Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Peringatan Keamanan PHP dan Risiko Serangan terhadap Server Website
Komunitas pengembang inti PHP mengungkapkan dua kelemahan serius pada komponen inti PHP yang memungkinkan pengambilalihan proses tertentu dalam kondisi yang memenuhi syarat. Dua kelemahan keamanan ini diidentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619. Setiap kerentanan mendapatkan penilaian tingkat bahaya 9,2 berdasarkan CVSS 4.0. Angka tersebut menempatkan keduanya dalam kategori kritis. Tidak seperti kelemahan yang hanya memengaruhi satu aplikasi, kedua celah ditemukan pada komponen inti PHP. Dengan kondisi tersebut, sejumlah layanan berbasis PHP berpotensi terdampak.
Bahasa pemrograman PHP dikenal sebagai bahasa pemrograman populer untuk aplikasi web. Banyak aplikasi berbasis web seperti WordPress, Drupal, dan Joomla mengandalkan PHP untuk menjalankan fungsinya. Dengan banyaknya sistem yang memanfaatkan PHP, masalah keamanan runtime perlu mendapatkan perhatian serius. Selain itu, pembaruan CMS saja belum tentu menghilangkan ancaman. Hal ini terjadi karena kerentanan terjadi pada mesin PHP sebelum sebagian logika aplikasi diproses. Oleh karena itu, pemeriksaan versi PHP menjadi prioritas utama.
Bagaimana Dua Celah PHP Dapat Membahayakan Server?
Kerentanan pertama berkaitan dengan pengelolaan memori ketika sumber daya habis. Ketika permintaan mencapai keadaan tertentu, runtime berpotensi meninggalkan struktur data yang belum sepenuhnya diinisialisasi. Kondisi tersebut memungkinkan terjadinya memory corruption. Ketika penyerang mampu memicu kelemahan tersebut, server berpotensi menjalankan instruksi yang tidak sah. Kerentanan tersebut tidak bergantung pada kesalahan penulisan kode aplikasi biasa. Karena itu, pengelola tidak cukup hanya memperbarui plugin.
Pada kerentanan kedua, kelemahan muncul akibat penggunaan kembali informasi memori yang sudah tidak valid. Dalam proses tertentu, status dari permintaan sebelumnya berpotensi bertahan. Keadaan ini berhubungan dengan penggunaan memori setelah dibebaskan. Dalam skenario eksploitasi yang memungkinkan, server dapat menghadapi risiko eksekusi kode jarak jauh. Sepasang kelemahan PHP ini muncul dari mekanisme pengelolaan keadaan pemrosesan. Namun perlu diperhatikan, tidak setiap server pasti telah diserang. Penerapan patch keamanan terbaru tetap menjadi langkah perlindungan paling penting.
Daftar PHP yang Harus Segera Diperbarui oleh Administrator
Pengelola keamanan PHP merilis versi perbaikan pada 21 Oktober 2026 untuk memperbaiki kelemahan pada runtime. Versi yang telah memperoleh perbaikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengelola server berbasis PHP 8.5 harus memastikan sistem tidak lagi menggunakan 8.5.11 atau rilis rentan sebelumnya. Pada seri PHP yang berbeda, versi 8.4 harus diperbarui minimal ke 8.4.27 sesuai konfigurasi runtime masing-masing. Pembaruan ini ditujukan untuk menutup kedua kelemahan. Mengingat tingkat keparahannya tinggi, pengelola website perlu menjadikan pembaruan sebagai prioritas.
Risiko meningkat bagi website dengan instalasi PHP yang sudah tidak didukung. Cabang PHP 8.1 beserta versi yang lebih tua sudah berada di luar periode dukungan keamanan utama. Dengan kata lain, pengguna versi tersebut perlu merencanakan migrasi. Untuk perencanaan jangka panjang, PHP 8.2 memiliki batas dukungan keamanan hingga akhir tahun 2026. Untuk menghindari masalah berikutnya, pengelola website dianjurkan mempertimbangkan penggunaan seri PHP dengan masa dukungan lebih panjang. Meski demikian, kompatibilitas aplikasi tetap harus diperiksa agar proses migrasi berlangsung dengan risiko operasional minimal.
Langkah Mengetahui PHP yang Digunakan Server Hosting
Bagi pengguna WordPress, pemeriksaan versi PHP dapat dilakukan melalui dashboard. Pada tahap awal, masuk ke halaman administrator WordPress. Setelah berhasil masuk, pilih menu Tools, kemudian pilih Kesehatan Situs. Pada bagian Info, buka informasi Server untuk melihat versi PHP yang digunakan. Apabila instalasi belum menggunakan rilis yang diperbaiki, pengelola perlu segera melakukan pembaruan. Langkah sederhana tersebut membantu menentukan tindakan yang diperlukan.
