Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Peringatan Keamanan PHP dan Risiko Serangan terhadap Server Website
Komunitas pengembang inti PHP mengungkapkan dua kerentanan keamanan dengan tingkat keparahan kritis yang dapat membuka peluang eksekusi perintah berbahaya pada server. Permasalahan yang ditemukan tersebut didaftarkan dengan kode CVE-2026-109618 dan CVE-2026-109619. Setiap kerentanan mendapatkan nilai keparahan 9,2 dalam sistem CVSS terbaru. Angka tersebut menempatkan keduanya dalam kategori kritis. Tidak seperti kerentanan yang terbatas pada tema website, kedua celah ditemukan pada komponen inti PHP. Oleh sebab itu, banyak sistem yang menggunakan PHP perlu diperiksa.
PHP merupakan bahasa pemrograman populer untuk aplikasi web. Banyak aplikasi berbasis web seperti WordPress, Drupal, dan Joomla memanfaatkan bahasa tersebut untuk menghasilkan halaman dinamis. Mengingat tingkat adopsinya tinggi, kelemahan tersebut berpotensi memengaruhi berbagai jenis website. Dalam kondisi tertentu, website dengan aplikasi yang sudah diperbarui tetap dapat berisiko. Kondisi tersebut berkaitan dengan kerentanan terjadi pada mesin PHP sebelum sebagian logika aplikasi diproses. Dengan mempertimbangkan situasi tersebut, pemeriksaan versi PHP menjadi prioritas utama.
Bagaimana Dua Celah PHP Dapat Membahayakan Server?
Permasalahan pertama yang diungkap berkaitan dengan pengelolaan memori ketika sumber daya habis. Ketika permintaan mencapai keadaan tertentu, PHP dapat mengalami gangguan saat mengelola data internal. Kondisi tersebut berpotensi mengganggu integritas proses. Jika kondisi eksploitasi terpenuhi, proses PHP dapat mengalami pengambilalihan dalam kondisi tertentu. Kelemahan pertama ini berasal dari pemrosesan internal PHP. Dengan demikian, perbaikan tema website tidak menyelesaikan akar masalah.
Untuk CVE-2026-109619, gangguan terjadi pada pengelolaan keadaan global antarpermintaan. Dalam proses tertentu, data internal yang seharusnya dibersihkan dapat tetap tersimpan. Situasi tersebut berhubungan dengan penggunaan memori setelah dibebaskan. Dalam skenario eksploitasi yang memungkinkan, informasi sensitif dari memori berpotensi terekspos. Dua masalah keamanan tersebut berkaitan dengan kesalahan manajemen memori. Namun perlu diperhatikan, tingkat risiko nyata dapat dipengaruhi konfigurasi serta jalur serangan yang tersedia. Penerapan patch keamanan terbaru tetap merupakan prioritas untuk mengurangi ancaman.
Rilis Patch PHP untuk Menutup Dua Kerentanan Kritis
Pengelola keamanan PHP menghadirkan patch keamanan pada 21 Oktober 2026 untuk mengatasi masalah manajemen memori tersebut. Versi yang telah memperoleh perbaikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Administrator yang masih menjalankan cabang PHP 8.5 sebaiknya memasang rilis 8.5.12 atau versi berikutnya yang telah diperbaiki. Pada seri PHP yang berbeda, instalasi PHP 8.2 membutuhkan pembaruan minimal ke 8.2.35 sesuai cabang versi yang digunakan. Perbaikan keamanan tersebut mengurangi risiko eksploitasi pada komponen inti PHP. Mengingat tingkat keparahannya tinggi, pemasangan patch tidak sebaiknya ditunda.
Perhatian tambahan diperlukan bagi website dengan instalasi PHP yang sudah tidak didukung. Versi PHP 8.1 dan sebelumnya tidak lagi menerima perbaikan keamanan resmi dari proyek PHP. Artinya, administrator perlu mengganti cabang PHP yang sudah usang. Selain itu, PHP 8.2 akan memasuki status end-of-life pada penghujung Desember 2026. Dengan mempertimbangkan jadwal tersebut, pembaruan ke cabang PHP yang lebih baru sebaiknya dipersiapkan. Namun dalam pelaksanaannya, perubahan versi perlu disertai evaluasi perangkat lunak agar layanan tidak mengalami gangguan yang tidak diharapkan.
Cara Memeriksa Versi PHP pada Website WordPress
Untuk pengelola website berbasis WordPress, versi PHP bisa diketahui melalui fitur bawaan WordPress. Pada tahap awal, akses panel administrasi situs. Kemudian, pilih menu Tools, kemudian masuk ke Site Health. Dalam tab Informasi, periksa detail lingkungan server untuk mengetahui nomor rilis runtime PHP. Jika hasilnya menunjukkan versi rentan, pengelola perlu segera melakukan pembaruan. Langkah sederhana tersebut memberikan gambaran kondisi keamanan server.
