Dua Celah Kritis PHP Terungkap, Pembaruan Keamanan Mendesak bagi Pengelola Website

Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.

Peringatan Keamanan PHP dan Risiko Serangan terhadap Server Website

Tim pengembang PHP mengungkapkan sepasang celah berbahaya dalam sistem PHP yang dapat membuka peluang eksekusi perintah berbahaya pada server. Dua kelemahan keamanan ini diidentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619. Setiap kerentanan mendapatkan penilaian tingkat bahaya 9,2 berdasarkan CVSS 4.0. Skor keamanan tersebut menempatkan keduanya dalam kategori kritis. Tidak seperti kelemahan yang hanya memengaruhi satu aplikasi, kedua celah ditemukan pada komponen inti PHP. Dengan kondisi tersebut, sejumlah layanan berbasis PHP berpotensi terdampak.

Dalam pengembangan website, PHP menjadi komponen penting dalam berbagai layanan internet. Sejumlah sistem manajemen konten seperti WordPress, Drupal, dan Joomla memanfaatkan bahasa tersebut untuk menghasilkan halaman dinamis. Mengingat tingkat adopsinya tinggi, kelemahan tersebut berpotensi memengaruhi berbagai jenis website. Bahkan, plugin yang aman tidak otomatis melindungi runtime PHP yang rentan. Penyebab utamanya adalah kelemahan berada pada lapisan pemrosesan PHP. Untuk mengurangi kemungkinan serangan, pemeriksaan versi PHP menjadi prioritas utama.

Penjelasan Teknis Kerentanan Kritis pada Runtime PHP

Permasalahan pertama yang diungkap berkaitan dengan pengelolaan memori ketika sumber daya habis. Ketika permintaan mencapai keadaan tertentu, runtime berpotensi meninggalkan struktur data yang belum sepenuhnya diinisialisasi. Kesalahan pengelolaan ini memungkinkan terjadinya memory corruption. Ketika penyerang mampu memicu kelemahan tersebut, server berpotensi menjalankan instruksi yang tidak sah. Kerentanan tersebut berasal dari pemrosesan internal PHP. Dengan demikian, pembaruan aplikasi saja belum memberikan perlindungan menyeluruh.

Sementara itu, kelemahan muncul akibat penggunaan kembali informasi memori yang sudah tidak valid. Pada kondisi pemrosesan khusus, data internal yang seharusnya dibersihkan dapat tetap tersimpan. Situasi tersebut dapat melibatkan referensi terhadap data yang sudah tidak berlaku. Apabila dimanfaatkan penyerang, informasi sensitif dari memori berpotensi terekspos. Kedua kerentanan melibatkan penanganan data internal yang tidak aman. Walaupun dampaknya serius, tidak setiap server pasti telah diserang. Pemasangan versi PHP yang telah diperbaiki tetap menjadi langkah perlindungan paling penting.

Daftar PHP yang Harus Segera Diperbarui oleh Administrator

Pengelola keamanan PHP merilis versi perbaikan pada 21 Oktober 2026 untuk mengatasi masalah manajemen memori tersebut. Pembaruan yang tersedia meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengguna PHP 8.5 perlu memperbarui instalasi minimal ke 8.5.12. Untuk cabang lainnya, instalasi PHP 8.2 membutuhkan pembaruan minimal ke 8.2.35 sesuai lingkungan server yang sedang berjalan. Pembaruan ini mengurangi risiko eksploitasi pada komponen inti PHP. Dengan mempertimbangkan potensi serangan, pengelola website perlu menjadikan pembaruan sebagai prioritas.

Permasalahan menjadi lebih penting bagi server yang menggunakan PHP versi lama. Cabang PHP 8.1 beserta versi yang lebih tua sudah berada di luar periode dukungan keamanan utama. Dengan kata lain, pengelola website harus meningkatkan runtime ke versi yang didukung. Selain itu, PHP 8.2 dijadwalkan mencapai akhir masa dukungan pada 31 Desember 2026. Dengan mempertimbangkan jadwal tersebut, organisasi perlu menyusun rencana migrasi jangka panjang. Namun dalam pelaksanaannya, pengujian plugin serta tema menjadi langkah penting agar website tetap berfungsi setelah pembaruan.

Langkah Mengetahui PHP yang Digunakan Server Hosting

Bagi pengguna WordPress, informasi runtime tersedia pada halaman administrasi. Pada tahap awal, akses panel administrasi situs. Kemudian, akses menu pengelolaan Tools, kemudian buka halaman Site Health. Dalam tab Informasi, temukan kategori Server untuk memeriksa informasi konfigurasi PHP. Jika hasilnya menunjukkan versi rentan, pemilik situs sebaiknya menyiapkan peningkatan versi. Pemeriksaan ini membantu menentukan tindakan yang diperlukan.

