Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Mengenal Celah Keamanan PHP yang Memerlukan Pembaruan Segera
Pengelola proyek bahasa pemrograman PHP merilis informasi mengenai dua kelemahan serius pada komponen inti PHP yang dapat membuka peluang eksekusi perintah berbahaya pada server. Kedua kerentanan tersebut diidentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619. Masing-masing memperoleh nilai keparahan 9,2 dalam sistem CVSS terbaru. Angka tersebut menempatkan keduanya dalam kategori kritis. Tidak seperti kerentanan yang terbatas pada tema website, kelemahan ini berada dalam mesin pemrosesan PHP. Akibatnya, berbagai website dapat menghadapi risiko.
PHP merupakan bahasa pemrograman populer untuk aplikasi web. Sejumlah sistem manajemen konten seperti WordPress, Drupal, dan Joomla memanfaatkan bahasa tersebut untuk menghasilkan halaman dinamis. Karena penggunaannya luas, kerentanan pada komponen inti memiliki dampak yang luas. Bahkan, plugin yang aman tidak otomatis melindungi runtime PHP yang rentan. Penyebab utamanya adalah masalah muncul dalam komponen yang menjalankan kode aplikasi. Untuk mengurangi kemungkinan serangan, administrator website harus memastikan runtime memperoleh perbaikan keamanan.
Mengenal CVE-2026-109618 dan CVE-2026-109619
Permasalahan pertama yang diungkap melibatkan kesalahan pemrosesan saat batas memori tercapai. Dalam kondisi tertentu, PHP dapat mengalami gangguan saat mengelola data internal. Permasalahan memori tersebut dapat menyebabkan kerusakan memori. Ketika penyerang mampu memicu kelemahan tersebut, proses PHP dapat mengalami pengambilalihan dalam kondisi tertentu. Kerentanan tersebut terjadi pada lapisan yang lebih mendasar daripada logika website. Berdasarkan karakteristik tersebut, perbaikan tema website tidak menyelesaikan akar masalah.
Pada kerentanan kedua, kelemahan muncul akibat penggunaan kembali informasi memori yang sudah tidak valid. Dalam proses tertentu, status dari permintaan sebelumnya berpotensi bertahan. Situasi tersebut berhubungan dengan penggunaan memori setelah dibebaskan. Dalam skenario eksploitasi yang memungkinkan, proses PHP mungkin menjalankan instruksi tidak sah. Sepasang kelemahan PHP ini muncul dari mekanisme pengelolaan keadaan pemrosesan. Meskipun demikian, tidak setiap server pasti telah diserang. Penggunaan pembaruan resmi tetap menjadi langkah perlindungan paling penting.
Rilis Patch PHP untuk Menutup Dua Kerentanan Kritis
Proyek resmi PHP merilis versi perbaikan pada 21 Oktober 2026 untuk memperbaiki kelemahan pada runtime. Pembaruan yang tersedia meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Administrator yang masih menjalankan cabang PHP 8.5 harus memastikan sistem tidak lagi menggunakan 8.5.11 atau rilis rentan sebelumnya. Untuk cabang lainnya, instalasi PHP 8.2 membutuhkan pembaruan minimal ke 8.2.35 sesuai cabang versi yang digunakan. Rilis patch terbaru mengatasi celah eksekusi kode yang ditemukan. Karena ancamannya serius, pemasangan patch tidak sebaiknya ditunda.
Permasalahan menjadi lebih penting bagi aplikasi berbasis cabang PHP usang. Cabang PHP 8.1 beserta versi yang lebih tua tidak memperoleh patch baru melalui siklus rilis resmi PHP. Artinya, pengguna versi tersebut perlu merencanakan migrasi. Selain itu, PHP 8.2 akan memasuki status end-of-life pada penghujung Desember 2026. Dengan mempertimbangkan jadwal tersebut, pembaruan ke cabang PHP yang lebih baru sebaiknya dipersiapkan. Meski demikian, pengujian plugin serta tema menjadi langkah penting agar proses migrasi berlangsung dengan risiko operasional minimal.
Langkah Mengetahui PHP yang Digunakan Server Hosting
Apabila situs menggunakan CMS WordPress, pemeriksaan versi PHP dapat dilakukan melalui dashboard. Pada tahap awal, akses panel administrasi situs. Selanjutnya, pilih menu Tools, kemudian masuk ke Site Health. Melalui halaman Info, buka informasi Server untuk melihat versi PHP yang digunakan. Apabila instalasi belum menggunakan rilis yang diperbaiki, pemilik situs sebaiknya menyiapkan peningkatan versi. Proses identifikasi awal ini mempermudah prioritas pembaruan website.
