Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Mengenal Celah Keamanan PHP yang Memerlukan Pembaruan Segera
Tim pengembang PHP mengungkapkan sepasang celah berbahaya dalam sistem PHP yang dapat membuka peluang eksekusi perintah berbahaya pada server. Permasalahan yang ditemukan tersebut tercatat menggunakan identitas CVE-2026-109618 dan CVE-2026-109619. Keduanya memiliki skor CVSS versi 4.0 sebesar 9,2. Tingkat penilaian ini menempatkan keduanya dalam kategori kritis. Berbeda dari masalah pada plugin tertentu, permasalahan tersebut berkaitan dengan runtime PHP. Oleh sebab itu, banyak sistem yang menggunakan PHP perlu diperiksa.
PHP merupakan salah satu teknologi server yang banyak digunakan. Berbagai platform seperti WordPress, Drupal, dan Joomla memanfaatkan bahasa tersebut untuk menghasilkan halaman dinamis. Mengingat tingkat adopsinya tinggi, kelemahan tersebut berpotensi memengaruhi berbagai jenis website. Selain itu, pembaruan CMS saja belum tentu menghilangkan ancaman. Hal ini terjadi karena kelemahan berada pada lapisan pemrosesan PHP. Untuk mengurangi kemungkinan serangan, pengelola server perlu segera melakukan pembaruan.
Mengenal CVE-2026-109618 dan CVE-2026-109619
Kerentanan pertama melibatkan kesalahan pemrosesan saat batas memori tercapai. Ketika permintaan mencapai keadaan tertentu, runtime berpotensi meninggalkan struktur data yang belum sepenuhnya diinisialisasi. Kondisi tersebut memungkinkan terjadinya memory corruption. Ketika penyerang mampu memicu kelemahan tersebut, dampaknya dapat mencakup eksekusi kode berbahaya. Masalah ini berasal dari pemrosesan internal PHP. Berdasarkan karakteristik tersebut, pembaruan aplikasi saja belum memberikan perlindungan menyeluruh.
Sementara itu, kelemahan muncul akibat penggunaan kembali informasi memori yang sudah tidak valid. Ketika PHP menangani rangkaian permintaan, status dari permintaan sebelumnya berpotensi bertahan. Keadaan ini dapat melibatkan referensi terhadap data yang sudah tidak berlaku. Jika kelemahan tersebut berhasil dipicu, server dapat menghadapi risiko eksekusi kode jarak jauh. Dua masalah keamanan tersebut berkaitan dengan kesalahan manajemen memori. Namun perlu diperhatikan, keberhasilan eksploitasi bergantung pada kondisi lingkungan. Penggunaan pembaruan resmi tetap harus dilakukan sesegera mungkin.
Versi PHP yang Terdampak dan Pembaruan Keamanan Resmi
Tim pengembang PHP merilis versi perbaikan pada 21 Oktober 2026 untuk memperbaiki kelemahan pada runtime. Versi yang telah memperoleh perbaikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Administrator yang masih menjalankan cabang PHP 8.5 perlu memperbarui instalasi minimal ke 8.5.12. Pada seri PHP yang berbeda, versi 8.4 harus diperbarui minimal ke 8.4.27 sesuai cabang versi yang digunakan. Pembaruan ini ditujukan untuk menutup kedua kelemahan. Mengingat tingkat keparahannya tinggi, pemasangan patch tidak sebaiknya ditunda.
Risiko meningkat bagi server yang menggunakan PHP versi lama. Versi PHP 8.1 dan sebelumnya tidak memperoleh patch baru melalui siklus rilis resmi PHP. Dalam praktik pengelolaan server, administrator perlu mengganti cabang PHP yang sudah usang. Untuk perencanaan jangka panjang, PHP 8.2 akan memasuki status end-of-life pada penghujung Desember 2026. Dengan mempertimbangkan jadwal tersebut, pembaruan ke cabang PHP yang lebih baru sebaiknya dipersiapkan. Walaupun pembaruan sangat diperlukan, perubahan versi perlu disertai evaluasi perangkat lunak agar layanan tidak mengalami gangguan yang tidak diharapkan.
Panduan Mengecek Kerentanan PHP Sebelum Memperbarui Website
Untuk pengelola website berbasis WordPress, informasi runtime tersedia pada halaman administrasi. Pada tahap awal, masuk ke halaman administrator WordPress. Kemudian, akses menu pengelolaan Tools, kemudian masuk ke Site Health. Pada bagian Info, temukan kategori Server untuk memeriksa informasi konfigurasi PHP. Ketika nomor PHP masih lebih rendah daripada versi aman, pengelola perlu segera melakukan pembaruan. Proses identifikasi awal ini membantu menentukan tindakan yang diperlukan.
