Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Mengenal Celah Keamanan PHP yang Memerlukan Pembaruan Segera
Tim pengembang PHP mengungkapkan dua kelemahan serius pada komponen inti PHP yang dapat membuka peluang eksekusi perintah berbahaya pada server. Permasalahan yang ditemukan tersebut tercatat menggunakan identitas CVE-2026-109618 dan CVE-2026-109619. Keduanya memiliki penilaian tingkat bahaya 9,2 berdasarkan CVSS 4.0. Tingkat penilaian ini menggambarkan potensi dampak keamanan yang tinggi. Tidak seperti kelemahan yang hanya memengaruhi satu aplikasi, permasalahan tersebut berkaitan dengan runtime PHP. Oleh sebab itu, sejumlah layanan berbasis PHP berpotensi terdampak.
Bahasa pemrograman PHP dikenal sebagai salah satu teknologi server yang banyak digunakan. Berbagai platform seperti WordPress, Drupal, dan Joomla memanfaatkan bahasa tersebut untuk menghasilkan halaman dinamis. Mengingat tingkat adopsinya tinggi, kelemahan tersebut berpotensi memengaruhi berbagai jenis website. Selain itu, website dengan aplikasi yang sudah diperbarui tetap dapat berisiko. Kondisi tersebut berkaitan dengan kerentanan terjadi pada mesin PHP sebelum sebagian logika aplikasi diproses. Oleh karena itu, administrator website harus memastikan runtime memperoleh perbaikan keamanan.
Mengenal CVE-2026-109618 dan CVE-2026-109619
Permasalahan pertama yang diungkap berkaitan dengan pengelolaan memori ketika sumber daya habis. Ketika permintaan mencapai keadaan tertentu, runtime berpotensi meninggalkan struktur data yang belum sepenuhnya diinisialisasi. Kesalahan pengelolaan ini berpotensi mengganggu integritas proses. Apabila berhasil dimanfaatkan, server berpotensi menjalankan instruksi yang tidak sah. Kerentanan tersebut tidak bergantung pada kesalahan penulisan kode aplikasi biasa. Karena itu, pembaruan aplikasi saja belum memberikan perlindungan menyeluruh.
Pada kerentanan kedua, permasalahan berkaitan dengan status internal yang tertinggal. Pada kondisi pemrosesan khusus, data internal yang seharusnya dibersihkan dapat tetap tersimpan. Keadaan ini dapat melibatkan referensi terhadap data yang sudah tidak berlaku. Dalam skenario eksploitasi yang memungkinkan, server dapat menghadapi risiko eksekusi kode jarak jauh. Kedua kerentanan berkaitan dengan kesalahan manajemen memori. Walaupun dampaknya serius, keberhasilan eksploitasi bergantung pada kondisi lingkungan. Penggunaan pembaruan resmi tetap harus dilakukan sesegera mungkin.
Rilis Patch PHP untuk Menutup Dua Kerentanan Kritis
Pengelola keamanan PHP merilis versi perbaikan pada 21 Oktober 2026 untuk memperbaiki kelemahan pada runtime. Versi yang telah memperoleh perbaikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengelola server berbasis PHP 8.5 perlu memperbarui instalasi minimal ke 8.5.12. Pada seri PHP yang berbeda, pengguna PHP 8.3 perlu menggunakan minimal 8.3.36 sesuai cabang versi yang digunakan. Perbaikan keamanan tersebut mengatasi celah eksekusi kode yang ditemukan. Mengingat tingkat keparahannya tinggi, administrator dianjurkan segera melakukan peningkatan versi.
Risiko meningkat bagi server yang menggunakan PHP versi lama. Versi PHP 8.1 dan sebelumnya sudah berada di luar periode dukungan keamanan utama. Dalam praktik pengelolaan server, pengguna versi tersebut perlu merencanakan migrasi. Untuk perencanaan jangka panjang, PHP 8.2 memiliki batas dukungan keamanan hingga akhir tahun 2026. Dengan mempertimbangkan jadwal tersebut, organisasi perlu menyusun rencana migrasi jangka panjang. Walaupun pembaruan sangat diperlukan, kompatibilitas aplikasi tetap harus diperiksa agar layanan tidak mengalami gangguan yang tidak diharapkan.
Langkah Mengetahui PHP yang Digunakan Server Hosting
Apabila situs menggunakan CMS WordPress, versi PHP bisa diketahui melalui fitur bawaan WordPress. Pada tahap awal, buka dashboard pengelolaan website. Kemudian, buka bagian Peralatan, kemudian masuk ke Site Health. Pada bagian Info, temukan kategori Server untuk mengetahui nomor rilis runtime PHP. Apabila instalasi belum menggunakan rilis yang diperbaiki, pemilik situs sebaiknya menyiapkan peningkatan versi. Langkah sederhana tersebut mempermudah prioritas pembaruan website.