Selain melalui WordPress, informasi runtime biasanya tersedia dalam pengaturan server. Pada layanan cPanel, fitur pengelolaan versi PHP tersedia melalui MultiPHP Manager apabila administrator server menyediakan akses tersebut. Untuk server yang dikelola sendiri, versi PHP bisa diketahui menggunakan perintah sistem. Pemeriksaan menggunakan php -v memberikan detail instalasi PHP yang dipanggil terminal. Meskipun perintah tersebut berguna, konfigurasi aplikasi web mungkin menggunakan instalasi PHP yang berbeda. Karena itu, pastikan versi PHP pada web server juga diperiksa. Melalui pemeriksaan menyeluruh, pembaruan tidak hanya dilakukan pada instalasi yang tidak digunakan website.
Dampak Kerentanan PHP terhadap WordPress dan Website Bisnis
Dampak paling serius adalah kemungkinan eksekusi kode jarak jauh tanpa autentikasi. Dalam pengelolaan keamanan server, kelemahan semacam ini memungkinkan eksekusi kode tanpa autentikasi. Jika penyerang mampu memanfaatkan celah, server berpotensi kehilangan integritas. Akibat yang mungkin terjadi mencakup akses terhadap informasi sensitif. Dalam lingkungan perdagangan elektronik, ancamannya perlu ditangani dengan serius karena server sering menyimpan atau mengakses informasi penting. Meski demikian, indikasi kompromi tetap memerlukan pemeriksaan tersendiri.
Ancaman keamanan tersebut melampaui satu platform CMS karena beragam sistem web memanfaatkan mesin PHP yang sama. Sistem Laravel serta platform web khusus perusahaan memerlukan peninjauan keamanan pada lingkungan server. Dalam penggunaan infrastruktur hosting, berbagai mode integrasi PHP dengan web server perlu mendapatkan perhatian pembaruan. Peringatan pengembang menyebutkan perhatian utama terhadap lingkungan mod_php karena permintaan berbahaya dapat mencapai bagian rentan lebih awal. Untuk mengurangi kemungkinan eksploitasi, pembaruan runtime menjadi tindakan utama.
Panduan Pembaruan PHP dan Perlindungan Server Website
Tindakan paling penting adalah meningkatkan instalasi ke versi keamanan terbaru. Untuk mempersiapkan perubahan server, administrator sebaiknya membuat cadangan website. Salinan data tersebut berguna ketika kompatibilitas aplikasi bermasalah. Selanjutnya, pasang versi runtime yang telah diperbaiki menggunakan prosedur terpercaya. Apabila website berada pada hosting terkelola, minta konfirmasi mengenai versi PHP aktif. Ketika instalasi selesai, validasi bahwa proses server telah menjalankan PHP yang diperbaiki. Validasi aplikasi setelah peningkatan versi juga penting untuk memastikan layanan tetap berjalan.
Ketika lingkungan produksi membutuhkan waktu untuk diperbarui, pengelola server harus mempertimbangkan perlindungan darurat. Pemanfaatan firewall aplikasi web mendukung pembatasan trafik berbahaya tertentu, tetapi bukan pengganti pembaruan PHP. Pada server yang terbuka langsung ke internet, pembatasan akses jaringan perlu dipertimbangkan sampai perbaikan keamanan dapat diterapkan. Untuk meningkatkan pengawasan, tim keamanan perlu meninjau aktivitas mencurigakan. Langkah investigasi ini mendukung identifikasi indikasi kompromi. Walaupun langkah tambahan bermanfaat, pembaruan PHP tetap menjadi tindakan paling efektif.
Kesimpulan tentang Dua Celah Kritis PHP dan Keamanan Website
Ditemukannya CVE-2026-109618 dan CVE-2026-109619 menunjukkan perlunya pemeliharaan sistem secara berkelanjutan. Permasalahan keamanan ini mendapatkan tingkat keparahan kritis dan berpotensi memungkinkan eksekusi kode tanpa autentikasi. Rilis keamanan terbaru untuk cabang PHP yang masih didukung harus diprioritaskan oleh administrator. Selain memasang patch, pengujian aplikasi dan pengawasan aktivitas memperkuat proses pemeliharaan website. Di tengah kebutuhan perlindungan TEKNOLOGI digital, keamanan runtime tidak boleh diabaikan. Menurut Anda, apa tantangan terbesar dalam menjaga keamanan server website? Bagikan pendapat Anda mengenai langkah perlindungan server yang efektif.