Selain melalui WordPress, versi PHP dapat diperiksa melalui panel hosting. Jika menggunakan cPanel, fitur pengelolaan versi PHP tersedia melalui MultiPHP Manager apabila penyedia hosting mengaktifkan fitur tersebut. Sementara itu, pemeriksaan dapat dilakukan melalui terminal. Pemeriksaan menggunakan php -v memperlihatkan informasi PHP pada lingkungan CLI. Meskipun perintah tersebut berguna, konfigurasi aplikasi web mungkin menggunakan instalasi PHP yang berbeda. Sebagai langkah validasi, administrator perlu mengidentifikasi runtime yang benar-benar melayani website. Berkat validasi tersebut, risiko salah mengidentifikasi lingkungan PHP dapat dikurangi.
Ancaman Remote Code Execution bagi Server yang Belum Diperbarui
Ancaman terbesar yang perlu diperhatikan adalah potensi remote code execution oleh penyerang anonim. Dalam istilah keamanan siber, kondisi ini dikenal sebagai unauthenticated RCE. Ketika serangan memenuhi kondisi eksploitasi, sistem dapat mengalami kompromi. Konsekuensi keamanan yang berpotensi muncul dapat berupa perubahan data website. Dalam lingkungan perdagangan elektronik, ancamannya perlu ditangani dengan serius karena server sering menyimpan atau mengakses informasi penting. Walaupun dampak potensial sangat besar, indikasi kompromi tetap memerlukan pemeriksaan tersendiri.
Ancaman keamanan tersebut melampaui satu platform CMS karena masalahnya berada pada runtime PHP. Aplikasi Joomla serta aplikasi PHP buatan sendiri berpotensi terdampak apabila menjalankan versi rentan. Untuk konfigurasi web server, sejumlah konfigurasi pemrosesan PHP yang berbeda tidak sebaiknya dianggap aman tanpa pemeriksaan. Peringatan pengembang menyebutkan tingkat bahaya khusus untuk Apache mod_php karena serangan dapat dipicu sebelum logika website diproses. Dengan kondisi tersebut, patch keamanan harus diprioritaskan.
Strategi Mitigasi Risiko setelah Pengungkapan Kerentanan PHP
Langkah utama yang direkomendasikan adalah meningkatkan instalasi ke versi keamanan terbaru. Sebelum melakukan pembaruan, tim teknis dianjurkan menyimpan salinan konfigurasi dan aplikasi. Salinan data tersebut berguna ketika kompatibilitas aplikasi bermasalah. Setelah persiapan selesai, gunakan paket PHP dari penyedia sistem operasi atau hosting. Jika menggunakan layanan managed hosting, hubungi dukungan teknis untuk memastikan patch telah diterapkan. Ketika instalasi selesai, validasi bahwa proses server telah menjalankan PHP yang diperbaiki. Pengujian fungsi website juga penting untuk memastikan layanan tetap berjalan.
Ketika lingkungan produksi membutuhkan waktu untuk diperbarui, organisasi sebaiknya melakukan mitigasi risiko tambahan. Penggunaan web application firewall mendukung pembatasan trafik berbahaya tertentu, tetapi tidak menjamin perlindungan penuh. Pada server yang terbuka langsung ke internet, pembatasan akses jaringan perlu dipertimbangkan sampai perbaikan keamanan dapat diterapkan. Selain itu, administrator dianjurkan memeriksa log server. Pemeriksaan tersebut membantu menemukan kemungkinan aktivitas tidak wajar. Namun demikian, penggunaan versi yang telah diperbaiki harus tetap diprioritaskan.
Rangkuman Ancaman PHP dan Langkah Perlindungan Website
Pengungkapan dua kerentanan kritis PHP menunjukkan perlunya pemeliharaan sistem secara berkelanjutan. Permasalahan keamanan ini memiliki skor CVSS 9,2 dan menimbulkan ancaman serius terhadap server yang rentan. Versi PHP yang telah memperoleh perbaikan resmi menjadi langkah utama untuk menutup kelemahan tersebut. Di samping meningkatkan versi PHP, pengujian aplikasi dan pengawasan aktivitas memperkuat proses pemeliharaan website. Seiring meningkatnya kompleksitas TEKNOLOGI website, pembaruan rutin menjadi bagian penting dari tanggung jawab pengelola. Apakah website Anda sudah menggunakan PHP versi terbaru? Bagikan pendapat Anda mengenai langkah perlindungan server yang efektif.
