Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Mengenal Celah Keamanan PHP yang Memerlukan Pembaruan Segera
Tim pengembang PHP mengungkapkan dua kerentanan keamanan dengan tingkat keparahan kritis yang memungkinkan pengambilalihan proses tertentu dalam kondisi yang memenuhi syarat. Kedua kerentanan tersebut didaftarkan dengan kode CVE-2026-109618 dan CVE-2026-109619. Masing-masing memperoleh penilaian tingkat bahaya 9,2 berdasarkan CVSS 4.0. Skor keamanan tersebut menempatkan keduanya dalam kategori kritis. Tidak seperti kerentanan yang terbatas pada tema website, kelemahan ini berada dalam mesin pemrosesan PHP. Akibatnya, sejumlah layanan berbasis PHP berpotensi terdampak.
PHP merupakan komponen penting dalam berbagai layanan internet. Sejumlah sistem manajemen konten seperti WordPress, Drupal, dan Joomla menggunakan PHP sebagai bagian dari pemrosesan server. Mengingat tingkat adopsinya tinggi, masalah keamanan runtime perlu mendapatkan perhatian serius. Dalam kondisi tertentu, plugin yang aman tidak otomatis melindungi runtime PHP yang rentan. Kondisi tersebut berkaitan dengan masalah muncul dalam komponen yang menjalankan kode aplikasi. Dengan mempertimbangkan situasi tersebut, pengelola server perlu segera melakukan pembaruan.
Penjelasan Teknis Kerentanan Kritis pada Runtime PHP
Permasalahan pertama yang diungkap terjadi pada penanganan kondisi out-of-memory. Ketika permintaan mencapai keadaan tertentu, sistem dapat memperlakukan informasi internal yang tidak lengkap secara keliru. Kesalahan pengelolaan ini dapat menyebabkan kerusakan memori. Jika kondisi eksploitasi terpenuhi, server berpotensi menjalankan instruksi yang tidak sah. Masalah ini terjadi pada lapisan yang lebih mendasar daripada logika website. Dengan demikian, perbaikan tema website tidak menyelesaikan akar masalah.
Untuk CVE-2026-109619, permasalahan berkaitan dengan status internal yang tertinggal. Pada kondisi pemrosesan khusus, data internal yang seharusnya dibersihkan dapat tetap tersimpan. Situasi tersebut termasuk permasalahan stale state pada runtime. Apabila dimanfaatkan penyerang, proses PHP mungkin menjalankan instruksi tidak sah. Sepasang kelemahan PHP ini muncul dari mekanisme pengelolaan keadaan pemrosesan. Namun perlu diperhatikan, tidak setiap server pasti telah diserang. Penggunaan pembaruan resmi tetap harus dilakukan sesegera mungkin.
Daftar PHP yang Harus Segera Diperbarui oleh Administrator
Proyek resmi PHP merilis versi perbaikan pada 21 Oktober 2026 untuk memperbaiki kelemahan pada runtime. Versi yang telah memperoleh perbaikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Administrator yang masih menjalankan cabang PHP 8.5 sebaiknya memasang rilis 8.5.12 atau versi berikutnya yang telah diperbaiki. Sementara itu, versi 8.4 harus diperbarui minimal ke 8.4.27 sesuai cabang versi yang digunakan. Perbaikan keamanan tersebut mengatasi celah eksekusi kode yang ditemukan. Dengan mempertimbangkan potensi serangan, pengelola website perlu menjadikan pembaruan sebagai prioritas.
Permasalahan menjadi lebih penting bagi server yang menggunakan PHP versi lama. Rilis PHP sebelum seri 8.2 tidak lagi menerima perbaikan keamanan resmi dari proyek PHP. Dalam praktik pengelolaan server, pengelola website harus meningkatkan runtime ke versi yang didukung. Sebagai informasi tambahan, PHP 8.2 memiliki batas dukungan keamanan hingga akhir tahun 2026. Untuk menghindari masalah berikutnya, pengelola website dianjurkan mempertimbangkan penggunaan seri PHP dengan masa dukungan lebih panjang. Meski demikian, pengujian plugin serta tema menjadi langkah penting agar proses migrasi berlangsung dengan risiko operasional minimal.
Panduan Mengecek Kerentanan PHP Sebelum Memperbarui Website
Apabila situs menggunakan CMS WordPress, informasi runtime tersedia pada halaman administrasi. Pada tahap awal, buka dashboard pengelolaan website. Kemudian, akses menu pengelolaan Tools, kemudian masuk ke Site Health. Dalam tab Informasi, buka informasi Server untuk mengetahui nomor rilis runtime PHP. Jika hasilnya menunjukkan versi rentan, administrator harus menghubungi penyedia hosting. Proses identifikasi awal ini memberikan gambaran kondisi keamanan server.
