Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Peringatan Keamanan PHP dan Risiko Serangan terhadap Server Website
Tim pengembang PHP mengungkapkan sepasang celah berbahaya dalam sistem PHP yang berpotensi memungkinkan penyerang menjalankan kode dari jarak jauh. Kedua kerentanan tersebut tercatat menggunakan identitas CVE-2026-109618 dan CVE-2026-109619. Keduanya memiliki penilaian tingkat bahaya 9,2 berdasarkan CVSS 4.0. Tingkat penilaian ini menggambarkan potensi dampak keamanan yang tinggi. Tidak seperti kerentanan yang terbatas pada tema website, kelemahan ini berada dalam mesin pemrosesan PHP. Dengan kondisi tersebut, berbagai website dapat menghadapi risiko.
Dalam pengembangan website, PHP menjadi salah satu teknologi server yang banyak digunakan. Berbagai platform seperti WordPress, Drupal, dan Joomla menggunakan PHP sebagai bagian dari pemrosesan server. Karena penggunaannya luas, kelemahan tersebut berpotensi memengaruhi berbagai jenis website. Selain itu, pembaruan CMS saja belum tentu menghilangkan ancaman. Penyebab utamanya adalah kerentanan terjadi pada mesin PHP sebelum sebagian logika aplikasi diproses. Dengan mempertimbangkan situasi tersebut, administrator website harus memastikan runtime memperoleh perbaikan keamanan.
Mengenal CVE-2026-109618 dan CVE-2026-109619
Permasalahan pertama yang diungkap terjadi pada penanganan kondisi out-of-memory. Ketika permintaan mencapai keadaan tertentu, sistem dapat memperlakukan informasi internal yang tidak lengkap secara keliru. Kondisi tersebut berpotensi mengganggu integritas proses. Jika kondisi eksploitasi terpenuhi, dampaknya dapat mencakup eksekusi kode berbahaya. Masalah ini terjadi pada lapisan yang lebih mendasar daripada logika website. Dengan demikian, pembaruan aplikasi saja belum memberikan perlindungan menyeluruh.
Pada kerentanan kedua, gangguan terjadi pada pengelolaan keadaan global antarpermintaan. Ketika PHP menangani rangkaian permintaan, status dari permintaan sebelumnya berpotensi bertahan. Keadaan ini dapat melibatkan referensi terhadap data yang sudah tidak berlaku. Dalam skenario eksploitasi yang memungkinkan, informasi sensitif dari memori berpotensi terekspos. Kedua kerentanan muncul dari mekanisme pengelolaan keadaan pemrosesan. Walaupun dampaknya serius, tidak setiap server pasti telah diserang. Pemasangan versi PHP yang telah diperbaiki tetap harus dilakukan sesegera mungkin.
Rilis Patch PHP untuk Menutup Dua Kerentanan Kritis
Pengelola keamanan PHP menghadirkan patch keamanan pada 21 Oktober 2026 untuk memperbaiki kelemahan pada runtime. Rilis keamanan yang direkomendasikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengelola server berbasis PHP 8.5 perlu memperbarui instalasi minimal ke 8.5.12. Sementara itu, versi 8.4 harus diperbarui minimal ke 8.4.27 sesuai konfigurasi runtime masing-masing. Pembaruan ini mengatasi celah eksekusi kode yang ditemukan. Dengan mempertimbangkan potensi serangan, pemasangan patch tidak sebaiknya ditunda.
Permasalahan menjadi lebih penting bagi website dengan instalasi PHP yang sudah tidak didukung. Rilis PHP sebelum seri 8.2 sudah berada di luar periode dukungan keamanan utama. Dalam praktik pengelolaan server, pengguna versi tersebut perlu merencanakan migrasi. Untuk perencanaan jangka panjang, PHP 8.2 memiliki batas dukungan keamanan hingga akhir tahun 2026. Untuk menghindari masalah berikutnya, pembaruan ke cabang PHP yang lebih baru sebaiknya dipersiapkan. Namun dalam pelaksanaannya, pengujian plugin serta tema menjadi langkah penting agar website tetap berfungsi setelah pembaruan.
Cara Memeriksa Versi PHP pada Website WordPress
Apabila situs menggunakan CMS WordPress, informasi runtime tersedia pada halaman administrasi. Pada tahap awal, masuk ke halaman administrator WordPress. Selanjutnya, buka bagian Peralatan, kemudian pilih Kesehatan Situs. Pada bagian Info, buka informasi Server untuk melihat versi PHP yang digunakan. Jika hasilnya menunjukkan versi rentan, pemilik situs sebaiknya menyiapkan peningkatan versi. Proses identifikasi awal ini membantu menentukan tindakan yang diperlukan.
