Dua Celah Kritis PHP Terungkap, Pembaruan Keamanan Mendesak bagi Pengelola Website

Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.

Dua Kerentanan Kritis PHP Menjadi Ancaman bagi Keamanan Website

Komunitas pengembang inti PHP mengungkapkan dua kelemahan serius pada komponen inti PHP yang dapat membuka peluang eksekusi perintah berbahaya pada server. Permasalahan yang ditemukan tersebut tercatat menggunakan identitas CVE-2026-109618 dan CVE-2026-109619. Masing-masing memperoleh skor CVSS versi 4.0 sebesar 9,2. Skor keamanan tersebut menggambarkan potensi dampak keamanan yang tinggi. Tidak seperti kelemahan yang hanya memengaruhi satu aplikasi, kelemahan ini berada dalam mesin pemrosesan PHP. Oleh sebab itu, sejumlah layanan berbasis PHP berpotensi terdampak.

Dalam pengembangan website, PHP menjadi komponen penting dalam berbagai layanan internet. Sejumlah sistem manajemen konten seperti WordPress, Drupal, dan Joomla mengandalkan PHP untuk menjalankan fungsinya. Karena penggunaannya luas, masalah keamanan runtime perlu mendapatkan perhatian serius. Dalam kondisi tertentu, plugin yang aman tidak otomatis melindungi runtime PHP yang rentan. Kondisi tersebut berkaitan dengan kelemahan berada pada lapisan pemrosesan PHP. Untuk mengurangi kemungkinan serangan, pengelola server perlu segera melakukan pembaruan.

Penjelasan Teknis Kerentanan Kritis pada Runtime PHP

Celah keamanan dengan kode CVE-2026-109618 melibatkan kesalahan pemrosesan saat batas memori tercapai. Ketika permintaan mencapai keadaan tertentu, PHP dapat mengalami gangguan saat mengelola data internal. Permasalahan memori tersebut memungkinkan terjadinya memory corruption. Jika kondisi eksploitasi terpenuhi, proses PHP dapat mengalami pengambilalihan dalam kondisi tertentu. Kelemahan pertama ini terjadi pada lapisan yang lebih mendasar daripada logika website. Berdasarkan karakteristik tersebut, perbaikan tema website tidak menyelesaikan akar masalah.

Sementara itu, gangguan terjadi pada pengelolaan keadaan global antarpermintaan. Dalam proses tertentu, status dari permintaan sebelumnya berpotensi bertahan. Kesalahan pengelolaan tersebut berhubungan dengan penggunaan memori setelah dibebaskan. Jika kelemahan tersebut berhasil dipicu, server dapat menghadapi risiko eksekusi kode jarak jauh. Kedua kerentanan muncul dari mekanisme pengelolaan keadaan pemrosesan. Namun perlu diperhatikan, tidak setiap server pasti telah diserang. Penerapan patch keamanan terbaru tetap menjadi langkah perlindungan paling penting.

Versi PHP yang Terdampak dan Pembaruan Keamanan Resmi

Pengelola keamanan PHP telah menyediakan pembaruan pada 21 Oktober 2026 untuk mengatasi masalah manajemen memori tersebut. Rilis keamanan yang direkomendasikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengelola server berbasis PHP 8.5 harus memastikan sistem tidak lagi menggunakan 8.5.11 atau rilis rentan sebelumnya. Pada seri PHP yang berbeda, pengguna PHP 8.3 perlu menggunakan minimal 8.3.36 sesuai lingkungan server yang sedang berjalan. Pembaruan ini ditujukan untuk menutup kedua kelemahan. Karena ancamannya serius, administrator dianjurkan segera melakukan peningkatan versi.

Permasalahan menjadi lebih penting bagi website dengan instalasi PHP yang sudah tidak didukung. Versi PHP 8.1 dan sebelumnya tidak lagi menerima perbaikan keamanan resmi dari proyek PHP. Dengan kata lain, pengguna versi tersebut perlu merencanakan migrasi. Selain itu, PHP 8.2 dijadwalkan mencapai akhir masa dukungan pada 31 Desember 2026. Karena itu, pembaruan ke cabang PHP yang lebih baru sebaiknya dipersiapkan. Meski demikian, kompatibilitas aplikasi tetap harus diperiksa agar layanan tidak mengalami gangguan yang tidak diharapkan.

