Dua Celah Kritis PHP Terungkap, Pembaruan Keamanan Mendesak bagi Pengelola Website

Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.

Peringatan Keamanan PHP dan Risiko Serangan terhadap Server Website

Pengelola proyek bahasa pemrograman PHP mengungkapkan sepasang celah berbahaya dalam sistem PHP yang dapat membuka peluang eksekusi perintah berbahaya pada server. Kedua kerentanan tersebut diidentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619. Setiap kerentanan mendapatkan penilaian tingkat bahaya 9,2 berdasarkan CVSS 4.0. Skor keamanan tersebut menggambarkan potensi dampak keamanan yang tinggi. Tidak seperti kelemahan yang hanya memengaruhi satu aplikasi, kedua celah ditemukan pada komponen inti PHP. Dengan kondisi tersebut, berbagai website dapat menghadapi risiko.

Bahasa pemrograman PHP dikenal sebagai salah satu teknologi server yang banyak digunakan. Banyak aplikasi berbasis web seperti WordPress, Drupal, dan Joomla mengandalkan PHP untuk menjalankan fungsinya. Mengingat tingkat adopsinya tinggi, masalah keamanan runtime perlu mendapatkan perhatian serius. Selain itu, pembaruan CMS saja belum tentu menghilangkan ancaman. Hal ini terjadi karena kerentanan terjadi pada mesin PHP sebelum sebagian logika aplikasi diproses. Dengan mempertimbangkan situasi tersebut, administrator website harus memastikan runtime memperoleh perbaikan keamanan.

Bagaimana Dua Celah PHP Dapat Membahayakan Server?

Celah keamanan dengan kode CVE-2026-109618 melibatkan kesalahan pemrosesan saat batas memori tercapai. Ketika permintaan mencapai keadaan tertentu, runtime berpotensi meninggalkan struktur data yang belum sepenuhnya diinisialisasi. Permasalahan memori tersebut memungkinkan terjadinya memory corruption. Ketika penyerang mampu memicu kelemahan tersebut, proses PHP dapat mengalami pengambilalihan dalam kondisi tertentu. Masalah ini berasal dari pemrosesan internal PHP. Karena itu, pembaruan aplikasi saja belum memberikan perlindungan menyeluruh.

Sementara itu, gangguan terjadi pada pengelolaan keadaan global antarpermintaan. Pada kondisi pemrosesan khusus, status dari permintaan sebelumnya berpotensi bertahan. Situasi tersebut berhubungan dengan penggunaan memori setelah dibebaskan. Dalam skenario eksploitasi yang memungkinkan, proses PHP mungkin menjalankan instruksi tidak sah. Dua masalah keamanan tersebut muncul dari mekanisme pengelolaan keadaan pemrosesan. Walaupun dampaknya serius, keberhasilan eksploitasi bergantung pada kondisi lingkungan. Penggunaan pembaruan resmi tetap harus dilakukan sesegera mungkin.

Versi PHP yang Terdampak dan Pembaruan Keamanan Resmi

Tim pengembang PHP telah menyediakan pembaruan pada 21 Oktober 2026 untuk memperbaiki kelemahan pada runtime. Pembaruan yang tersedia meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Administrator yang masih menjalankan cabang PHP 8.5 harus memastikan sistem tidak lagi menggunakan 8.5.11 atau rilis rentan sebelumnya. Sementara itu, versi 8.4 harus diperbarui minimal ke 8.4.27 sesuai lingkungan server yang sedang berjalan. Pembaruan ini mengatasi celah eksekusi kode yang ditemukan. Dengan mempertimbangkan potensi serangan, administrator dianjurkan segera melakukan peningkatan versi.

Permasalahan menjadi lebih penting bagi server yang menggunakan PHP versi lama. Rilis PHP sebelum seri 8.2 tidak lagi menerima perbaikan keamanan resmi dari proyek PHP. Artinya, pengguna versi tersebut perlu merencanakan migrasi. Untuk perencanaan jangka panjang, PHP 8.2 memiliki batas dukungan keamanan hingga akhir tahun 2026. Dengan mempertimbangkan jadwal tersebut, organisasi perlu menyusun rencana migrasi jangka panjang. Walaupun pembaruan sangat diperlukan, kompatibilitas aplikasi tetap harus diperiksa agar website tetap berfungsi setelah pembaruan.

Langkah Mengetahui PHP yang Digunakan Server Hosting

Untuk pengelola website berbasis WordPress, pemeriksaan versi PHP dapat dilakukan melalui dashboard. Langkah pertama, masuk ke halaman administrator WordPress. Setelah berhasil masuk, pilih menu Tools, kemudian buka halaman Site Health. Pada bagian Info, periksa detail lingkungan server untuk memeriksa informasi konfigurasi PHP. Ketika nomor PHP masih lebih rendah daripada versi aman, administrator harus menghubungi penyedia hosting. Langkah sederhana tersebut membantu menentukan tindakan yang diperlukan.

