Dua Celah Kritis PHP Terungkap, Pembaruan Keamanan Mendesak bagi Pengelola Website

Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.

Peringatan Keamanan PHP dan Risiko Serangan terhadap Server Website

Pengelola proyek bahasa pemrograman PHP merilis informasi mengenai sepasang celah berbahaya dalam sistem PHP yang memungkinkan pengambilalihan proses tertentu dalam kondisi yang memenuhi syarat. Permasalahan yang ditemukan tersebut didaftarkan dengan kode CVE-2026-109618 dan CVE-2026-109619. Setiap kerentanan mendapatkan skor CVSS versi 4.0 sebesar 9,2. Skor keamanan tersebut menempatkan keduanya dalam kategori kritis. Berbeda dari masalah pada plugin tertentu, kelemahan ini berada dalam mesin pemrosesan PHP. Oleh sebab itu, sejumlah layanan berbasis PHP berpotensi terdampak.

Dalam pengembangan website, PHP menjadi salah satu teknologi server yang banyak digunakan. Banyak aplikasi berbasis web seperti WordPress, Drupal, dan Joomla menggunakan PHP sebagai bagian dari pemrosesan server. Dengan banyaknya sistem yang memanfaatkan PHP, kelemahan tersebut berpotensi memengaruhi berbagai jenis website. Dalam kondisi tertentu, pembaruan CMS saja belum tentu menghilangkan ancaman. Penyebab utamanya adalah kerentanan terjadi pada mesin PHP sebelum sebagian logika aplikasi diproses. Untuk mengurangi kemungkinan serangan, administrator website harus memastikan runtime memperoleh perbaikan keamanan.

Mengenal CVE-2026-109618 dan CVE-2026-109619

Permasalahan pertama yang diungkap melibatkan kesalahan pemrosesan saat batas memori tercapai. Dalam kondisi tertentu, runtime berpotensi meninggalkan struktur data yang belum sepenuhnya diinisialisasi. Kesalahan pengelolaan ini memungkinkan terjadinya memory corruption. Apabila berhasil dimanfaatkan, server berpotensi menjalankan instruksi yang tidak sah. Kerentanan tersebut terjadi pada lapisan yang lebih mendasar daripada logika website. Berdasarkan karakteristik tersebut, pengelola tidak cukup hanya memperbarui plugin.

Untuk CVE-2026-109619, permasalahan berkaitan dengan status internal yang tertinggal. Dalam proses tertentu, informasi lama dapat digunakan kembali secara tidak semestinya. Situasi tersebut dapat melibatkan referensi terhadap data yang sudah tidak berlaku. Dalam skenario eksploitasi yang memungkinkan, server dapat menghadapi risiko eksekusi kode jarak jauh. Sepasang kelemahan PHP ini berkaitan dengan kesalahan manajemen memori. Walaupun dampaknya serius, keberhasilan eksploitasi bergantung pada kondisi lingkungan. Penerapan patch keamanan terbaru tetap harus dilakukan sesegera mungkin.

Rilis Patch PHP untuk Menutup Dua Kerentanan Kritis

Pengelola keamanan PHP menghadirkan patch keamanan pada 21 Oktober 2026 untuk menutup kedua kerentanan kritis. Rilis keamanan yang direkomendasikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengelola server berbasis PHP 8.5 perlu memperbarui instalasi minimal ke 8.5.12. Pada seri PHP yang berbeda, pengguna PHP 8.3 perlu menggunakan minimal 8.3.36 sesuai cabang versi yang digunakan. Pembaruan ini mengatasi celah eksekusi kode yang ditemukan. Mengingat tingkat keparahannya tinggi, pengelola website perlu menjadikan pembaruan sebagai prioritas.

Risiko meningkat bagi server yang menggunakan PHP versi lama. Cabang PHP 8.1 beserta versi yang lebih tua tidak memperoleh patch baru melalui siklus rilis resmi PHP. Dalam praktik pengelolaan server, pengelola website harus meningkatkan runtime ke versi yang didukung. Selain itu, PHP 8.2 akan memasuki status end-of-life pada penghujung Desember 2026. Karena itu, pengelola website dianjurkan mempertimbangkan penggunaan seri PHP dengan masa dukungan lebih panjang. Namun dalam pelaksanaannya, pengujian plugin serta tema menjadi langkah penting agar layanan tidak mengalami gangguan yang tidak diharapkan.

