Dua Celah Kritis PHP Terungkap, Pembaruan Keamanan Mendesak bagi Pengelola Website

Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.

Peringatan Keamanan PHP dan Risiko Serangan terhadap Server Website

Tim pengembang PHP merilis informasi mengenai dua kelemahan serius pada komponen inti PHP yang berpotensi memungkinkan penyerang menjalankan kode dari jarak jauh. Permasalahan yang ditemukan tersebut tercatat menggunakan identitas CVE-2026-109618 dan CVE-2026-109619. Masing-masing memperoleh penilaian tingkat bahaya 9,2 berdasarkan CVSS 4.0. Tingkat penilaian ini menunjukkan tingkat risiko yang sangat serius. Tidak seperti kerentanan yang terbatas pada tema website, permasalahan tersebut berkaitan dengan runtime PHP. Dengan kondisi tersebut, berbagai website dapat menghadapi risiko.

PHP merupakan salah satu teknologi server yang banyak digunakan. Banyak aplikasi berbasis web seperti WordPress, Drupal, dan Joomla memanfaatkan bahasa tersebut untuk menghasilkan halaman dinamis. Dengan banyaknya sistem yang memanfaatkan PHP, kelemahan tersebut berpotensi memengaruhi berbagai jenis website. Dalam kondisi tertentu, plugin yang aman tidak otomatis melindungi runtime PHP yang rentan. Kondisi tersebut berkaitan dengan masalah muncul dalam komponen yang menjalankan kode aplikasi. Dengan mempertimbangkan situasi tersebut, administrator website harus memastikan runtime memperoleh perbaikan keamanan.

Mengenal CVE-2026-109618 dan CVE-2026-109619

Celah keamanan dengan kode CVE-2026-109618 terjadi pada penanganan kondisi out-of-memory. Dalam kondisi tertentu, PHP dapat mengalami gangguan saat mengelola data internal. Kondisi tersebut memungkinkan terjadinya memory corruption. Apabila berhasil dimanfaatkan, dampaknya dapat mencakup eksekusi kode berbahaya. Masalah ini terjadi pada lapisan yang lebih mendasar daripada logika website. Dengan demikian, perbaikan tema website tidak menyelesaikan akar masalah.

Sementara itu, gangguan terjadi pada pengelolaan keadaan global antarpermintaan. Dalam proses tertentu, informasi lama dapat digunakan kembali secara tidak semestinya. Situasi tersebut dapat melibatkan referensi terhadap data yang sudah tidak berlaku. Dalam skenario eksploitasi yang memungkinkan, proses PHP mungkin menjalankan instruksi tidak sah. Kedua kerentanan berkaitan dengan kesalahan manajemen memori. Walaupun dampaknya serius, tidak setiap server pasti telah diserang. Pemasangan versi PHP yang telah diperbaiki tetap harus dilakukan sesegera mungkin.

Versi PHP yang Terdampak dan Pembaruan Keamanan Resmi

Pengelola keamanan PHP telah menyediakan pembaruan pada 21 Oktober 2026 untuk menutup kedua kerentanan kritis. Rilis keamanan yang direkomendasikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengelola server berbasis PHP 8.5 sebaiknya memasang rilis 8.5.12 atau versi berikutnya yang telah diperbaiki. Untuk cabang lainnya, pengguna PHP 8.3 perlu menggunakan minimal 8.3.36 sesuai cabang versi yang digunakan. Pembaruan ini ditujukan untuk menutup kedua kelemahan. Karena ancamannya serius, administrator dianjurkan segera melakukan peningkatan versi.

Permasalahan menjadi lebih penting bagi server yang menggunakan PHP versi lama. Versi PHP 8.1 dan sebelumnya tidak memperoleh patch baru melalui siklus rilis resmi PHP. Artinya, administrator perlu mengganti cabang PHP yang sudah usang. Sebagai informasi tambahan, PHP 8.2 dijadwalkan mencapai akhir masa dukungan pada 31 Desember 2026. Dengan mempertimbangkan jadwal tersebut, organisasi perlu menyusun rencana migrasi jangka panjang. Meski demikian, perubahan versi perlu disertai evaluasi perangkat lunak agar website tetap berfungsi setelah pembaruan.

Cara Memeriksa Versi PHP pada Website WordPress

Apabila situs menggunakan CMS WordPress, versi PHP bisa diketahui melalui fitur bawaan WordPress. Langkah pertama, masuk ke halaman administrator WordPress. Selanjutnya, pilih menu Tools, kemudian pilih Kesehatan Situs. Melalui halaman Info, periksa detail lingkungan server untuk memeriksa informasi konfigurasi PHP. Jika hasilnya menunjukkan versi rentan, pemilik situs sebaiknya menyiapkan peningkatan versi. Pemeriksaan ini memberikan gambaran kondisi keamanan server.