Untuk pengguna layanan hosting, versi PHP dapat diperiksa melalui panel hosting. Dalam lingkungan hosting berbasis cPanel, menu MultiPHP Manager dapat digunakan apabila administrator server menyediakan akses tersebut. Untuk server yang dikelola sendiri, administrator dapat memeriksa konfigurasi runtime. Perintah php -v memberikan detail instalasi PHP yang dipanggil terminal. Walaupun informasi CLI dapat diperoleh, konfigurasi aplikasi web mungkin menggunakan instalasi PHP yang berbeda. Sebagai langkah validasi, informasi PHP-FPM atau modul web server harus diverifikasi. Berkat validasi tersebut, pembaruan tidak hanya dilakukan pada instalasi yang tidak digunakan website.
Dampak Kerentanan PHP terhadap WordPress dan Website Bisnis
Risiko utama dari kerentanan tersebut adalah kemampuan menjalankan kode berbahaya tanpa harus memiliki akun. Pada bidang perlindungan sistem, kelemahan semacam ini memungkinkan eksekusi kode tanpa autentikasi. Apabila berhasil dieksploitasi, server berpotensi kehilangan integritas. Dampaknya meliputi gangguan layanan serta penyalahgunaan sumber daya. Untuk aplikasi yang mengelola pelanggan, risiko tersebut menjadi perhatian penting karena aplikasi menangani data pengguna dan transaksi. Namun perlu ditegaskan, server yang belum diperbarui tidak otomatis sudah diretas.
Ancaman keamanan tersebut melampaui satu platform CMS karena beragam sistem web memanfaatkan mesin PHP yang sama. Website Drupal serta platform web khusus perusahaan memerlukan peninjauan keamanan pada lingkungan server. Untuk konfigurasi web server, sejumlah konfigurasi pemrosesan PHP yang berbeda perlu mendapatkan perhatian pembaruan. Tim keamanan PHP menyoroti perhatian utama terhadap lingkungan mod_php karena serangan dapat dipicu sebelum logika website diproses. Karena itu, pembaruan runtime menjadi tindakan utama.
Strategi Mitigasi Risiko setelah Pengungkapan Kerentanan PHP
Prioritas pertama bagi pengelola website adalah menggunakan runtime PHP dengan patch resmi. Sebelum melakukan pembaruan, administrator sebaiknya membuat cadangan website. Salinan data tersebut membantu proses pemulihan apabila terjadi gangguan. Pada tahap implementasi, gunakan paket PHP dari penyedia sistem operasi atau hosting. Apabila website berada pada hosting terkelola, hubungi dukungan teknis untuk memastikan patch telah diterapkan. Ketika instalasi selesai, pastikan layanan PHP yang aktif menggunakan versi baru. Validasi aplikasi setelah peningkatan versi juga perlu dilakukan secara menyeluruh.
Ketika lingkungan produksi membutuhkan waktu untuk diperbarui, administrator perlu menerapkan tindakan pembatasan sementara. Penerapan aturan WAF berpotensi mengurangi sejumlah jalur serangan, tetapi tidak dapat dianggap menutup seluruh kelemahan. Untuk sistem dengan risiko tinggi, pembatasan akses jaringan perlu dipertimbangkan sampai server berhasil menggunakan versi aman. Untuk meningkatkan pengawasan, pengelola dapat mengevaluasi catatan permintaan dan kesalahan sistem. Evaluasi keamanan tersebut membantu menemukan kemungkinan aktivitas tidak wajar. Namun demikian, penggunaan versi yang telah diperbaiki harus tetap diprioritaskan.
Rangkuman Ancaman PHP dan Langkah Perlindungan Website
Ditemukannya CVE-2026-109618 dan CVE-2026-109619 menegaskan pentingnya pembaruan perangkat lunak server. Kedua celah tersebut mendapatkan tingkat keparahan kritis dan dapat membuka peluang pengambilalihan proses dari jarak jauh. Rilis keamanan terbaru untuk cabang PHP yang masih didukung harus diprioritaskan oleh administrator. Di samping meningkatkan versi PHP, pembuatan backup serta evaluasi konfigurasi membantu menjaga keamanan operasional. Di tengah kebutuhan perlindungan TEKNOLOGI digital, pembaruan rutin menjadi bagian penting dari tanggung jawab pengelola. Bagaimana pengalaman Anda melakukan pembaruan keamanan PHP? Silakan bagikan pengalaman Anda mengenai pembaruan PHP.