Untuk pengguna layanan hosting, pengelola dapat meninjau konfigurasi PHP dari control panel. Jika menggunakan cPanel, pengguna dapat memeriksa PHP melalui halaman MultiPHP Manager apabila penyedia hosting mengaktifkan fitur tersebut. Dalam penggunaan VPS atau dedicated server, pemeriksaan dapat dilakukan melalui terminal. Perintah php -v menampilkan versi PHP untuk command-line. Meskipun perintah tersebut berguna, versi PHP untuk website bisa berbeda dari versi terminal. Untuk pemeriksaan yang tepat, pastikan versi PHP pada web server juga diperiksa. Berkat validasi tersebut, pembaruan tidak hanya dilakukan pada instalasi yang tidak digunakan website.
Dampak Kerentanan PHP terhadap WordPress dan Website Bisnis
Ancaman terbesar yang perlu diperhatikan adalah kemungkinan eksekusi kode jarak jauh tanpa autentikasi. Pada bidang perlindungan sistem, kondisi ini dikenal sebagai unauthenticated RCE. Apabila berhasil dieksploitasi, proses yang rentan dapat dikuasai. Akibat yang mungkin terjadi mencakup akses terhadap informasi sensitif. Pada website bisnis, risiko tersebut menjadi perhatian penting karena sistem terhubung dengan layanan bisnis yang bernilai. Walaupun dampak potensial sangat besar, server yang belum diperbarui tidak otomatis sudah diretas.
Ancaman keamanan tersebut melampaui satu platform CMS karena masalahnya berada pada runtime PHP. Aplikasi Joomla serta platform web khusus perusahaan berpotensi terdampak apabila menjalankan versi rentan. Untuk konfigurasi web server, berbagai mode integrasi PHP dengan web server perlu mendapatkan perhatian pembaruan. Peringatan pengembang menyebutkan risiko yang sangat tinggi pada konfigurasi mod_php karena eksploitasi telah didemonstrasikan sebelum kode aplikasi berjalan. Karena itu, administrator perlu menangani masalah pada tingkat server.
Strategi Mitigasi Risiko setelah Pengungkapan Kerentanan PHP
Tindakan paling penting adalah meningkatkan instalasi ke versi keamanan terbaru. Untuk mempersiapkan perubahan server, tim teknis dianjurkan menyimpan salinan konfigurasi dan aplikasi. Cadangan tersebut berguna ketika kompatibilitas aplikasi bermasalah. Selanjutnya, pasang versi runtime yang telah diperbaiki menggunakan prosedur terpercaya. Untuk pengguna penyedia hosting yang mengatur PHP, hubungi dukungan teknis untuk memastikan patch telah diterapkan. Ketika instalasi selesai, pastikan layanan PHP yang aktif menggunakan versi baru. Validasi aplikasi setelah peningkatan versi juga penting untuk memastikan layanan tetap berjalan.
Jika patch tidak dapat segera dipasang, pengelola server harus mempertimbangkan perlindungan darurat. Penggunaan web application firewall berpotensi mengurangi sejumlah jalur serangan, tetapi tidak menjamin perlindungan penuh. Jika aplikasi penting belum dapat diperbaiki, isolasi sementara dapat menjadi pilihan sampai patch selesai dipasang dan diverifikasi. Sebagai tindakan pendukung, pengelola dapat mengevaluasi catatan permintaan dan kesalahan sistem. Pemeriksaan tersebut dapat memberikan petunjuk upaya eksploitasi. Meski beberapa mitigasi tersedia, pembaruan PHP tetap menjadi tindakan paling efektif.
Kesimpulan tentang Dua Celah Kritis PHP dan Keamanan Website
Peringatan keamanan mengenai dua kelemahan PHP menegaskan pentingnya pembaruan perangkat lunak server. Permasalahan keamanan ini memiliki skor CVSS 9,2 dan menimbulkan ancaman serius terhadap server yang rentan. Rilis keamanan terbaru untuk cabang PHP yang masih didukung harus diprioritaskan oleh administrator. Sebagai bagian dari perlindungan menyeluruh, pemeriksaan log dan validasi server memperkuat proses pemeliharaan website. Di tengah kebutuhan perlindungan TEKNOLOGI digital, pembaruan rutin menjadi bagian penting dari tanggung jawab pengelola. Apakah website Anda sudah menggunakan PHP versi terbaru? Mari sampaikan pandangan tentang pentingnya keamanan website.
