Dua Celah Kritis PHP Terungkap, Pembaruan Keamanan Mendesak bagi Pengelola Website

Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.

Peringatan Keamanan PHP dan Risiko Serangan terhadap Server Website

Komunitas pengembang inti PHP mengumumkan dua kerentanan keamanan dengan tingkat keparahan kritis yang berpotensi memungkinkan penyerang menjalankan kode dari jarak jauh. Kedua kerentanan tersebut tercatat menggunakan identitas CVE-2026-109618 dan CVE-2026-109619. Masing-masing memperoleh nilai keparahan 9,2 dalam sistem CVSS terbaru. Tingkat penilaian ini menempatkan keduanya dalam kategori kritis. Berbeda dari masalah pada plugin tertentu, kedua celah ditemukan pada komponen inti PHP. Akibatnya, berbagai website dapat menghadapi risiko.

PHP merupakan bahasa pemrograman populer untuk aplikasi web. Berbagai platform seperti WordPress, Drupal, dan Joomla memanfaatkan bahasa tersebut untuk menghasilkan halaman dinamis. Karena penggunaannya luas, kerentanan pada komponen inti memiliki dampak yang luas. Bahkan, pembaruan CMS saja belum tentu menghilangkan ancaman. Hal ini terjadi karena masalah muncul dalam komponen yang menjalankan kode aplikasi. Dengan mempertimbangkan situasi tersebut, administrator website harus memastikan runtime memperoleh perbaikan keamanan.

Mengenal CVE-2026-109618 dan CVE-2026-109619

Celah keamanan dengan kode CVE-2026-109618 berkaitan dengan pengelolaan memori ketika sumber daya habis. Ketika permintaan mencapai keadaan tertentu, runtime berpotensi meninggalkan struktur data yang belum sepenuhnya diinisialisasi. Kesalahan pengelolaan ini berpotensi mengganggu integritas proses. Jika kondisi eksploitasi terpenuhi, proses PHP dapat mengalami pengambilalihan dalam kondisi tertentu. Kelemahan pertama ini tidak bergantung pada kesalahan penulisan kode aplikasi biasa. Dengan demikian, perbaikan tema website tidak menyelesaikan akar masalah.

Pada kerentanan kedua, kelemahan muncul akibat penggunaan kembali informasi memori yang sudah tidak valid. Dalam proses tertentu, status dari permintaan sebelumnya berpotensi bertahan. Kesalahan pengelolaan tersebut termasuk permasalahan stale state pada runtime. Apabila dimanfaatkan penyerang, server dapat menghadapi risiko eksekusi kode jarak jauh. Dua masalah keamanan tersebut berkaitan dengan kesalahan manajemen memori. Meskipun demikian, tidak setiap server pasti telah diserang. Pemasangan versi PHP yang telah diperbaiki tetap menjadi langkah perlindungan paling penting.

Daftar PHP yang Harus Segera Diperbarui oleh Administrator

Tim pengembang PHP menghadirkan patch keamanan pada 21 Oktober 2026 untuk mengatasi masalah manajemen memori tersebut. Pembaruan yang tersedia meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengguna PHP 8.5 harus memastikan sistem tidak lagi menggunakan 8.5.11 atau rilis rentan sebelumnya. Sementara itu, pengguna PHP 8.3 perlu menggunakan minimal 8.3.36 sesuai lingkungan server yang sedang berjalan. Perbaikan keamanan tersebut ditujukan untuk menutup kedua kelemahan. Karena ancamannya serius, pemasangan patch tidak sebaiknya ditunda.

Permasalahan menjadi lebih penting bagi aplikasi berbasis cabang PHP usang. Rilis PHP sebelum seri 8.2 sudah berada di luar periode dukungan keamanan utama. Dalam praktik pengelolaan server, pengelola website harus meningkatkan runtime ke versi yang didukung. Selain itu, PHP 8.2 memiliki batas dukungan keamanan hingga akhir tahun 2026. Untuk menghindari masalah berikutnya, pembaruan ke cabang PHP yang lebih baru sebaiknya dipersiapkan. Namun dalam pelaksanaannya, kompatibilitas aplikasi tetap harus diperiksa agar proses migrasi berlangsung dengan risiko operasional minimal.

Panduan Mengecek Kerentanan PHP Sebelum Memperbarui Website

Untuk pengelola website berbasis WordPress, informasi runtime tersedia pada halaman administrasi. Pada tahap awal, akses panel administrasi situs. Setelah berhasil masuk, akses menu pengelolaan Tools, kemudian buka halaman Site Health. Pada bagian Info, periksa detail lingkungan server untuk memeriksa informasi konfigurasi PHP. Apabila instalasi belum menggunakan rilis yang diperbaiki, pengelola perlu segera melakukan pembaruan. Proses identifikasi awal ini membantu menentukan tindakan yang diperlukan.

