Dua Celah Kritis PHP Terungkap, Pembaruan Keamanan Mendesak bagi Pengelola Website

Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.

Peringatan Keamanan PHP dan Risiko Serangan terhadap Server Website

Komunitas pengembang inti PHP merilis informasi mengenai dua kelemahan serius pada komponen inti PHP yang dapat membuka peluang eksekusi perintah berbahaya pada server. Kedua kerentanan tersebut diidentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619. Setiap kerentanan mendapatkan nilai keparahan 9,2 dalam sistem CVSS terbaru. Skor keamanan tersebut menempatkan keduanya dalam kategori kritis. Tidak seperti kerentanan yang terbatas pada tema website, kedua celah ditemukan pada komponen inti PHP. Akibatnya, sejumlah layanan berbasis PHP berpotensi terdampak.

Dalam pengembangan website, PHP menjadi bahasa pemrograman populer untuk aplikasi web. Banyak aplikasi berbasis web seperti WordPress, Drupal, dan Joomla memanfaatkan bahasa tersebut untuk menghasilkan halaman dinamis. Karena penggunaannya luas, kerentanan pada komponen inti memiliki dampak yang luas. Bahkan, website dengan aplikasi yang sudah diperbarui tetap dapat berisiko. Hal ini terjadi karena masalah muncul dalam komponen yang menjalankan kode aplikasi. Oleh karena itu, pemeriksaan versi PHP menjadi prioritas utama.

Mengenal CVE-2026-109618 dan CVE-2026-109619

Celah keamanan dengan kode CVE-2026-109618 terjadi pada penanganan kondisi out-of-memory. Ketika permintaan mencapai keadaan tertentu, runtime berpotensi meninggalkan struktur data yang belum sepenuhnya diinisialisasi. Permasalahan memori tersebut dapat menyebabkan kerusakan memori. Apabila berhasil dimanfaatkan, dampaknya dapat mencakup eksekusi kode berbahaya. Kelemahan pertama ini berasal dari pemrosesan internal PHP. Karena itu, pembaruan aplikasi saja belum memberikan perlindungan menyeluruh.

Pada kerentanan kedua, permasalahan berkaitan dengan status internal yang tertinggal. Pada kondisi pemrosesan khusus, status dari permintaan sebelumnya berpotensi bertahan. Situasi tersebut dapat melibatkan referensi terhadap data yang sudah tidak berlaku. Jika kelemahan tersebut berhasil dipicu, server dapat menghadapi risiko eksekusi kode jarak jauh. Kedua kerentanan melibatkan penanganan data internal yang tidak aman. Namun perlu diperhatikan, tingkat risiko nyata dapat dipengaruhi konfigurasi serta jalur serangan yang tersedia. Penerapan patch keamanan terbaru tetap menjadi langkah perlindungan paling penting.

Rilis Patch PHP untuk Menutup Dua Kerentanan Kritis

Proyek resmi PHP merilis versi perbaikan pada 21 Oktober 2026 untuk mengatasi masalah manajemen memori tersebut. Rilis keamanan yang direkomendasikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengelola server berbasis PHP 8.5 perlu memperbarui instalasi minimal ke 8.5.12. Sementara itu, versi 8.4 harus diperbarui minimal ke 8.4.27 sesuai konfigurasi runtime masing-masing. Perbaikan keamanan tersebut ditujukan untuk menutup kedua kelemahan. Karena ancamannya serius, pemasangan patch tidak sebaiknya ditunda.

Perhatian tambahan diperlukan bagi aplikasi berbasis cabang PHP usang. Versi PHP 8.1 dan sebelumnya tidak lagi menerima perbaikan keamanan resmi dari proyek PHP. Artinya, administrator perlu mengganti cabang PHP yang sudah usang. Untuk perencanaan jangka panjang, PHP 8.2 memiliki batas dukungan keamanan hingga akhir tahun 2026. Karena itu, organisasi perlu menyusun rencana migrasi jangka panjang. Walaupun pembaruan sangat diperlukan, kompatibilitas aplikasi tetap harus diperiksa agar proses migrasi berlangsung dengan risiko operasional minimal.

Cara Memeriksa Versi PHP pada Website WordPress

Bagi pengguna WordPress, informasi runtime tersedia pada halaman administrasi. Pada tahap awal, buka dashboard pengelolaan website. Setelah berhasil masuk, buka bagian Peralatan, kemudian masuk ke Site Health. Dalam tab Informasi, temukan kategori Server untuk melihat versi PHP yang digunakan. Ketika nomor PHP masih lebih rendah daripada versi aman, pemilik situs sebaiknya menyiapkan peningkatan versi. Proses identifikasi awal ini memberikan gambaran kondisi keamanan server.

