Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Peringatan Keamanan PHP dan Risiko Serangan terhadap Server Website
Pengelola proyek bahasa pemrograman PHP mengumumkan dua kerentanan keamanan dengan tingkat keparahan kritis yang dapat membuka peluang eksekusi perintah berbahaya pada server. Dua kelemahan keamanan ini tercatat menggunakan identitas CVE-2026-109618 dan CVE-2026-109619. Setiap kerentanan mendapatkan nilai keparahan 9,2 dalam sistem CVSS terbaru. Skor keamanan tersebut menempatkan keduanya dalam kategori kritis. Tidak seperti kelemahan yang hanya memengaruhi satu aplikasi, kedua celah ditemukan pada komponen inti PHP. Akibatnya, sejumlah layanan berbasis PHP berpotensi terdampak.
Dalam pengembangan website, PHP menjadi bahasa pemrograman populer untuk aplikasi web. Berbagai platform seperti WordPress, Drupal, dan Joomla memanfaatkan bahasa tersebut untuk menghasilkan halaman dinamis. Karena penggunaannya luas, kerentanan pada komponen inti memiliki dampak yang luas. Bahkan, website dengan aplikasi yang sudah diperbarui tetap dapat berisiko. Hal ini terjadi karena kelemahan berada pada lapisan pemrosesan PHP. Dengan mempertimbangkan situasi tersebut, pemeriksaan versi PHP menjadi prioritas utama.
Mengenal CVE-2026-109618 dan CVE-2026-109619
Permasalahan pertama yang diungkap melibatkan kesalahan pemrosesan saat batas memori tercapai. Pada situasi pemrosesan khusus, sistem dapat memperlakukan informasi internal yang tidak lengkap secara keliru. Kondisi tersebut memungkinkan terjadinya memory corruption. Ketika penyerang mampu memicu kelemahan tersebut, proses PHP dapat mengalami pengambilalihan dalam kondisi tertentu. Kelemahan pertama ini berasal dari pemrosesan internal PHP. Karena itu, perbaikan tema website tidak menyelesaikan akar masalah.
Pada kerentanan kedua, kelemahan muncul akibat penggunaan kembali informasi memori yang sudah tidak valid. Ketika PHP menangani rangkaian permintaan, status dari permintaan sebelumnya berpotensi bertahan. Keadaan ini berhubungan dengan penggunaan memori setelah dibebaskan. Apabila dimanfaatkan penyerang, server dapat menghadapi risiko eksekusi kode jarak jauh. Dua masalah keamanan tersebut muncul dari mekanisme pengelolaan keadaan pemrosesan. Walaupun dampaknya serius, keberhasilan eksploitasi bergantung pada kondisi lingkungan. Penerapan patch keamanan terbaru tetap harus dilakukan sesegera mungkin.
Versi PHP yang Terdampak dan Pembaruan Keamanan Resmi
Tim pengembang PHP merilis versi perbaikan pada 21 Oktober 2026 untuk mengatasi masalah manajemen memori tersebut. Pembaruan yang tersedia meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengguna PHP 8.5 perlu memperbarui instalasi minimal ke 8.5.12. Untuk cabang lainnya, versi 8.4 harus diperbarui minimal ke 8.4.27 sesuai konfigurasi runtime masing-masing. Perbaikan keamanan tersebut mengurangi risiko eksploitasi pada komponen inti PHP. Karena ancamannya serius, pengelola website perlu menjadikan pembaruan sebagai prioritas.
Perhatian tambahan diperlukan bagi aplikasi berbasis cabang PHP usang. Versi PHP 8.1 dan sebelumnya sudah berada di luar periode dukungan keamanan utama. Artinya, pengelola website harus meningkatkan runtime ke versi yang didukung. Selain itu, PHP 8.2 memiliki batas dukungan keamanan hingga akhir tahun 2026. Dengan mempertimbangkan jadwal tersebut, organisasi perlu menyusun rencana migrasi jangka panjang. Walaupun pembaruan sangat diperlukan, perubahan versi perlu disertai evaluasi perangkat lunak agar proses migrasi berlangsung dengan risiko operasional minimal.
Langkah Mengetahui PHP yang Digunakan Server Hosting
Apabila situs menggunakan CMS WordPress, pemeriksaan versi PHP dapat dilakukan melalui dashboard. Langkah pertama, akses panel administrasi situs. Selanjutnya, akses menu pengelolaan Tools, kemudian pilih Kesehatan Situs. Pada bagian Info, buka informasi Server untuk memeriksa informasi konfigurasi PHP. Jika hasilnya menunjukkan versi rentan, pengelola perlu segera melakukan pembaruan. Pemeriksaan ini mempermudah prioritas pembaruan website.