Panduan Mengecek Kerentanan PHP Sebelum Memperbarui Website

Bagi pengguna WordPress, pemeriksaan versi PHP dapat dilakukan melalui dashboard. Pada tahap awal, buka dashboard pengelolaan website. Kemudian, akses menu pengelolaan Tools, kemudian masuk ke Site Health. Pada bagian Info, periksa detail lingkungan server untuk melihat versi PHP yang digunakan. Ketika nomor PHP masih lebih rendah daripada versi aman, administrator harus menghubungi penyedia hosting. Pemeriksaan ini memberikan gambaran kondisi keamanan server.

Selain melalui WordPress, informasi runtime biasanya tersedia dalam pengaturan server. Pada layanan cPanel, pengguna dapat memeriksa PHP melalui halaman MultiPHP Manager apabila administrator server menyediakan akses tersebut. Untuk server yang dikelola sendiri, pemeriksaan dapat dilakukan melalui terminal. Perintah php -v menampilkan versi PHP untuk command-line. Namun perlu diketahui, versi PHP untuk website bisa berbeda dari versi terminal. Untuk pemeriksaan yang tepat, pastikan versi PHP pada web server juga diperiksa. Melalui pemeriksaan menyeluruh, server aktif benar-benar mendapatkan perbaikan.

Dampak Kerentanan PHP terhadap WordPress dan Website Bisnis

Risiko utama dari kerentanan tersebut adalah kemampuan menjalankan kode berbahaya tanpa harus memiliki akun. Dalam pengelolaan keamanan server, kondisi ini dikenal sebagai unauthenticated RCE. Apabila berhasil dieksploitasi, proses yang rentan dapat dikuasai. Konsekuensi keamanan yang berpotensi muncul mencakup akses terhadap informasi sensitif. Pada website bisnis, ancamannya perlu ditangani dengan serius karena sistem terhubung dengan layanan bisnis yang bernilai. Namun perlu ditegaskan, server yang belum diperbarui tidak otomatis sudah diretas.

Ancaman keamanan tersebut melampaui satu platform CMS karena beragam sistem web memanfaatkan mesin PHP yang sama. Aplikasi Joomla serta aplikasi PHP buatan sendiri perlu diperiksa jika menggunakan runtime yang belum diperbaiki. Untuk konfigurasi web server, PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed perlu mendapatkan perhatian pembaruan. Peringatan pengembang menyebutkan risiko yang sangat tinggi pada konfigurasi mod_php karena eksploitasi telah didemonstrasikan sebelum kode aplikasi berjalan. Karena itu, pembaruan runtime menjadi tindakan utama.

Panduan Pembaruan PHP dan Perlindungan Server Website

Tindakan paling penting adalah meningkatkan instalasi ke versi keamanan terbaru. Untuk mempersiapkan perubahan server, administrator sebaiknya membuat cadangan website. File backup yang tersedia membantu proses pemulihan apabila terjadi gangguan. Selanjutnya, pasang versi runtime yang telah diperbaiki menggunakan prosedur terpercaya. Untuk pengguna penyedia hosting yang mengatur PHP, periksa pemberitahuan keamanan dari perusahaan hosting. Sesudah patch diterapkan, periksa kembali runtime yang melayani permintaan web. Validasi aplikasi setelah peningkatan versi juga harus menjadi bagian dari prosedur.

Jika patch tidak dapat segera dipasang, administrator perlu menerapkan tindakan pembatasan sementara. Penerapan aturan WAF berpotensi mengurangi sejumlah jalur serangan, tetapi bukan pengganti pembaruan PHP. Untuk sistem dengan risiko tinggi, pembatasan akses jaringan perlu dipertimbangkan sampai perbaikan keamanan dapat diterapkan. Sebagai tindakan pendukung, tim keamanan perlu meninjau aktivitas mencurigakan. Evaluasi keamanan tersebut mendukung identifikasi indikasi kompromi. Namun demikian, patch resmi merupakan solusi utama.

Penutup: Pentingnya Memperbarui PHP untuk Mencegah Serangan

Peringatan keamanan mengenai dua kelemahan PHP menunjukkan perlunya pemeliharaan sistem secara berkelanjutan. Permasalahan keamanan ini mendapatkan tingkat keparahan kritis dan dapat membuka peluang pengambilalihan proses dari jarak jauh. Versi PHP yang telah memperoleh perbaikan resmi harus diprioritaskan oleh administrator. Sebagai bagian dari perlindungan menyeluruh, pemeriksaan log dan validasi server membantu menjaga keamanan operasional. Seiring meningkatnya kompleksitas TEKNOLOGI website, pembaruan rutin menjadi bagian penting dari tanggung jawab pengelola. Apakah website Anda sudah menggunakan PHP versi terbaru? Bagikan pendapat Anda mengenai langkah perlindungan server yang efektif.