Dua Celah Kritis PHP Terungkap, Pembaruan Keamanan Mendesak bagi Pengelola Website

Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.

Dua Kerentanan Kritis PHP Menjadi Ancaman bagi Keamanan Website

Komunitas pengembang inti PHP mengumumkan dua kelemahan serius pada komponen inti PHP yang memungkinkan pengambilalihan proses tertentu dalam kondisi yang memenuhi syarat. Dua kelemahan keamanan ini tercatat menggunakan identitas CVE-2026-109618 dan CVE-2026-109619. Setiap kerentanan mendapatkan skor CVSS versi 4.0 sebesar 9,2. Skor keamanan tersebut menggambarkan potensi dampak keamanan yang tinggi. Tidak seperti kelemahan yang hanya memengaruhi satu aplikasi, permasalahan tersebut berkaitan dengan runtime PHP. Oleh sebab itu, sejumlah layanan berbasis PHP berpotensi terdampak.

Dalam pengembangan website, PHP menjadi bahasa pemrograman populer untuk aplikasi web. Banyak aplikasi berbasis web seperti WordPress, Drupal, dan Joomla mengandalkan PHP untuk menjalankan fungsinya. Mengingat tingkat adopsinya tinggi, kerentanan pada komponen inti memiliki dampak yang luas. Bahkan, plugin yang aman tidak otomatis melindungi runtime PHP yang rentan. Penyebab utamanya adalah masalah muncul dalam komponen yang menjalankan kode aplikasi. Untuk mengurangi kemungkinan serangan, pemeriksaan versi PHP menjadi prioritas utama.

Mengenal CVE-2026-109618 dan CVE-2026-109619

Celah keamanan dengan kode CVE-2026-109618 terjadi pada penanganan kondisi out-of-memory. Ketika permintaan mencapai keadaan tertentu, runtime berpotensi meninggalkan struktur data yang belum sepenuhnya diinisialisasi. Permasalahan memori tersebut dapat menyebabkan kerusakan memori. Ketika penyerang mampu memicu kelemahan tersebut, server berpotensi menjalankan instruksi yang tidak sah. Masalah ini terjadi pada lapisan yang lebih mendasar daripada logika website. Berdasarkan karakteristik tersebut, pembaruan aplikasi saja belum memberikan perlindungan menyeluruh.

Untuk CVE-2026-109619, kelemahan muncul akibat penggunaan kembali informasi memori yang sudah tidak valid. Pada kondisi pemrosesan khusus, data internal yang seharusnya dibersihkan dapat tetap tersimpan. Keadaan ini berhubungan dengan penggunaan memori setelah dibebaskan. Dalam skenario eksploitasi yang memungkinkan, server dapat menghadapi risiko eksekusi kode jarak jauh. Dua masalah keamanan tersebut melibatkan penanganan data internal yang tidak aman. Walaupun dampaknya serius, keberhasilan eksploitasi bergantung pada kondisi lingkungan. Pemasangan versi PHP yang telah diperbaiki tetap merupakan prioritas untuk mengurangi ancaman.

Daftar PHP yang Harus Segera Diperbarui oleh Administrator

Tim pengembang PHP telah menyediakan pembaruan pada 21 Oktober 2026 untuk memperbaiki kelemahan pada runtime. Pembaruan yang tersedia meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengguna PHP 8.5 sebaiknya memasang rilis 8.5.12 atau versi berikutnya yang telah diperbaiki. Pada seri PHP yang berbeda, instalasi PHP 8.2 membutuhkan pembaruan minimal ke 8.2.35 sesuai cabang versi yang digunakan. Perbaikan keamanan tersebut mengatasi celah eksekusi kode yang ditemukan. Karena ancamannya serius, pengelola website perlu menjadikan pembaruan sebagai prioritas.

Risiko meningkat bagi aplikasi berbasis cabang PHP usang. Versi PHP 8.1 dan sebelumnya sudah berada di luar periode dukungan keamanan utama. Artinya, administrator perlu mengganti cabang PHP yang sudah usang. Untuk perencanaan jangka panjang, PHP 8.2 dijadwalkan mencapai akhir masa dukungan pada 31 Desember 2026. Dengan mempertimbangkan jadwal tersebut, organisasi perlu menyusun rencana migrasi jangka panjang. Meski demikian, kompatibilitas aplikasi tetap harus diperiksa agar layanan tidak mengalami gangguan yang tidak diharapkan.

Cara Memeriksa Versi PHP pada Website WordPress

Apabila situs menggunakan CMS WordPress, pemeriksaan versi PHP dapat dilakukan melalui dashboard. Untuk memulai pemeriksaan, masuk ke halaman administrator WordPress. Kemudian, pilih menu Tools, kemudian pilih Kesehatan Situs. Pada bagian Info, buka informasi Server untuk mengetahui nomor rilis runtime PHP. Apabila instalasi belum menggunakan rilis yang diperbaiki, pemilik situs sebaiknya menyiapkan peningkatan versi. Langkah sederhana tersebut mempermudah prioritas pembaruan website.