Untuk pengguna layanan hosting, informasi runtime biasanya tersedia dalam pengaturan server. Pada layanan cPanel, fitur pengelolaan versi PHP tersedia melalui MultiPHP Manager apabila penyedia hosting mengaktifkan fitur tersebut. Dalam penggunaan VPS atau dedicated server, versi PHP bisa diketahui menggunakan perintah sistem. Instruksi terminal php -v memperlihatkan informasi PHP pada lingkungan CLI. Walaupun informasi CLI dapat diperoleh, konfigurasi aplikasi web mungkin menggunakan instalasi PHP yang berbeda. Karena itu, pastikan versi PHP pada web server juga diperiksa. Dengan begitu, pembaruan tidak hanya dilakukan pada instalasi yang tidak digunakan website.

Ancaman Remote Code Execution bagi Server yang Belum Diperbarui

Risiko utama dari kerentanan tersebut adalah potensi remote code execution oleh penyerang anonim. Pada bidang perlindungan sistem, serangan tersebut termasuk kategori remote code execution tanpa login. Jika penyerang mampu memanfaatkan celah, server berpotensi kehilangan integritas. Konsekuensi keamanan yang berpotensi muncul mencakup akses terhadap informasi sensitif. Dalam lingkungan perdagangan elektronik, dampaknya dapat memengaruhi operasional karena server sering menyimpan atau mengakses informasi penting. Namun perlu ditegaskan, indikasi kompromi tetap memerlukan pemeriksaan tersendiri.

Dua kelemahan PHP ini memiliki cakupan lebih luas daripada WordPress karena beragam sistem web memanfaatkan mesin PHP yang sama. Aplikasi Joomla serta platform web khusus perusahaan berpotensi terdampak apabila menjalankan versi rentan. Selain itu, berbagai mode integrasi PHP dengan web server tidak sebaiknya dianggap aman tanpa pemeriksaan. Tim keamanan PHP menyoroti risiko yang sangat tinggi pada konfigurasi mod_php karena serangan dapat dipicu sebelum logika website diproses. Karena itu, patch keamanan harus diprioritaskan.

Langkah Mendesak Mengamankan Website dari Celah PHP

Langkah utama yang direkomendasikan adalah meningkatkan instalasi ke versi keamanan terbaru. Menjelang proses peningkatan versi, pengelola perlu menyiapkan backup data. Salinan data tersebut membantu proses pemulihan apabila terjadi gangguan. Selanjutnya, lakukan pembaruan melalui metode resmi yang didukung server. Apabila website berada pada hosting terkelola, hubungi dukungan teknis untuk memastikan patch telah diterapkan. Sesudah patch diterapkan, pastikan layanan PHP yang aktif menggunakan versi baru. Pengujian fungsi website juga penting untuk memastikan layanan tetap berjalan.

Ketika lingkungan produksi membutuhkan waktu untuk diperbarui, organisasi sebaiknya melakukan mitigasi risiko tambahan. Penerapan aturan WAF mendukung pembatasan trafik berbahaya tertentu, tetapi tidak dapat dianggap menutup seluruh kelemahan. Untuk sistem dengan risiko tinggi, pembatasan akses jaringan perlu dipertimbangkan sampai perbaikan keamanan dapat diterapkan. Selain itu, administrator dianjurkan memeriksa log server. Pemeriksaan tersebut membantu menemukan kemungkinan aktivitas tidak wajar. Meski beberapa mitigasi tersedia, pembaruan PHP tetap menjadi tindakan paling efektif.

Penutup: Pentingnya Memperbarui PHP untuk Mencegah Serangan

Peringatan keamanan mengenai dua kelemahan PHP menjadi pengingat penting bagi pengelola website. Kedua celah tersebut mendapatkan tingkat keparahan kritis dan dapat membuka peluang pengambilalihan proses dari jarak jauh. Pembaruan PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 harus diprioritaskan oleh administrator. Sebagai bagian dari perlindungan menyeluruh, pemeriksaan log dan validasi server memperkuat proses pemeliharaan website. Dalam perkembangan TEKNOLOGI keamanan siber, keamanan runtime tidak boleh diabaikan. Menurut Anda, apa tantangan terbesar dalam menjaga keamanan server website? Mari sampaikan pandangan tentang pentingnya keamanan website.