Cara Memeriksa Versi PHP pada Website WordPress

Bagi pengguna WordPress, pemeriksaan versi PHP dapat dilakukan melalui dashboard. Pada tahap awal, akses panel administrasi situs. Selanjutnya, buka bagian Peralatan, kemudian pilih Kesehatan Situs. Dalam tab Informasi, buka informasi Server untuk memeriksa informasi konfigurasi PHP. Apabila instalasi belum menggunakan rilis yang diperbaiki, administrator harus menghubungi penyedia hosting. Proses identifikasi awal ini memberikan gambaran kondisi keamanan server.

Selain melalui WordPress, versi PHP dapat diperiksa melalui panel hosting. Dalam lingkungan hosting berbasis cPanel, menu MultiPHP Manager dapat digunakan apabila layanan hosting mendukung pengaturan versi PHP. Untuk server yang dikelola sendiri, administrator dapat memeriksa konfigurasi runtime. Pemeriksaan menggunakan php -v memberikan detail instalasi PHP yang dipanggil terminal. Meskipun perintah tersebut berguna, versi PHP untuk website bisa berbeda dari versi terminal. Sebagai langkah validasi, informasi PHP-FPM atau modul web server harus diverifikasi. Dengan begitu, server aktif benar-benar mendapatkan perbaikan.

Dampak Kerentanan PHP terhadap WordPress dan Website Bisnis

Ancaman terbesar yang perlu diperhatikan adalah kemungkinan eksekusi kode jarak jauh tanpa autentikasi. Pada bidang perlindungan sistem, kondisi ini dikenal sebagai unauthenticated RCE. Jika penyerang mampu memanfaatkan celah, server berpotensi kehilangan integritas. Dampaknya dapat berupa perubahan data website. Dalam lingkungan perdagangan elektronik, ancamannya perlu ditangani dengan serius karena aplikasi menangani data pengguna dan transaksi. Walaupun dampak potensial sangat besar, keberadaan versi rentan bukan bukti bahwa serangan telah terjadi.

Ancaman keamanan tersebut melampaui satu platform CMS karena beragam sistem web memanfaatkan mesin PHP yang sama. Aplikasi Joomla serta platform web khusus perusahaan berpotensi terdampak apabila menjalankan versi rentan. Selain itu, sejumlah konfigurasi pemrosesan PHP yang berbeda tidak sebaiknya dianggap aman tanpa pemeriksaan. Peringatan pengembang menyebutkan perhatian utama terhadap lingkungan mod_php karena eksploitasi telah didemonstrasikan sebelum kode aplikasi berjalan. Karena itu, pembaruan runtime menjadi tindakan utama.

Strategi Mitigasi Risiko setelah Pengungkapan Kerentanan PHP

Tindakan paling penting adalah meningkatkan instalasi ke versi keamanan terbaru. Menjelang proses peningkatan versi, administrator sebaiknya membuat cadangan website. File backup yang tersedia berguna ketika kompatibilitas aplikasi bermasalah. Selanjutnya, pasang versi runtime yang telah diperbaiki menggunakan prosedur terpercaya. Apabila website berada pada hosting terkelola, hubungi dukungan teknis untuk memastikan patch telah diterapkan. Sesudah patch diterapkan, validasi bahwa proses server telah menjalankan PHP yang diperbaiki. Pemeriksaan halaman dan fitur penting juga penting untuk memastikan layanan tetap berjalan.

Apabila pembaruan belum memungkinkan, organisasi sebaiknya melakukan mitigasi risiko tambahan. Penerapan aturan WAF dapat membantu menyaring sebagian permintaan mencurigakan, tetapi tidak dapat dianggap menutup seluruh kelemahan. Pada server yang terbuka langsung ke internet, pembatasan akses jaringan perlu dipertimbangkan sampai patch selesai dipasang dan diverifikasi. Sebagai tindakan pendukung, administrator dianjurkan memeriksa log server. Evaluasi keamanan tersebut membantu menemukan kemungkinan aktivitas tidak wajar. Walaupun langkah tambahan bermanfaat, patch resmi merupakan solusi utama.

Penutup: Pentingnya Memperbarui PHP untuk Mencegah Serangan

Pengungkapan dua kerentanan kritis PHP menjadi pengingat penting bagi pengelola website. Kedua celah tersebut memiliki skor CVSS 9,2 dan dapat membuka peluang pengambilalihan proses dari jarak jauh. Versi PHP yang telah memperoleh perbaikan resmi menjadi langkah utama untuk menutup kelemahan tersebut. Selain memasang patch, pembuatan backup serta evaluasi konfigurasi memperkuat proses pemeliharaan website. Di tengah kebutuhan perlindungan TEKNOLOGI digital, keamanan runtime tidak boleh diabaikan. Bagaimana pengalaman Anda melakukan pembaruan keamanan PHP? Mari sampaikan pandangan tentang pentingnya keamanan website.