Di luar dashboard CMS, pengelola dapat meninjau konfigurasi PHP dari control panel. Dalam lingkungan hosting berbasis cPanel, menu MultiPHP Manager dapat digunakan apabila layanan hosting mendukung pengaturan versi PHP. Sementara itu, pemeriksaan dapat dilakukan melalui terminal. Pemeriksaan menggunakan php -v menampilkan versi PHP untuk command-line. Namun perlu diketahui, versi PHP untuk website bisa berbeda dari versi terminal. Untuk pemeriksaan yang tepat, informasi PHP-FPM atau modul web server harus diverifikasi. Dengan begitu, risiko salah mengidentifikasi lingkungan PHP dapat dikurangi.

Risiko Serangan Siber akibat Dua Celah Keamanan PHP

Risiko utama dari kerentanan tersebut adalah potensi remote code execution oleh penyerang anonim. Dalam istilah keamanan siber, kondisi ini dikenal sebagai unauthenticated RCE. Ketika serangan memenuhi kondisi eksploitasi, server berpotensi kehilangan integritas. Dampaknya dapat berupa perubahan data website. Dalam lingkungan perdagangan elektronik, ancamannya perlu ditangani dengan serius karena aplikasi menangani data pengguna dan transaksi. Namun perlu ditegaskan, indikasi kompromi tetap memerlukan pemeriksaan tersendiri.

Dua kelemahan PHP ini memiliki cakupan lebih luas daripada WordPress karena masalahnya berada pada runtime PHP. Website Drupal serta aplikasi PHP buatan sendiri perlu diperiksa jika menggunakan runtime yang belum diperbaiki. Selain itu, berbagai mode integrasi PHP dengan web server perlu mendapatkan perhatian pembaruan. Peringatan pengembang menyebutkan tingkat bahaya khusus untuk Apache mod_php karena eksploitasi telah didemonstrasikan sebelum kode aplikasi berjalan. Karena itu, administrator perlu menangani masalah pada tingkat server.

Panduan Pembaruan PHP dan Perlindungan Server Website

Langkah utama yang direkomendasikan adalah menggunakan runtime PHP dengan patch resmi. Menjelang proses peningkatan versi, tim teknis dianjurkan menyimpan salinan konfigurasi dan aplikasi. File backup yang tersedia membantu proses pemulihan apabila terjadi gangguan. Selanjutnya, lakukan pembaruan melalui metode resmi yang didukung server. Untuk pengguna penyedia hosting yang mengatur PHP, hubungi dukungan teknis untuk memastikan patch telah diterapkan. Sesudah patch diterapkan, pastikan layanan PHP yang aktif menggunakan versi baru. Validasi aplikasi setelah peningkatan versi juga perlu dilakukan secara menyeluruh.

Ketika lingkungan produksi membutuhkan waktu untuk diperbarui, administrator perlu menerapkan tindakan pembatasan sementara. Penerapan aturan WAF dapat membantu menyaring sebagian permintaan mencurigakan, tetapi tidak menjamin perlindungan penuh. Pada server yang terbuka langsung ke internet, isolasi sementara dapat menjadi pilihan sampai patch selesai dipasang dan diverifikasi. Selain itu, pengelola dapat mengevaluasi catatan permintaan dan kesalahan sistem. Pemeriksaan tersebut membantu menemukan kemungkinan aktivitas tidak wajar. Namun demikian, penggunaan versi yang telah diperbaiki harus tetap diprioritaskan.

Penutup: Pentingnya Memperbarui PHP untuk Mencegah Serangan

Pengungkapan dua kerentanan kritis PHP menjadi pengingat penting bagi pengelola website. Permasalahan keamanan ini mendapatkan tingkat keparahan kritis dan dapat membuka peluang pengambilalihan proses dari jarak jauh. Pembaruan PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 menjadi langkah utama untuk menutup kelemahan tersebut. Di samping meningkatkan versi PHP, pemeriksaan log dan validasi server membantu menjaga keamanan operasional. Di tengah kebutuhan perlindungan TEKNOLOGI digital, pembaruan rutin menjadi bagian penting dari tanggung jawab pengelola. Menurut Anda, apa tantangan terbesar dalam menjaga keamanan server website? Bagikan pendapat Anda mengenai langkah perlindungan server yang efektif.