Di luar dashboard CMS, pengelola dapat meninjau konfigurasi PHP dari control panel. Dalam lingkungan hosting berbasis cPanel, menu MultiPHP Manager dapat digunakan apabila penyedia hosting mengaktifkan fitur tersebut. Sementara itu, versi PHP bisa diketahui menggunakan perintah sistem. Instruksi terminal php -v memperlihatkan informasi PHP pada lingkungan CLI. Namun perlu diketahui, runtime PHP-FPM tidak selalu identik dengan PHP CLI. Karena itu, informasi PHP-FPM atau modul web server harus diverifikasi. Melalui pemeriksaan menyeluruh, risiko salah mengidentifikasi lingkungan PHP dapat dikurangi.
Ancaman Remote Code Execution bagi Server yang Belum Diperbarui
Dampak paling serius adalah potensi remote code execution oleh penyerang anonim. Dalam istilah keamanan siber, serangan tersebut termasuk kategori remote code execution tanpa login. Ketika serangan memenuhi kondisi eksploitasi, sistem dapat mengalami kompromi. Dampaknya mencakup akses terhadap informasi sensitif. Pada website bisnis, ancamannya perlu ditangani dengan serius karena aplikasi menangani data pengguna dan transaksi. Walaupun dampak potensial sangat besar, server yang belum diperbarui tidak otomatis sudah diretas.
Dua kelemahan PHP ini memiliki cakupan lebih luas daripada WordPress karena beragam sistem web memanfaatkan mesin PHP yang sama. Aplikasi Joomla serta layanan digital berbasis PHP lainnya perlu diperiksa jika menggunakan runtime yang belum diperbaiki. Selain itu, sejumlah konfigurasi pemrosesan PHP yang berbeda tidak sebaiknya dianggap aman tanpa pemeriksaan. Dalam informasi keamanan resmi, pengembang PHP menekankan perhatian utama terhadap lingkungan mod_php karena serangan dapat dipicu sebelum logika website diproses. Dengan kondisi tersebut, administrator perlu menangani masalah pada tingkat server.
Strategi Mitigasi Risiko setelah Pengungkapan Kerentanan PHP
Tindakan paling penting adalah menggunakan runtime PHP dengan patch resmi. Sebelum melakukan pembaruan, pengelola perlu menyiapkan backup data. Cadangan tersebut berguna ketika kompatibilitas aplikasi bermasalah. Selanjutnya, lakukan pembaruan melalui metode resmi yang didukung server. Untuk pengguna penyedia hosting yang mengatur PHP, minta konfirmasi mengenai versi PHP aktif. Sesudah patch diterapkan, pastikan layanan PHP yang aktif menggunakan versi baru. Pemeriksaan halaman dan fitur penting juga perlu dilakukan secara menyeluruh.
Apabila pembaruan belum memungkinkan, organisasi sebaiknya melakukan mitigasi risiko tambahan. Pemanfaatan firewall aplikasi web dapat membantu menyaring sebagian permintaan mencurigakan, tetapi tidak menjamin perlindungan penuh. Untuk sistem dengan risiko tinggi, isolasi sementara dapat menjadi pilihan sampai server berhasil menggunakan versi aman. Selain itu, pengelola dapat mengevaluasi catatan permintaan dan kesalahan sistem. Langkah investigasi ini membantu menemukan kemungkinan aktivitas tidak wajar. Meski beberapa mitigasi tersedia, pembaruan PHP tetap menjadi tindakan paling efektif.
Kesimpulan tentang Dua Celah Kritis PHP dan Keamanan Website
Pengungkapan dua kerentanan kritis PHP menjadi pengingat penting bagi pengelola website. Kedua celah tersebut memiliki skor CVSS 9,2 dan berpotensi memungkinkan eksekusi kode tanpa autentikasi. Versi PHP yang telah memperoleh perbaikan resmi harus diprioritaskan oleh administrator. Di samping meningkatkan versi PHP, pengujian aplikasi dan pengawasan aktivitas mendukung pengelolaan risiko yang lebih baik. Di tengah kebutuhan perlindungan TEKNOLOGI digital, pembaruan rutin menjadi bagian penting dari tanggung jawab pengelola. Apakah website Anda sudah menggunakan PHP versi terbaru? Silakan bagikan pengalaman Anda mengenai pembaruan PHP.
