Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Mengenal Celah Keamanan PHP yang Memerlukan Pembaruan Segera
Pengelola proyek bahasa pemrograman PHP mengumumkan dua kelemahan serius pada komponen inti PHP yang berpotensi memungkinkan penyerang menjalankan kode dari jarak jauh. Kedua kerentanan tersebut tercatat menggunakan identitas CVE-2026-109618 dan CVE-2026-109619. Setiap kerentanan mendapatkan skor CVSS versi 4.0 sebesar 9,2. Tingkat penilaian ini menggambarkan potensi dampak keamanan yang tinggi. Tidak seperti kelemahan yang hanya memengaruhi satu aplikasi, kedua celah ditemukan pada komponen inti PHP. Akibatnya, banyak sistem yang menggunakan PHP perlu diperiksa.
Dalam pengembangan website, PHP menjadi bahasa pemrograman populer untuk aplikasi web. Berbagai platform seperti WordPress, Drupal, dan Joomla memanfaatkan bahasa tersebut untuk menghasilkan halaman dinamis. Mengingat tingkat adopsinya tinggi, kerentanan pada komponen inti memiliki dampak yang luas. Dalam kondisi tertentu, plugin yang aman tidak otomatis melindungi runtime PHP yang rentan. Penyebab utamanya adalah masalah muncul dalam komponen yang menjalankan kode aplikasi. Oleh karena itu, pemeriksaan versi PHP menjadi prioritas utama.
Mengenal CVE-2026-109618 dan CVE-2026-109619
Permasalahan pertama yang diungkap terjadi pada penanganan kondisi out-of-memory. Ketika permintaan mencapai keadaan tertentu, sistem dapat memperlakukan informasi internal yang tidak lengkap secara keliru. Kondisi tersebut berpotensi mengganggu integritas proses. Ketika penyerang mampu memicu kelemahan tersebut, dampaknya dapat mencakup eksekusi kode berbahaya. Kerentanan tersebut berasal dari pemrosesan internal PHP. Karena itu, perbaikan tema website tidak menyelesaikan akar masalah.
Pada kerentanan kedua, gangguan terjadi pada pengelolaan keadaan global antarpermintaan. Pada kondisi pemrosesan khusus, data internal yang seharusnya dibersihkan dapat tetap tersimpan. Kesalahan pengelolaan tersebut dapat melibatkan referensi terhadap data yang sudah tidak berlaku. Dalam skenario eksploitasi yang memungkinkan, server dapat menghadapi risiko eksekusi kode jarak jauh. Kedua kerentanan melibatkan penanganan data internal yang tidak aman. Namun perlu diperhatikan, tingkat risiko nyata dapat dipengaruhi konfigurasi serta jalur serangan yang tersedia. Penerapan patch keamanan terbaru tetap merupakan prioritas untuk mengurangi ancaman.
Daftar PHP yang Harus Segera Diperbarui oleh Administrator
Tim pengembang PHP menghadirkan patch keamanan pada 21 Oktober 2026 untuk menutup kedua kerentanan kritis. Pembaruan yang tersedia meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengelola server berbasis PHP 8.5 harus memastikan sistem tidak lagi menggunakan 8.5.11 atau rilis rentan sebelumnya. Untuk cabang lainnya, versi 8.4 harus diperbarui minimal ke 8.4.27 sesuai konfigurasi runtime masing-masing. Pembaruan ini mengatasi celah eksekusi kode yang ditemukan. Mengingat tingkat keparahannya tinggi, pemasangan patch tidak sebaiknya ditunda.
Permasalahan menjadi lebih penting bagi website dengan instalasi PHP yang sudah tidak didukung. Rilis PHP sebelum seri 8.2 tidak memperoleh patch baru melalui siklus rilis resmi PHP. Dalam praktik pengelolaan server, pengelola website harus meningkatkan runtime ke versi yang didukung. Selain itu, PHP 8.2 dijadwalkan mencapai akhir masa dukungan pada 31 Desember 2026. Karena itu, organisasi perlu menyusun rencana migrasi jangka panjang. Meski demikian, perubahan versi perlu disertai evaluasi perangkat lunak agar layanan tidak mengalami gangguan yang tidak diharapkan.
Panduan Mengecek Kerentanan PHP Sebelum Memperbarui Website
Untuk pengelola website berbasis WordPress, informasi runtime tersedia pada halaman administrasi. Pada tahap awal, akses panel administrasi situs. Setelah berhasil masuk, akses menu pengelolaan Tools, kemudian buka halaman Site Health. Melalui halaman Info, temukan kategori Server untuk memeriksa informasi konfigurasi PHP. Ketika nomor PHP masih lebih rendah daripada versi aman, pengelola perlu segera melakukan pembaruan. Langkah sederhana tersebut mempermudah prioritas pembaruan website.
