Dua Celah Kritis PHP Terungkap, Pembaruan Keamanan Mendesak bagi Pengelola Website
Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Dua Kerentanan Kritis PHP Menjadi Ancaman bagi Keamanan Website
Pengelola proyek bahasa pemrograman PHP mengungkapkan sepasang celah berbahaya dalam sistem PHP yang memungkinkan pengambilalihan proses tertentu dalam kondisi yang memenuhi syarat. Kedua kerentanan tersebut diidentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619. Keduanya memiliki skor CVSS versi 4.0 sebesar 9,2. Angka tersebut menggambarkan potensi dampak keamanan yang tinggi. Tidak seperti kerentanan yang terbatas pada tema website, kedua celah ditemukan pada komponen inti PHP. Dengan kondisi tersebut, sejumlah layanan berbasis PHP berpotensi terdampak.
PHP merupakan bahasa pemrograman populer untuk aplikasi web. Sejumlah sistem manajemen konten seperti WordPress, Drupal, dan Joomla mengandalkan PHP untuk menjalankan fungsinya. Dengan banyaknya sistem yang memanfaatkan PHP, masalah keamanan runtime perlu mendapatkan perhatian serius. Selain itu, website dengan aplikasi yang sudah diperbarui tetap dapat berisiko. Hal ini terjadi karena masalah muncul dalam komponen yang menjalankan kode aplikasi. Dengan mempertimbangkan situasi tersebut, pengelola server perlu segera melakukan pembaruan.
Mengenal CVE-2026-109618 dan CVE-2026-109619
Kerentanan pertama terjadi pada penanganan kondisi out-of-memory. Dalam kondisi tertentu, sistem dapat memperlakukan informasi internal yang tidak lengkap secara keliru. Kesalahan pengelolaan ini memungkinkan terjadinya memory corruption. Ketika penyerang mampu memicu kelemahan tersebut, dampaknya dapat mencakup eksekusi kode berbahaya. Masalah ini berasal dari pemrosesan internal PHP. Dengan demikian, pembaruan aplikasi saja belum memberikan perlindungan menyeluruh.
Pada kerentanan kedua, gangguan terjadi pada pengelolaan keadaan global antarpermintaan. Dalam proses tertentu, data internal yang seharusnya dibersihkan dapat tetap tersimpan. Situasi tersebut termasuk permasalahan stale state pada runtime. Dalam skenario eksploitasi yang memungkinkan, proses PHP mungkin menjalankan instruksi tidak sah. Kedua kerentanan melibatkan penanganan data internal yang tidak aman. Meskipun demikian, tingkat risiko nyata dapat dipengaruhi konfigurasi serta jalur serangan yang tersedia. Penggunaan pembaruan resmi tetap menjadi langkah perlindungan paling penting.
Daftar PHP yang Harus Segera Diperbarui oleh Administrator
Proyek resmi PHP menghadirkan patch keamanan pada 21 Oktober 2026 untuk menutup kedua kerentanan kritis. Pembaruan yang tersedia meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengelola server berbasis PHP 8.5 perlu memperbarui instalasi minimal ke 8.5.12. Untuk cabang lainnya, instalasi PHP 8.2 membutuhkan pembaruan minimal ke 8.2.35 sesuai lingkungan server yang sedang berjalan. Rilis patch terbaru ditujukan untuk menutup kedua kelemahan. Karena ancamannya serius, administrator dianjurkan segera melakukan peningkatan versi.
Perhatian tambahan diperlukan bagi website dengan instalasi PHP yang sudah tidak didukung. Versi PHP 8.1 dan sebelumnya tidak lagi menerima perbaikan keamanan resmi dari proyek PHP. Dalam praktik pengelolaan server, administrator perlu mengganti cabang PHP yang sudah usang. Selain itu, PHP 8.2 akan memasuki status end-of-life pada penghujung Desember 2026. Untuk menghindari masalah berikutnya, organisasi perlu menyusun rencana migrasi jangka panjang. Walaupun pembaruan sangat diperlukan, pengujian plugin serta tema menjadi langkah penting agar proses migrasi berlangsung dengan risiko operasional minimal.
Cara Memeriksa Versi PHP pada Website WordPress
Bagi pengguna WordPress, pemeriksaan versi PHP dapat dilakukan melalui dashboard. Langkah pertama, akses panel administrasi situs. Selanjutnya, pilih menu Tools, kemudian pilih Kesehatan Situs. Pada bagian Info, periksa detail lingkungan server untuk memeriksa informasi konfigurasi PHP. Apabila instalasi belum menggunakan rilis yang diperbaiki, pengelola perlu segera melakukan pembaruan. Langkah sederhana tersebut memberikan gambaran kondisi keamanan server.
