Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Dua Kerentanan Kritis PHP Menjadi Ancaman bagi Keamanan Website
Komunitas pengembang inti PHP merilis informasi mengenai dua kelemahan serius pada komponen inti PHP yang berpotensi memungkinkan penyerang menjalankan kode dari jarak jauh. Permasalahan yang ditemukan tersebut didaftarkan dengan kode CVE-2026-109618 dan CVE-2026-109619. Masing-masing memperoleh nilai keparahan 9,2 dalam sistem CVSS terbaru. Angka tersebut menempatkan keduanya dalam kategori kritis. Berbeda dari masalah pada plugin tertentu, permasalahan tersebut berkaitan dengan runtime PHP. Akibatnya, banyak sistem yang menggunakan PHP perlu diperiksa.
PHP merupakan salah satu teknologi server yang banyak digunakan. Berbagai platform seperti WordPress, Drupal, dan Joomla menggunakan PHP sebagai bagian dari pemrosesan server. Karena penggunaannya luas, masalah keamanan runtime perlu mendapatkan perhatian serius. Selain itu, website dengan aplikasi yang sudah diperbarui tetap dapat berisiko. Penyebab utamanya adalah kelemahan berada pada lapisan pemrosesan PHP. Oleh karena itu, pemeriksaan versi PHP menjadi prioritas utama.
Mengenal CVE-2026-109618 dan CVE-2026-109619
Kerentanan pertama terjadi pada penanganan kondisi out-of-memory. Ketika permintaan mencapai keadaan tertentu, runtime berpotensi meninggalkan struktur data yang belum sepenuhnya diinisialisasi. Kondisi tersebut memungkinkan terjadinya memory corruption. Jika kondisi eksploitasi terpenuhi, proses PHP dapat mengalami pengambilalihan dalam kondisi tertentu. Kerentanan tersebut berasal dari pemrosesan internal PHP. Berdasarkan karakteristik tersebut, perbaikan tema website tidak menyelesaikan akar masalah.
Untuk CVE-2026-109619, gangguan terjadi pada pengelolaan keadaan global antarpermintaan. Pada kondisi pemrosesan khusus, data internal yang seharusnya dibersihkan dapat tetap tersimpan. Situasi tersebut termasuk permasalahan stale state pada runtime. Jika kelemahan tersebut berhasil dipicu, informasi sensitif dari memori berpotensi terekspos. Kedua kerentanan melibatkan penanganan data internal yang tidak aman. Namun perlu diperhatikan, tidak setiap server pasti telah diserang. Pemasangan versi PHP yang telah diperbaiki tetap menjadi langkah perlindungan paling penting.
Versi PHP yang Terdampak dan Pembaruan Keamanan Resmi
Proyek resmi PHP menghadirkan patch keamanan pada 21 Oktober 2026 untuk mengatasi masalah manajemen memori tersebut. Rilis keamanan yang direkomendasikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengguna PHP 8.5 perlu memperbarui instalasi minimal ke 8.5.12. Untuk cabang lainnya, instalasi PHP 8.2 membutuhkan pembaruan minimal ke 8.2.35 sesuai konfigurasi runtime masing-masing. Rilis patch terbaru mengurangi risiko eksploitasi pada komponen inti PHP. Mengingat tingkat keparahannya tinggi, pemasangan patch tidak sebaiknya ditunda.
Perhatian tambahan diperlukan bagi website dengan instalasi PHP yang sudah tidak didukung. Rilis PHP sebelum seri 8.2 tidak lagi menerima perbaikan keamanan resmi dari proyek PHP. Dengan kata lain, administrator perlu mengganti cabang PHP yang sudah usang. Untuk perencanaan jangka panjang, PHP 8.2 memiliki batas dukungan keamanan hingga akhir tahun 2026. Dengan mempertimbangkan jadwal tersebut, pembaruan ke cabang PHP yang lebih baru sebaiknya dipersiapkan. Meski demikian, pengujian plugin serta tema menjadi langkah penting agar proses migrasi berlangsung dengan risiko operasional minimal.
Panduan Mengecek Kerentanan PHP Sebelum Memperbarui Website
Bagi pengguna WordPress, pemeriksaan versi PHP dapat dilakukan melalui dashboard. Langkah pertama, akses panel administrasi situs. Setelah berhasil masuk, pilih menu Tools, kemudian buka halaman Site Health. Melalui halaman Info, temukan kategori Server untuk melihat versi PHP yang digunakan. Apabila instalasi belum menggunakan rilis yang diperbaiki, pengelola perlu segera melakukan pembaruan. Pemeriksaan ini memberikan gambaran kondisi keamanan server.