Di luar dashboard CMS, pengelola dapat meninjau konfigurasi PHP dari control panel. Jika menggunakan cPanel, pengguna dapat memeriksa PHP melalui halaman MultiPHP Manager apabila administrator server menyediakan akses tersebut. Untuk server yang dikelola sendiri, versi PHP bisa diketahui menggunakan perintah sistem. Perintah php -v memperlihatkan informasi PHP pada lingkungan CLI. Walaupun informasi CLI dapat diperoleh, versi PHP untuk website bisa berbeda dari versi terminal. Karena itu, administrator perlu mengidentifikasi runtime yang benar-benar melayani website. Berkat validasi tersebut, pembaruan tidak hanya dilakukan pada instalasi yang tidak digunakan website.
Risiko Serangan Siber akibat Dua Celah Keamanan PHP
Dampak paling serius adalah potensi remote code execution oleh penyerang anonim. Dalam pengelolaan keamanan server, serangan tersebut termasuk kategori remote code execution tanpa login. Jika penyerang mampu memanfaatkan celah, server berpotensi kehilangan integritas. Dampaknya mencakup akses terhadap informasi sensitif. Untuk aplikasi yang mengelola pelanggan, risiko tersebut menjadi perhatian penting karena aplikasi menangani data pengguna dan transaksi. Namun perlu ditegaskan, keberadaan versi rentan bukan bukti bahwa serangan telah terjadi.
Ancaman keamanan tersebut melampaui satu platform CMS karena beragam sistem web memanfaatkan mesin PHP yang sama. Aplikasi Joomla serta layanan digital berbasis PHP lainnya perlu diperiksa jika menggunakan runtime yang belum diperbaiki. Untuk konfigurasi web server, PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed perlu mendapatkan perhatian pembaruan. Peringatan pengembang menyebutkan risiko yang sangat tinggi pada konfigurasi mod_php karena serangan dapat dipicu sebelum logika website diproses. Dengan kondisi tersebut, administrator perlu menangani masalah pada tingkat server.
Panduan Pembaruan PHP dan Perlindungan Server Website
Langkah utama yang direkomendasikan adalah menggunakan runtime PHP dengan patch resmi. Untuk mempersiapkan perubahan server, pengelola perlu menyiapkan backup data. Salinan data tersebut membantu proses pemulihan apabila terjadi gangguan. Pada tahap implementasi, gunakan paket PHP dari penyedia sistem operasi atau hosting. Apabila website berada pada hosting terkelola, hubungi dukungan teknis untuk memastikan patch telah diterapkan. Sesudah patch diterapkan, periksa kembali runtime yang melayani permintaan web. Pengujian fungsi website juga penting untuk memastikan layanan tetap berjalan.
Ketika lingkungan produksi membutuhkan waktu untuk diperbarui, pengelola server harus mempertimbangkan perlindungan darurat. Pemanfaatan firewall aplikasi web berpotensi mengurangi sejumlah jalur serangan, tetapi tidak menjamin perlindungan penuh. Pada server yang terbuka langsung ke internet, pembatasan akses jaringan perlu dipertimbangkan sampai patch selesai dipasang dan diverifikasi. Untuk meningkatkan pengawasan, pengelola dapat mengevaluasi catatan permintaan dan kesalahan sistem. Langkah investigasi ini mendukung identifikasi indikasi kompromi. Meski beberapa mitigasi tersedia, penggunaan versi yang telah diperbaiki harus tetap diprioritaskan.
Penutup: Pentingnya Memperbarui PHP untuk Mencegah Serangan
Peringatan keamanan mengenai dua kelemahan PHP menjadi pengingat penting bagi pengelola website. Permasalahan keamanan ini memiliki skor CVSS 9,2 dan berpotensi memungkinkan eksekusi kode tanpa autentikasi. Rilis keamanan terbaru untuk cabang PHP yang masih didukung menjadi langkah utama untuk menutup kelemahan tersebut. Di samping meningkatkan versi PHP, pemeriksaan log dan validasi server membantu menjaga keamanan operasional. Seiring meningkatnya kompleksitas TEKNOLOGI website, pengawasan infrastruktur harus dilakukan secara konsisten. Bagaimana pengalaman Anda melakukan pembaruan keamanan PHP? Bagikan pendapat Anda mengenai langkah perlindungan server yang efektif.