Selain melalui WordPress, pengelola dapat meninjau konfigurasi PHP dari control panel. Dalam lingkungan hosting berbasis cPanel, pengguna dapat memeriksa PHP melalui halaman MultiPHP Manager apabila administrator server menyediakan akses tersebut. Sementara itu, administrator dapat memeriksa konfigurasi runtime. Pemeriksaan menggunakan php -v memperlihatkan informasi PHP pada lingkungan CLI. Meskipun perintah tersebut berguna, runtime PHP-FPM tidak selalu identik dengan PHP CLI. Karena itu, pastikan versi PHP pada web server juga diperiksa. Dengan begitu, server aktif benar-benar mendapatkan perbaikan.
Ancaman Remote Code Execution bagi Server yang Belum Diperbarui
Ancaman terbesar yang perlu diperhatikan adalah kemampuan menjalankan kode berbahaya tanpa harus memiliki akun. Pada bidang perlindungan sistem, kelemahan semacam ini memungkinkan eksekusi kode tanpa autentikasi. Jika penyerang mampu memanfaatkan celah, server berpotensi kehilangan integritas. Konsekuensi keamanan yang berpotensi muncul dapat berupa perubahan data website. Untuk aplikasi yang mengelola pelanggan, risiko tersebut menjadi perhatian penting karena sistem terhubung dengan layanan bisnis yang bernilai. Namun perlu ditegaskan, keberadaan versi rentan bukan bukti bahwa serangan telah terjadi.
Ancaman keamanan tersebut melampaui satu platform CMS karena komponen yang rentan digunakan berbagai aplikasi. Website Drupal serta layanan digital berbasis PHP lainnya memerlukan peninjauan keamanan pada lingkungan server. Untuk konfigurasi web server, berbagai mode integrasi PHP dengan web server perlu mendapatkan perhatian pembaruan. Tim keamanan PHP menyoroti perhatian utama terhadap lingkungan mod_php karena permintaan berbahaya dapat mencapai bagian rentan lebih awal. Karena itu, administrator perlu menangani masalah pada tingkat server.
Panduan Pembaruan PHP dan Perlindungan Server Website
Tindakan paling penting adalah memasang pembaruan PHP yang sudah memperbaiki kedua celah. Untuk mempersiapkan perubahan server, tim teknis dianjurkan menyimpan salinan konfigurasi dan aplikasi. File backup yang tersedia berguna ketika kompatibilitas aplikasi bermasalah. Selanjutnya, pasang versi runtime yang telah diperbaiki menggunakan prosedur terpercaya. Apabila website berada pada hosting terkelola, minta konfirmasi mengenai versi PHP aktif. Ketika instalasi selesai, validasi bahwa proses server telah menjalankan PHP yang diperbaiki. Pemeriksaan halaman dan fitur penting juga perlu dilakukan secara menyeluruh.
Apabila pembaruan belum memungkinkan, organisasi sebaiknya melakukan mitigasi risiko tambahan. Pemanfaatan firewall aplikasi web dapat membantu menyaring sebagian permintaan mencurigakan, tetapi bukan pengganti pembaruan PHP. Jika aplikasi penting belum dapat diperbaiki, penonaktifan layanan untuk sementara mungkin diperlukan sampai patch selesai dipasang dan diverifikasi. Selain itu, tim keamanan perlu meninjau aktivitas mencurigakan. Pemeriksaan tersebut membantu menemukan kemungkinan aktivitas tidak wajar. Namun demikian, patch resmi merupakan solusi utama.
Rangkuman Ancaman PHP dan Langkah Perlindungan Website
Pengungkapan dua kerentanan kritis PHP menunjukkan perlunya pemeliharaan sistem secara berkelanjutan. Kedua celah tersebut memiliki skor CVSS 9,2 dan berpotensi memungkinkan eksekusi kode tanpa autentikasi. Pembaruan PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 harus diprioritaskan oleh administrator. Sebagai bagian dari perlindungan menyeluruh, pemeriksaan log dan validasi server memperkuat proses pemeliharaan website. Di tengah kebutuhan perlindungan TEKNOLOGI digital, keamanan runtime tidak boleh diabaikan. Apakah website Anda sudah menggunakan PHP versi terbaru? Mari sampaikan pandangan tentang pentingnya keamanan website.