Untuk pengguna layanan hosting, informasi runtime biasanya tersedia dalam pengaturan server. Dalam lingkungan hosting berbasis cPanel, pengguna dapat memeriksa PHP melalui halaman MultiPHP Manager apabila administrator server menyediakan akses tersebut. Dalam penggunaan VPS atau dedicated server, administrator dapat memeriksa konfigurasi runtime. Instruksi terminal php -v memperlihatkan informasi PHP pada lingkungan CLI. Walaupun informasi CLI dapat diperoleh, runtime PHP-FPM tidak selalu identik dengan PHP CLI. Untuk pemeriksaan yang tepat, administrator perlu mengidentifikasi runtime yang benar-benar melayani website. Berkat validasi tersebut, pembaruan tidak hanya dilakukan pada instalasi yang tidak digunakan website.
Risiko Serangan Siber akibat Dua Celah Keamanan PHP
Ancaman terbesar yang perlu diperhatikan adalah kemungkinan eksekusi kode jarak jauh tanpa autentikasi. Pada bidang perlindungan sistem, serangan tersebut termasuk kategori remote code execution tanpa login. Apabila berhasil dieksploitasi, proses yang rentan dapat dikuasai. Akibat yang mungkin terjadi dapat berupa perubahan data website. Pada website bisnis, dampaknya dapat memengaruhi operasional karena aplikasi menangani data pengguna dan transaksi. Namun perlu ditegaskan, server yang belum diperbarui tidak otomatis sudah diretas.
Ancaman keamanan tersebut melampaui satu platform CMS karena masalahnya berada pada runtime PHP. Website Drupal serta layanan digital berbasis PHP lainnya berpotensi terdampak apabila menjalankan versi rentan. Selain itu, PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed harus dievaluasi sesuai versi yang digunakan. Peringatan pengembang menyebutkan perhatian utama terhadap lingkungan mod_php karena serangan dapat dipicu sebelum logika website diproses. Untuk mengurangi kemungkinan eksploitasi, administrator perlu menangani masalah pada tingkat server.
Langkah Mendesak Mengamankan Website dari Celah PHP
Prioritas pertama bagi pengelola website adalah memasang pembaruan PHP yang sudah memperbaiki kedua celah. Untuk mempersiapkan perubahan server, pengelola perlu menyiapkan backup data. File backup yang tersedia berguna ketika kompatibilitas aplikasi bermasalah. Pada tahap implementasi, gunakan paket PHP dari penyedia sistem operasi atau hosting. Untuk pengguna penyedia hosting yang mengatur PHP, minta konfirmasi mengenai versi PHP aktif. Ketika instalasi selesai, validasi bahwa proses server telah menjalankan PHP yang diperbaiki. Validasi aplikasi setelah peningkatan versi juga penting untuk memastikan layanan tetap berjalan.
Apabila pembaruan belum memungkinkan, administrator perlu menerapkan tindakan pembatasan sementara. Pemanfaatan firewall aplikasi web dapat membantu menyaring sebagian permintaan mencurigakan, tetapi bukan pengganti pembaruan PHP. Jika aplikasi penting belum dapat diperbaiki, pembatasan akses jaringan perlu dipertimbangkan sampai perbaikan keamanan dapat diterapkan. Selain itu, pengelola dapat mengevaluasi catatan permintaan dan kesalahan sistem. Evaluasi keamanan tersebut membantu menemukan kemungkinan aktivitas tidak wajar. Meski beberapa mitigasi tersedia, penggunaan versi yang telah diperbaiki harus tetap diprioritaskan.
Rangkuman Ancaman PHP dan Langkah Perlindungan Website
Ditemukannya CVE-2026-109618 dan CVE-2026-109619 menegaskan pentingnya pembaruan perangkat lunak server. Kerentanan pada runtime PHP tersebut memiliki skor CVSS 9,2 dan dapat membuka peluang pengambilalihan proses dari jarak jauh. Versi PHP yang telah memperoleh perbaikan resmi perlu segera diterapkan. Selain memasang patch, pengujian aplikasi dan pengawasan aktivitas membantu menjaga keamanan operasional. Dalam perkembangan TEKNOLOGI keamanan siber, pengawasan infrastruktur harus dilakukan secara konsisten. Apakah website Anda sudah menggunakan PHP versi terbaru? Mari sampaikan pandangan tentang pentingnya keamanan website.
