Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Dua Kerentanan Kritis PHP Menjadi Ancaman bagi Keamanan Website
Tim pengembang PHP merilis informasi mengenai dua kelemahan serius pada komponen inti PHP yang memungkinkan pengambilalihan proses tertentu dalam kondisi yang memenuhi syarat. Kedua kerentanan tersebut diidentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619. Keduanya memiliki nilai keparahan 9,2 dalam sistem CVSS terbaru. Skor keamanan tersebut menunjukkan tingkat risiko yang sangat serius. Berbeda dari masalah pada plugin tertentu, kedua celah ditemukan pada komponen inti PHP. Dengan kondisi tersebut, sejumlah layanan berbasis PHP berpotensi terdampak.
Bahasa pemrograman PHP dikenal sebagai salah satu teknologi server yang banyak digunakan. Banyak aplikasi berbasis web seperti WordPress, Drupal, dan Joomla mengandalkan PHP untuk menjalankan fungsinya. Dengan banyaknya sistem yang memanfaatkan PHP, kerentanan pada komponen inti memiliki dampak yang luas. Selain itu, pembaruan CMS saja belum tentu menghilangkan ancaman. Kondisi tersebut berkaitan dengan kelemahan berada pada lapisan pemrosesan PHP. Untuk mengurangi kemungkinan serangan, administrator website harus memastikan runtime memperoleh perbaikan keamanan.
Bagaimana Dua Celah PHP Dapat Membahayakan Server?
Celah keamanan dengan kode CVE-2026-109618 terjadi pada penanganan kondisi out-of-memory. Pada situasi pemrosesan khusus, PHP dapat mengalami gangguan saat mengelola data internal. Permasalahan memori tersebut berpotensi mengganggu integritas proses. Ketika penyerang mampu memicu kelemahan tersebut, server berpotensi menjalankan instruksi yang tidak sah. Kerentanan tersebut tidak bergantung pada kesalahan penulisan kode aplikasi biasa. Berdasarkan karakteristik tersebut, pengelola tidak cukup hanya memperbarui plugin.
Sementara itu, gangguan terjadi pada pengelolaan keadaan global antarpermintaan. Ketika PHP menangani rangkaian permintaan, status dari permintaan sebelumnya berpotensi bertahan. Keadaan ini termasuk permasalahan stale state pada runtime. Apabila dimanfaatkan penyerang, proses PHP mungkin menjalankan instruksi tidak sah. Sepasang kelemahan PHP ini melibatkan penanganan data internal yang tidak aman. Meskipun demikian, keberhasilan eksploitasi bergantung pada kondisi lingkungan. Penerapan patch keamanan terbaru tetap merupakan prioritas untuk mengurangi ancaman.
Versi PHP yang Terdampak dan Pembaruan Keamanan Resmi
Tim pengembang PHP merilis versi perbaikan pada 21 Oktober 2026 untuk memperbaiki kelemahan pada runtime. Rilis keamanan yang direkomendasikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Administrator yang masih menjalankan cabang PHP 8.5 harus memastikan sistem tidak lagi menggunakan 8.5.11 atau rilis rentan sebelumnya. Sementara itu, versi 8.4 harus diperbarui minimal ke 8.4.27 sesuai lingkungan server yang sedang berjalan. Pembaruan ini mengurangi risiko eksploitasi pada komponen inti PHP. Dengan mempertimbangkan potensi serangan, pengelola website perlu menjadikan pembaruan sebagai prioritas.
Permasalahan menjadi lebih penting bagi website dengan instalasi PHP yang sudah tidak didukung. Versi PHP 8.1 dan sebelumnya sudah berada di luar periode dukungan keamanan utama. Dengan kata lain, pengguna versi tersebut perlu merencanakan migrasi. Sebagai informasi tambahan, PHP 8.2 akan memasuki status end-of-life pada penghujung Desember 2026. Dengan mempertimbangkan jadwal tersebut, pengelola website dianjurkan mempertimbangkan penggunaan seri PHP dengan masa dukungan lebih panjang. Meski demikian, pengujian plugin serta tema menjadi langkah penting agar layanan tidak mengalami gangguan yang tidak diharapkan.