Di luar dashboard CMS, informasi runtime biasanya tersedia dalam pengaturan server. Dalam lingkungan hosting berbasis cPanel, fitur pengelolaan versi PHP tersedia melalui MultiPHP Manager apabila layanan hosting mendukung pengaturan versi PHP. Dalam penggunaan VPS atau dedicated server, versi PHP bisa diketahui menggunakan perintah sistem. Instruksi terminal php -v memberikan detail instalasi PHP yang dipanggil terminal. Walaupun informasi CLI dapat diperoleh, konfigurasi aplikasi web mungkin menggunakan instalasi PHP yang berbeda. Karena itu, informasi PHP-FPM atau modul web server harus diverifikasi. Berkat validasi tersebut, risiko salah mengidentifikasi lingkungan PHP dapat dikurangi.

Ancaman Remote Code Execution bagi Server yang Belum Diperbarui

Dampak paling serius adalah kemungkinan eksekusi kode jarak jauh tanpa autentikasi. Dalam istilah keamanan siber, kondisi ini dikenal sebagai unauthenticated RCE. Jika penyerang mampu memanfaatkan celah, server berpotensi kehilangan integritas. Dampaknya mencakup akses terhadap informasi sensitif. Untuk aplikasi yang mengelola pelanggan, risiko tersebut menjadi perhatian penting karena server sering menyimpan atau mengakses informasi penting. Walaupun dampak potensial sangat besar, server yang belum diperbarui tidak otomatis sudah diretas.

Ancaman keamanan tersebut melampaui satu platform CMS karena beragam sistem web memanfaatkan mesin PHP yang sama. Website Drupal serta platform web khusus perusahaan perlu diperiksa jika menggunakan runtime yang belum diperbaiki. Selain itu, PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed harus dievaluasi sesuai versi yang digunakan. Peringatan pengembang menyebutkan tingkat bahaya khusus untuk Apache mod_php karena eksploitasi telah didemonstrasikan sebelum kode aplikasi berjalan. Untuk mengurangi kemungkinan eksploitasi, pembaruan runtime menjadi tindakan utama.

Langkah Mendesak Mengamankan Website dari Celah PHP

Tindakan paling penting adalah meningkatkan instalasi ke versi keamanan terbaru. Sebelum melakukan pembaruan, tim teknis dianjurkan menyimpan salinan konfigurasi dan aplikasi. File backup yang tersedia berguna ketika kompatibilitas aplikasi bermasalah. Selanjutnya, pasang versi runtime yang telah diperbaiki menggunakan prosedur terpercaya. Apabila website berada pada hosting terkelola, periksa pemberitahuan keamanan dari perusahaan hosting. Ketika instalasi selesai, validasi bahwa proses server telah menjalankan PHP yang diperbaiki. Pengujian fungsi website juga penting untuk memastikan layanan tetap berjalan.

Ketika lingkungan produksi membutuhkan waktu untuk diperbarui, organisasi sebaiknya melakukan mitigasi risiko tambahan. Penerapan aturan WAF mendukung pembatasan trafik berbahaya tertentu, tetapi bukan pengganti pembaruan PHP. Pada server yang terbuka langsung ke internet, penonaktifan layanan untuk sementara mungkin diperlukan sampai patch selesai dipasang dan diverifikasi. Untuk meningkatkan pengawasan, tim keamanan perlu meninjau aktivitas mencurigakan. Pemeriksaan tersebut membantu menemukan kemungkinan aktivitas tidak wajar. Namun demikian, pembaruan PHP tetap menjadi tindakan paling efektif.

Rangkuman Ancaman PHP dan Langkah Perlindungan Website

Pengungkapan dua kerentanan kritis PHP menegaskan pentingnya pembaruan perangkat lunak server. Kerentanan pada runtime PHP tersebut memiliki skor CVSS 9,2 dan dapat membuka peluang pengambilalihan proses dari jarak jauh. Rilis keamanan terbaru untuk cabang PHP yang masih didukung harus diprioritaskan oleh administrator. Selain memasang patch, pemeriksaan log dan validasi server memperkuat proses pemeliharaan website. Di tengah kebutuhan perlindungan TEKNOLOGI digital, keamanan runtime tidak boleh diabaikan. Menurut Anda, apa tantangan terbesar dalam menjaga keamanan server website? Silakan bagikan pengalaman Anda mengenai pembaruan PHP.