Untuk pengguna layanan hosting, versi PHP dapat diperiksa melalui panel hosting. Dalam lingkungan hosting berbasis cPanel, fitur pengelolaan versi PHP tersedia melalui MultiPHP Manager apabila penyedia hosting mengaktifkan fitur tersebut. Untuk server yang dikelola sendiri, pemeriksaan dapat dilakukan melalui terminal. Pemeriksaan menggunakan php -v memberikan detail instalasi PHP yang dipanggil terminal. Meskipun perintah tersebut berguna, konfigurasi aplikasi web mungkin menggunakan instalasi PHP yang berbeda. Sebagai langkah validasi, administrator perlu mengidentifikasi runtime yang benar-benar melayani website. Melalui pemeriksaan menyeluruh, server aktif benar-benar mendapatkan perbaikan.
Ancaman Remote Code Execution bagi Server yang Belum Diperbarui
Dampak paling serius adalah kemampuan menjalankan kode berbahaya tanpa harus memiliki akun. Pada bidang perlindungan sistem, kondisi ini dikenal sebagai unauthenticated RCE. Apabila berhasil dieksploitasi, proses yang rentan dapat dikuasai. Akibat yang mungkin terjadi dapat berupa perubahan data website. Dalam lingkungan perdagangan elektronik, risiko tersebut menjadi perhatian penting karena aplikasi menangani data pengguna dan transaksi. Meski demikian, server yang belum diperbarui tidak otomatis sudah diretas.
Ancaman keamanan tersebut melampaui satu platform CMS karena komponen yang rentan digunakan berbagai aplikasi. Aplikasi Joomla serta platform web khusus perusahaan memerlukan peninjauan keamanan pada lingkungan server. Untuk konfigurasi web server, sejumlah konfigurasi pemrosesan PHP yang berbeda tidak sebaiknya dianggap aman tanpa pemeriksaan. Dalam informasi keamanan resmi, pengembang PHP menekankan perhatian utama terhadap lingkungan mod_php karena serangan dapat dipicu sebelum logika website diproses. Untuk mengurangi kemungkinan eksploitasi, patch keamanan harus diprioritaskan.
Langkah Mendesak Mengamankan Website dari Celah PHP
Tindakan paling penting adalah menggunakan runtime PHP dengan patch resmi. Menjelang proses peningkatan versi, tim teknis dianjurkan menyimpan salinan konfigurasi dan aplikasi. Cadangan tersebut berguna ketika kompatibilitas aplikasi bermasalah. Selanjutnya, lakukan pembaruan melalui metode resmi yang didukung server. Apabila website berada pada hosting terkelola, hubungi dukungan teknis untuk memastikan patch telah diterapkan. Ketika instalasi selesai, periksa kembali runtime yang melayani permintaan web. Validasi aplikasi setelah peningkatan versi juga harus menjadi bagian dari prosedur.
Ketika lingkungan produksi membutuhkan waktu untuk diperbarui, administrator perlu menerapkan tindakan pembatasan sementara. Pemanfaatan firewall aplikasi web dapat membantu menyaring sebagian permintaan mencurigakan, tetapi tidak menjamin perlindungan penuh. Jika aplikasi penting belum dapat diperbaiki, pembatasan akses jaringan perlu dipertimbangkan sampai perbaikan keamanan dapat diterapkan. Untuk meningkatkan pengawasan, tim keamanan perlu meninjau aktivitas mencurigakan. Langkah investigasi ini membantu menemukan kemungkinan aktivitas tidak wajar. Namun demikian, penggunaan versi yang telah diperbaiki harus tetap diprioritaskan.
Rangkuman Ancaman PHP dan Langkah Perlindungan Website
Peringatan keamanan mengenai dua kelemahan PHP menegaskan pentingnya pembaruan perangkat lunak server. Permasalahan keamanan ini tergolong kritis dengan penilaian 9,2 dan berpotensi memungkinkan eksekusi kode tanpa autentikasi. Pembaruan PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 harus diprioritaskan oleh administrator. Selain memasang patch, pembuatan backup serta evaluasi konfigurasi mendukung pengelolaan risiko yang lebih baik. Di tengah kebutuhan perlindungan TEKNOLOGI digital, pembaruan rutin menjadi bagian penting dari tanggung jawab pengelola. Apakah website Anda sudah menggunakan PHP versi terbaru? Bagikan pendapat Anda mengenai langkah perlindungan server yang efektif.