Panduan Mengecek Kerentanan PHP Sebelum Memperbarui Website
Apabila situs menggunakan CMS WordPress, versi PHP bisa diketahui melalui fitur bawaan WordPress. Pada tahap awal, akses panel administrasi situs. Kemudian, buka bagian Peralatan, kemudian pilih Kesehatan Situs. Dalam tab Informasi, periksa detail lingkungan server untuk mengetahui nomor rilis runtime PHP. Ketika nomor PHP masih lebih rendah daripada versi aman, administrator harus menghubungi penyedia hosting. Langkah sederhana tersebut membantu menentukan tindakan yang diperlukan.
Untuk pengguna layanan hosting, pengelola dapat meninjau konfigurasi PHP dari control panel. Pada layanan cPanel, menu MultiPHP Manager dapat digunakan apabila administrator server menyediakan akses tersebut. Sementara itu, administrator dapat memeriksa konfigurasi runtime. Instruksi terminal php -v menampilkan versi PHP untuk command-line. Meskipun perintah tersebut berguna, konfigurasi aplikasi web mungkin menggunakan instalasi PHP yang berbeda. Sebagai langkah validasi, pastikan versi PHP pada web server juga diperiksa. Dengan begitu, server aktif benar-benar mendapatkan perbaikan.
Ancaman Remote Code Execution bagi Server yang Belum Diperbarui
Risiko utama dari kerentanan tersebut adalah kemungkinan eksekusi kode jarak jauh tanpa autentikasi. Dalam pengelolaan keamanan server, kondisi ini dikenal sebagai unauthenticated RCE. Jika penyerang mampu memanfaatkan celah, sistem dapat mengalami kompromi. Konsekuensi keamanan yang berpotensi muncul meliputi gangguan layanan serta penyalahgunaan sumber daya. Dalam lingkungan perdagangan elektronik, dampaknya dapat memengaruhi operasional karena server sering menyimpan atau mengakses informasi penting. Walaupun dampak potensial sangat besar, indikasi kompromi tetap memerlukan pemeriksaan tersendiri.
Ancaman keamanan tersebut melampaui satu platform CMS karena beragam sistem web memanfaatkan mesin PHP yang sama. Website Drupal serta layanan digital berbasis PHP lainnya memerlukan peninjauan keamanan pada lingkungan server. Untuk konfigurasi web server, berbagai mode integrasi PHP dengan web server harus dievaluasi sesuai versi yang digunakan. Peringatan pengembang menyebutkan risiko yang sangat tinggi pada konfigurasi mod_php karena eksploitasi telah didemonstrasikan sebelum kode aplikasi berjalan. Karena itu, patch keamanan harus diprioritaskan.
Panduan Pembaruan PHP dan Perlindungan Server Website
Tindakan paling penting adalah meningkatkan instalasi ke versi keamanan terbaru. Sebelum melakukan pembaruan, pengelola perlu menyiapkan backup data. Salinan data tersebut membantu proses pemulihan apabila terjadi gangguan. Selanjutnya, gunakan paket PHP dari penyedia sistem operasi atau hosting. Apabila website berada pada hosting terkelola, hubungi dukungan teknis untuk memastikan patch telah diterapkan. Setelah pembaruan, periksa kembali runtime yang melayani permintaan web. Validasi aplikasi setelah peningkatan versi juga harus menjadi bagian dari prosedur.
Jika patch tidak dapat segera dipasang, administrator perlu menerapkan tindakan pembatasan sementara. Penerapan aturan WAF mendukung pembatasan trafik berbahaya tertentu, tetapi tidak menjamin perlindungan penuh. Jika aplikasi penting belum dapat diperbaiki, pembatasan akses jaringan perlu dipertimbangkan sampai server berhasil menggunakan versi aman. Untuk meningkatkan pengawasan, tim keamanan perlu meninjau aktivitas mencurigakan. Pemeriksaan tersebut mendukung identifikasi indikasi kompromi. Namun demikian, patch resmi merupakan solusi utama.
Penutup: Pentingnya Memperbarui PHP untuk Mencegah Serangan
Peringatan keamanan mengenai dua kelemahan PHP menegaskan pentingnya pembaruan perangkat lunak server. Kedua celah tersebut memiliki skor CVSS 9,2 dan menimbulkan ancaman serius terhadap server yang rentan. Pembaruan PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 perlu segera diterapkan. Selain memasang patch, pemeriksaan log dan validasi server mendukung pengelolaan risiko yang lebih baik. Dalam perkembangan TEKNOLOGI keamanan siber, pengawasan infrastruktur harus dilakukan secara konsisten. Bagaimana pengalaman Anda melakukan pembaruan keamanan PHP? Mari sampaikan pandangan tentang pentingnya keamanan website.