Selain melalui WordPress, pengelola dapat meninjau konfigurasi PHP dari control panel. Pada layanan cPanel, menu MultiPHP Manager dapat digunakan apabila layanan hosting mendukung pengaturan versi PHP. Sementara itu, administrator dapat memeriksa konfigurasi runtime. Pemeriksaan menggunakan php -v memperlihatkan informasi PHP pada lingkungan CLI. Namun perlu diketahui, runtime PHP-FPM tidak selalu identik dengan PHP CLI. Untuk pemeriksaan yang tepat, pastikan versi PHP pada web server juga diperiksa. Dengan begitu, pembaruan tidak hanya dilakukan pada instalasi yang tidak digunakan website.

Dampak Kerentanan PHP terhadap WordPress dan Website Bisnis

Ancaman terbesar yang perlu diperhatikan adalah potensi remote code execution oleh penyerang anonim. Pada bidang perlindungan sistem, kondisi ini dikenal sebagai unauthenticated RCE. Jika penyerang mampu memanfaatkan celah, proses yang rentan dapat dikuasai. Akibat yang mungkin terjadi meliputi gangguan layanan serta penyalahgunaan sumber daya. Untuk aplikasi yang mengelola pelanggan, ancamannya perlu ditangani dengan serius karena server sering menyimpan atau mengakses informasi penting. Namun perlu ditegaskan, server yang belum diperbarui tidak otomatis sudah diretas.

Ancaman keamanan tersebut melampaui satu platform CMS karena masalahnya berada pada runtime PHP. Website Drupal serta layanan digital berbasis PHP lainnya perlu diperiksa jika menggunakan runtime yang belum diperbaiki. Untuk konfigurasi web server, berbagai mode integrasi PHP dengan web server tidak sebaiknya dianggap aman tanpa pemeriksaan. Peringatan pengembang menyebutkan risiko yang sangat tinggi pada konfigurasi mod_php karena serangan dapat dipicu sebelum logika website diproses. Untuk mengurangi kemungkinan eksploitasi, administrator perlu menangani masalah pada tingkat server.

Panduan Pembaruan PHP dan Perlindungan Server Website

Tindakan paling penting adalah menggunakan runtime PHP dengan patch resmi. Menjelang proses peningkatan versi, pengelola perlu menyiapkan backup data. Cadangan tersebut memberikan pilihan pemulihan saat pembaruan menimbulkan kendala. Setelah persiapan selesai, gunakan paket PHP dari penyedia sistem operasi atau hosting. Untuk pengguna penyedia hosting yang mengatur PHP, periksa pemberitahuan keamanan dari perusahaan hosting. Setelah pembaruan, validasi bahwa proses server telah menjalankan PHP yang diperbaiki. Pemeriksaan halaman dan fitur penting juga perlu dilakukan secara menyeluruh.

Ketika lingkungan produksi membutuhkan waktu untuk diperbarui, administrator perlu menerapkan tindakan pembatasan sementara. Pemanfaatan firewall aplikasi web mendukung pembatasan trafik berbahaya tertentu, tetapi tidak menjamin perlindungan penuh. Pada server yang terbuka langsung ke internet, pembatasan akses jaringan perlu dipertimbangkan sampai perbaikan keamanan dapat diterapkan. Selain itu, administrator dianjurkan memeriksa log server. Evaluasi keamanan tersebut membantu menemukan kemungkinan aktivitas tidak wajar. Meski beberapa mitigasi tersedia, pembaruan PHP tetap menjadi tindakan paling efektif.

Rangkuman Ancaman PHP dan Langkah Perlindungan Website

Ditemukannya CVE-2026-109618 dan CVE-2026-109619 menunjukkan perlunya pemeliharaan sistem secara berkelanjutan. Kedua celah tersebut mendapatkan tingkat keparahan kritis dan berpotensi memungkinkan eksekusi kode tanpa autentikasi. Versi PHP yang telah memperoleh perbaikan resmi perlu segera diterapkan. Di samping meningkatkan versi PHP, pemeriksaan log dan validasi server mendukung pengelolaan risiko yang lebih baik. Dalam perkembangan TEKNOLOGI keamanan siber, pengawasan infrastruktur harus dilakukan secara konsisten. Menurut Anda, apa tantangan terbesar dalam menjaga keamanan server website? Bagikan pendapat Anda mengenai langkah perlindungan server yang efektif.