metode resmi yang didukung server. Jika menggunakan layanan managed hosting, minta konfirmasi mengenai versi PHP aktif. Setelah pembaruan, periksa kembali runtime yang melayani permintaan web. Pengujian fungsi website juga perlu dilakukan secara menyeluruh.
Ketika lingkungan produksi membutuhkan waktu untuk diperbarui, organisasi sebaiknya melakukan mitigasi risiko tambahan. Pemanfaatan firewall aplikasi web mendukung pembatasan trafik berbahaya tertentu, tetapi tidak menjamin perlindungan penuh. Jika aplikasi penting belum dapat diperbaiki, penonaktifan layanan untuk sementara mungkin diperlukan sampai patch selesai dipasang dan diverifikasi. Selain itu, administrator dianjurkan memeriksa log server. Langkah investigasi ini mendukung identifikasi indikasi kompromi. Meski beberapa mitigasi tersedia, penggunaan versi yang telah diperbaiki harus tetap diprioritaskan.
Kesimpulan tentang Dua Celah Kritis PHP dan Keamanan Website
Pengungkapan dua kerentanan kritis PHP menegaskan pentingnya pembaruan perangkat lunak server. Kedua celah tersebut tergolong kritis dengan penilaian 9,2 dan menimbulkan ancaman serius terhadap server yang rentan. Pembaruan PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 harus diprioritaskan oleh administrator. Di samping meningkatkan versi PHP, pembuatan backup serta evaluasi konfigurasi memperkuat proses pemeliharaan website. Dalam perkembangan TEKNOLOGI keamanan siber, keamanan runtime tidak boleh diabaikan. Bagaimana pengalaman Anda melakukan pembaruan keamanan PHP? Mari sampaikan pandangan tentang pentingnya keamanan website.