Untuk pengguna layanan hosting, pengelola dapat meninjau konfigurasi PHP dari control panel. Jika menggunakan cPanel, fitur pengelolaan versi PHP tersedia melalui MultiPHP Manager apabila administrator server menyediakan akses tersebut. Untuk server yang dikelola sendiri, versi PHP bisa diketahui menggunakan perintah sistem. Perintah php -v memperlihatkan informasi PHP pada lingkungan CLI. Walaupun informasi CLI dapat diperoleh, runtime PHP-FPM tidak selalu identik dengan PHP CLI. Untuk pemeriksaan yang tepat, administrator perlu mengidentifikasi runtime yang benar-benar melayani website. Dengan begitu, server aktif benar-benar mendapatkan perbaikan.

Dampak Kerentanan PHP terhadap WordPress dan Website Bisnis

Dampak paling serius adalah kemungkinan eksekusi kode jarak jauh tanpa autentikasi. Dalam pengelolaan keamanan server, serangan tersebut termasuk kategori remote code execution tanpa login. Jika penyerang mampu memanfaatkan celah, sistem dapat mengalami kompromi. Dampaknya meliputi gangguan layanan serta penyalahgunaan sumber daya. Pada website bisnis, risiko tersebut menjadi perhatian penting karena sistem terhubung dengan layanan bisnis yang bernilai. Meski demikian, server yang belum diperbarui tidak otomatis sudah diretas.

Dua kelemahan PHP ini memiliki cakupan lebih luas daripada WordPress karena beragam sistem web memanfaatkan mesin PHP yang sama. Website Drupal serta layanan digital berbasis PHP lainnya berpotensi terdampak apabila menjalankan versi rentan. Dalam penggunaan infrastruktur hosting, berbagai mode integrasi PHP dengan web server harus dievaluasi sesuai versi yang digunakan. Peringatan pengembang menyebutkan perhatian utama terhadap lingkungan mod_php karena serangan dapat dipicu sebelum logika website diproses. Karena itu, pembaruan runtime menjadi tindakan utama.

Panduan Pembaruan PHP dan Perlindungan Server Website

Langkah utama yang direkomendasikan adalah memasang pembaruan PHP yang sudah memperbaiki kedua celah. Untuk mempersiapkan perubahan server, administrator sebaiknya membuat cadangan website. Salinan data tersebut memberikan pilihan pemulihan saat pembaruan menimbulkan kendala. Setelah persiapan selesai, gunakan paket PHP dari penyedia sistem operasi atau hosting. Apabila website berada pada hosting terkelola, periksa pemberitahuan keamanan dari perusahaan hosting. Ketika instalasi selesai, periksa kembali runtime yang melayani permintaan web. Pemeriksaan halaman dan fitur penting juga harus menjadi bagian dari prosedur.

Jika patch tidak dapat segera dipasang, organisasi sebaiknya melakukan mitigasi risiko tambahan. Penggunaan web application firewall dapat membantu menyaring sebagian permintaan mencurigakan, tetapi tidak dapat dianggap menutup seluruh kelemahan. Jika aplikasi penting belum dapat diperbaiki, pembatasan akses jaringan perlu dipertimbangkan sampai perbaikan keamanan dapat diterapkan. Sebagai tindakan pendukung, pengelola dapat mengevaluasi catatan permintaan dan kesalahan sistem. Pemeriksaan tersebut dapat memberikan petunjuk upaya eksploitasi. Namun demikian, pembaruan PHP tetap menjadi tindakan paling efektif.

Kesimpulan tentang Dua Celah Kritis PHP dan Keamanan Website

Peringatan keamanan mengenai dua kelemahan PHP menjadi pengingat penting bagi pengelola website. Kerentanan pada runtime PHP tersebut mendapatkan tingkat keparahan kritis dan menimbulkan ancaman serius terhadap server yang rentan. Versi PHP yang telah memperoleh perbaikan resmi menjadi langkah utama untuk menutup kelemahan tersebut. Sebagai bagian dari perlindungan menyeluruh, pengujian aplikasi dan pengawasan aktivitas mendukung pengelolaan risiko yang lebih baik. Seiring meningkatnya kompleksitas TEKNOLOGI website, keamanan runtime tidak boleh diabaikan. Bagaimana pengalaman Anda melakukan pembaruan keamanan PHP? Silakan bagikan pengalaman Anda mengenai pembaruan PHP.