Di luar dashboard CMS, pengelola dapat meninjau konfigurasi PHP dari control panel. Jika menggunakan cPanel, menu MultiPHP Manager dapat digunakan apabila layanan hosting mendukung pengaturan versi PHP. Sementara itu, versi PHP bisa diketahui menggunakan perintah sistem. Perintah php -v memberikan detail instalasi PHP yang dipanggil terminal. Namun perlu diketahui, konfigurasi aplikasi web mungkin menggunakan instalasi PHP yang berbeda. Untuk pemeriksaan yang tepat, pastikan versi PHP pada web server juga diperiksa. Melalui pemeriksaan menyeluruh, risiko salah mengidentifikasi lingkungan PHP dapat dikurangi.
Risiko Serangan Siber akibat Dua Celah Keamanan PHP
Risiko utama dari kerentanan tersebut adalah potensi remote code execution oleh penyerang anonim. Dalam istilah keamanan siber, kelemahan semacam ini memungkinkan eksekusi kode tanpa autentikasi. Ketika serangan memenuhi kondisi eksploitasi, server berpotensi kehilangan integritas. Konsekuensi keamanan yang berpotensi muncul mencakup akses terhadap informasi sensitif. Dalam lingkungan perdagangan elektronik, dampaknya dapat memengaruhi operasional karena sistem terhubung dengan layanan bisnis yang bernilai. Meski demikian, server yang belum diperbarui tidak otomatis sudah diretas.
Ancaman keamanan tersebut melampaui satu platform CMS karena beragam sistem web memanfaatkan mesin PHP yang sama. Aplikasi Joomla serta aplikasi PHP buatan sendiri perlu diperiksa jika menggunakan runtime yang belum diperbaiki. Selain itu, PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed tidak sebaiknya dianggap aman tanpa pemeriksaan. Tim keamanan PHP menyoroti risiko yang sangat tinggi pada konfigurasi mod_php karena eksploitasi telah didemonstrasikan sebelum kode aplikasi berjalan. Karena itu, patch keamanan harus diprioritaskan.
Langkah Mendesak Mengamankan Website dari Celah PHP
Langkah utama yang direkomendasikan adalah menggunakan runtime PHP dengan patch resmi. Untuk mempersiapkan perubahan server, tim teknis dianjurkan menyimpan salinan konfigurasi dan aplikasi. Cadangan tersebut memberikan pilihan pemulihan saat pembaruan menimbulkan kendala. Setelah persiapan selesai, gunakan paket PHP dari penyedia sistem operasi atau hosting. Untuk pengguna penyedia hosting yang mengatur PHP, periksa pemberitahuan keamanan dari perusahaan hosting. Setelah pembaruan, periksa kembali runtime yang melayani permintaan web. Pengujian fungsi website juga perlu dilakukan secara menyeluruh.
Ketika lingkungan produksi membutuhkan waktu untuk diperbarui, pengelola server harus mempertimbangkan perlindungan darurat. Pemanfaatan firewall aplikasi web dapat membantu menyaring sebagian permintaan mencurigakan, tetapi tidak dapat dianggap menutup seluruh kelemahan. Untuk sistem dengan risiko tinggi, penonaktifan layanan untuk sementara mungkin diperlukan sampai server berhasil menggunakan versi aman. Sebagai tindakan pendukung, tim keamanan perlu meninjau aktivitas mencurigakan. Pemeriksaan tersebut mendukung identifikasi indikasi kompromi. Namun demikian, penggunaan versi yang telah diperbaiki harus tetap diprioritaskan.
Kesimpulan tentang Dua Celah Kritis PHP dan Keamanan Website
Pengungkapan dua kerentanan kritis PHP menunjukkan perlunya pemeliharaan sistem secara berkelanjutan. Kerentanan pada runtime PHP tersebut tergolong kritis dengan penilaian 9,2 dan dapat membuka peluang pengambilalihan proses dari jarak jauh. Pembaruan PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 menjadi langkah utama untuk menutup kelemahan tersebut. Sebagai bagian dari perlindungan menyeluruh, pembuatan backup serta evaluasi konfigurasi mendukung pengelolaan risiko yang lebih baik. Dalam perkembangan TEKNOLOGI keamanan siber, pembaruan rutin menjadi bagian penting dari tanggung jawab pengelola. Bagaimana pengalaman Anda melakukan pembaruan keamanan PHP? Silakan bagikan pengalaman Anda mengenai pembaruan PHP.