Untuk pengguna layanan hosting, pengelola dapat meninjau konfigurasi PHP dari control panel. Jika menggunakan cPanel, menu MultiPHP Manager dapat digunakan apabila layanan hosting mendukung pengaturan versi PHP. Sementara itu, versi PHP bisa diketahui menggunakan perintah sistem. Pemeriksaan menggunakan php -v memperlihatkan informasi PHP pada lingkungan CLI. Meskipun perintah tersebut berguna, runtime PHP-FPM tidak selalu identik dengan PHP CLI. Sebagai langkah validasi, administrator perlu mengidentifikasi runtime yang benar-benar melayani website. Berkat validasi tersebut, risiko salah mengidentifikasi lingkungan PHP dapat dikurangi.
Dampak Kerentanan PHP terhadap WordPress dan Website Bisnis
Ancaman terbesar yang perlu diperhatikan adalah potensi remote code execution oleh penyerang anonim. Pada bidang perlindungan sistem, kondisi ini dikenal sebagai unauthenticated RCE. Apabila berhasil dieksploitasi, sistem dapat mengalami kompromi. Dampaknya dapat berupa perubahan data website. Untuk aplikasi yang mengelola pelanggan, risiko tersebut menjadi perhatian penting karena sistem terhubung dengan layanan bisnis yang bernilai. Walaupun dampak potensial sangat besar, indikasi kompromi tetap memerlukan pemeriksaan tersendiri.
Kerentanan ini tidak hanya relevan untuk WordPress karena komponen yang rentan digunakan berbagai aplikasi. Sistem Laravel serta platform web khusus perusahaan berpotensi terdampak apabila menjalankan versi rentan. Untuk konfigurasi web server, berbagai mode integrasi PHP dengan web server perlu mendapatkan perhatian pembaruan. Tim keamanan PHP menyoroti tingkat bahaya khusus untuk Apache mod_php karena eksploitasi telah didemonstrasikan sebelum kode aplikasi berjalan. Untuk mengurangi kemungkinan eksploitasi, pembaruan runtime menjadi tindakan utama.
Panduan Pembaruan PHP dan Perlindungan Server Website
Tindakan paling penting adalah memasang pembaruan PHP yang sudah memperbaiki kedua celah. Menjelang proses peningkatan versi, tim teknis dianjurkan menyimpan salinan konfigurasi dan aplikasi. Cadangan tersebut berguna ketika kompatibilitas aplikasi bermasalah. Pada tahap implementasi, gunakan paket PHP dari penyedia sistem operasi atau hosting. Apabila website berada pada hosting terkelola, hubungi dukungan teknis untuk memastikan patch telah diterapkan. Setelah pembaruan, periksa kembali runtime yang melayani permintaan web. Validasi aplikasi setelah peningkatan versi juga perlu dilakukan secara menyeluruh.
Jika patch tidak dapat segera dipasang, organisasi sebaiknya melakukan mitigasi risiko tambahan. Penerapan aturan WAF dapat membantu menyaring sebagian permintaan mencurigakan, tetapi tidak dapat dianggap menutup seluruh kelemahan. Untuk sistem dengan risiko tinggi, pembatasan akses jaringan perlu dipertimbangkan sampai patch selesai dipasang dan diverifikasi. Selain itu, pengelola dapat mengevaluasi catatan permintaan dan kesalahan sistem. Evaluasi keamanan tersebut dapat memberikan petunjuk upaya eksploitasi. Meski beberapa mitigasi tersedia, pembaruan PHP tetap menjadi tindakan paling efektif.
Kesimpulan tentang Dua Celah Kritis PHP dan Keamanan Website
Pengungkapan dua kerentanan kritis PHP menegaskan pentingnya pembaruan perangkat lunak server. Permasalahan keamanan ini mendapatkan tingkat keparahan kritis dan dapat membuka peluang pengambilalihan proses dari jarak jauh. Rilis keamanan terbaru untuk cabang PHP yang masih didukung harus diprioritaskan oleh administrator. Di samping meningkatkan versi PHP, pembuatan backup serta evaluasi konfigurasi memperkuat proses pemeliharaan website. Seiring meningkatnya kompleksitas TEKNOLOGI website, keamanan runtime tidak boleh diabaikan. Bagaimana pengalaman Anda melakukan pembaruan keamanan PHP? Mari sampaikan pandangan tentang pentingnya keamanan website.