Di luar dashboard CMS, pengelola dapat meninjau konfigurasi PHP dari control panel. Pada layanan cPanel, fitur pengelolaan versi PHP tersedia melalui MultiPHP Manager apabila layanan hosting mendukung pengaturan versi PHP. Untuk server yang dikelola sendiri, pemeriksaan dapat dilakukan melalui terminal. Pemeriksaan menggunakan php -v menampilkan versi PHP untuk command-line. Namun perlu diketahui, versi PHP untuk website bisa berbeda dari versi terminal. Karena itu, informasi PHP-FPM atau modul web server harus diverifikasi. Dengan begitu, server aktif benar-benar mendapatkan perbaikan.

Ancaman Remote Code Execution bagi Server yang Belum Diperbarui

Risiko utama dari kerentanan tersebut adalah potensi remote code execution oleh penyerang anonim. Dalam istilah keamanan siber, kondisi ini dikenal sebagai unauthenticated RCE. Ketika serangan memenuhi kondisi eksploitasi, sistem dapat mengalami kompromi. Konsekuensi keamanan yang berpotensi muncul dapat berupa perubahan data website. Pada website bisnis, dampaknya dapat memengaruhi operasional karena aplikasi menangani data pengguna dan transaksi. Walaupun dampak potensial sangat besar, indikasi kompromi tetap memerlukan pemeriksaan tersendiri.

Kerentanan ini tidak hanya relevan untuk WordPress karena komponen yang rentan digunakan berbagai aplikasi. Aplikasi Joomla serta layanan digital berbasis PHP lainnya berpotensi terdampak apabila menjalankan versi rentan. Dalam penggunaan infrastruktur hosting, sejumlah konfigurasi pemrosesan PHP yang berbeda perlu mendapatkan perhatian pembaruan. Dalam informasi keamanan resmi, pengembang PHP menekankan tingkat bahaya khusus untuk Apache mod_php karena serangan dapat dipicu sebelum logika website diproses. Untuk mengurangi kemungkinan eksploitasi, administrator perlu menangani masalah pada tingkat server.

Strategi Mitigasi Risiko setelah Pengungkapan Kerentanan PHP

Langkah utama yang direkomendasikan adalah memasang pembaruan PHP yang sudah memperbaiki kedua celah. Menjelang proses peningkatan versi, tim teknis dianjurkan menyimpan salinan konfigurasi dan aplikasi. Salinan data tersebut berguna ketika kompatibilitas aplikasi bermasalah. Setelah persiapan selesai, gunakan paket PHP dari penyedia sistem operasi atau hosting. Apabila website berada pada hosting terkelola, minta konfirmasi mengenai versi PHP aktif. Ketika instalasi selesai, periksa kembali runtime yang melayani permintaan web. Pengujian fungsi website juga penting untuk memastikan layanan tetap berjalan.

Jika patch tidak dapat segera dipasang, organisasi sebaiknya melakukan mitigasi risiko tambahan. Pemanfaatan firewall aplikasi web dapat membantu menyaring sebagian permintaan mencurigakan, tetapi tidak dapat dianggap menutup seluruh kelemahan. Untuk sistem dengan risiko tinggi, pembatasan akses jaringan perlu dipertimbangkan sampai patch selesai dipasang dan diverifikasi. Untuk meningkatkan pengawasan, tim keamanan perlu meninjau aktivitas mencurigakan. Langkah investigasi ini membantu menemukan kemungkinan aktivitas tidak wajar. Walaupun langkah tambahan bermanfaat, patch resmi merupakan solusi utama.

Penutup: Pentingnya Memperbarui PHP untuk Mencegah Serangan

Ditemukannya CVE-2026-109618 dan CVE-2026-109619 menunjukkan perlunya pemeliharaan sistem secara berkelanjutan. Kedua celah tersebut tergolong kritis dengan penilaian 9,2 dan dapat membuka peluang pengambilalihan proses dari jarak jauh. Rilis keamanan terbaru untuk cabang PHP yang masih didukung harus diprioritaskan oleh administrator. Selain memasang patch, pemeriksaan log dan validasi server memperkuat proses pemeliharaan website. Seiring meningkatnya kompleksitas TEKNOLOGI website, pembaruan rutin menjadi bagian penting dari tanggung jawab pengelola. Bagaimana pengalaman Anda melakukan pembaruan keamanan PHP? Silakan bagikan pengalaman Anda mengenai pembaruan PHP.