Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Mengenal Celah Keamanan PHP yang Memerlukan Pembaruan Segera
Komunitas pengembang inti PHP mengumumkan sepasang celah berbahaya dalam sistem PHP yang dapat membuka peluang eksekusi perintah berbahaya pada server. Permasalahan yang ditemukan tersebut diidentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619. Setiap kerentanan mendapatkan nilai keparahan 9,2 dalam sistem CVSS terbaru. Skor keamanan tersebut menunjukkan tingkat risiko yang sangat serius. Tidak seperti kerentanan yang terbatas pada tema website, kelemahan ini berada dalam mesin pemrosesan PHP. Dengan kondisi tersebut, berbagai website dapat menghadapi risiko.
Dalam pengembangan website, PHP menjadi bahasa pemrograman populer untuk aplikasi web. Banyak aplikasi berbasis web seperti WordPress, Drupal, dan Joomla mengandalkan PHP untuk menjalankan fungsinya. Karena penggunaannya luas, kerentanan pada komponen inti memiliki dampak yang luas. Dalam kondisi tertentu, website dengan aplikasi yang sudah diperbarui tetap dapat berisiko. Kondisi tersebut berkaitan dengan masalah muncul dalam komponen yang menjalankan kode aplikasi. Untuk mengurangi kemungkinan serangan, administrator website harus memastikan runtime memperoleh perbaikan keamanan.
Bagaimana Dua Celah PHP Dapat Membahayakan Server?
Permasalahan pertama yang diungkap berkaitan dengan pengelolaan memori ketika sumber daya habis. Ketika permintaan mencapai keadaan tertentu, PHP dapat mengalami gangguan saat mengelola data internal. Permasalahan memori tersebut berpotensi mengganggu integritas proses. Ketika penyerang mampu memicu kelemahan tersebut, dampaknya dapat mencakup eksekusi kode berbahaya. Masalah ini tidak bergantung pada kesalahan penulisan kode aplikasi biasa. Berdasarkan karakteristik tersebut, perbaikan tema website tidak menyelesaikan akar masalah.
Sementara itu, gangguan terjadi pada pengelolaan keadaan global antarpermintaan. Dalam proses tertentu, informasi lama dapat digunakan kembali secara tidak semestinya. Keadaan ini dapat melibatkan referensi terhadap data yang sudah tidak berlaku. Dalam skenario eksploitasi yang memungkinkan, informasi sensitif dari memori berpotensi terekspos. Sepasang kelemahan PHP ini berkaitan dengan kesalahan manajemen memori. Walaupun dampaknya serius, keberhasilan eksploitasi bergantung pada kondisi lingkungan. Penggunaan pembaruan resmi tetap harus dilakukan sesegera mungkin.
Versi PHP yang Terdampak dan Pembaruan Keamanan Resmi
Proyek resmi PHP telah menyediakan pembaruan pada 21 Oktober 2026 untuk mengatasi masalah manajemen memori tersebut. Versi yang telah memperoleh perbaikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Administrator yang masih menjalankan cabang PHP 8.5 perlu memperbarui instalasi minimal ke 8.5.12. Sementara itu, pengguna PHP 8.3 perlu menggunakan minimal 8.3.36 sesuai konfigurasi runtime masing-masing. Pembaruan ini mengatasi celah eksekusi kode yang ditemukan. Dengan mempertimbangkan potensi serangan, pengelola website perlu menjadikan pembaruan sebagai prioritas.
Risiko meningkat bagi server yang menggunakan PHP versi lama. Rilis PHP sebelum seri 8.2 tidak lagi menerima perbaikan keamanan resmi dari proyek PHP. Dalam praktik pengelolaan server, pengelola website harus meningkatkan runtime ke versi yang didukung. Untuk perencanaan jangka panjang, PHP 8.2 dijadwalkan mencapai akhir masa dukungan pada 31 Desember 2026. Untuk menghindari masalah berikutnya, pembaruan ke cabang PHP yang lebih baru sebaiknya dipersiapkan. Namun dalam pelaksanaannya, kompatibilitas aplikasi tetap harus diperiksa agar website tetap berfungsi setelah pembaruan.
Panduan Mengecek Kerentanan PHP Sebelum Memperbarui Website
Untuk pengelola website berbasis WordPress, versi PHP bisa diketahui melalui fitur bawaan WordPress. Untuk memulai pemeriksaan, buka dashboard pengelolaan website. Setelah berhasil masuk, akses menu pengelolaan Tools, kemudian masuk ke Site Health. Pada bagian Info, temukan kategori Server untuk mengetahui nomor rilis runtime PHP. Apabila instalasi belum menggunakan rilis yang diperbaiki, pemilik situs sebaiknya menyiapkan peningkatan versi. Langkah sederhana tersebut memberikan gambaran kondisi keamanan server.
Untuk pengguna layanan hosting, informasi runtime biasanya tersedia dalam pengaturan server. Pada layanan cPanel, pengguna dapat memeriksa PHP melalui halaman MultiPHP Manager apabila layanan hosting mendukung pengaturan versi PHP. Sementara itu, versi PHP bisa diketahui menggunakan perintah sistem. Perintah php -v memperlihatkan informasi PHP pada lingkungan CLI. Meskipun perintah tersebut berguna, runtime PHP-FPM tidak selalu identik dengan PHP CLI. Karena itu, pastikan versi PHP pada web server juga diperiksa. Melalui pemeriksaan menyeluruh, pembaruan tidak hanya dilakukan pada instalasi yang tidak digunakan website.
Dampak Kerentanan PHP terhadap WordPress dan Website Bisnis
Ancaman terbesar yang perlu diperhatikan adalah potensi remote code execution oleh penyerang anonim. Dalam pengelolaan keamanan server, kondisi ini dikenal sebagai unauthenticated RCE. Jika penyerang mampu memanfaatkan celah, server berpotensi kehilangan integritas. Dampaknya meliputi gangguan layanan serta penyalahgunaan sumber daya. Pada website bisnis, dampaknya dapat memengaruhi operasional karena server sering menyimpan atau mengakses informasi penting. Namun perlu ditegaskan, keberadaan versi rentan bukan bukti bahwa serangan telah terjadi.
Dua kelemahan PHP ini memiliki cakupan lebih luas daripada WordPress karena komponen yang rentan digunakan berbagai aplikasi. Website Drupal serta platform web khusus perusahaan memerlukan peninjauan keamanan pada lingkungan server. Dalam penggunaan infrastruktur hosting, sejumlah konfigurasi pemrosesan PHP yang berbeda perlu mendapatkan perhatian pembaruan. Tim keamanan PHP menyoroti tingkat bahaya khusus untuk Apache mod_php karena permintaan berbahaya dapat mencapai bagian rentan lebih awal. Karena itu, patch keamanan harus diprioritaskan.
Langkah Mendesak Mengamankan Website dari Celah PHP
Prioritas pertama bagi pengelola website adalah meningkatkan instalasi ke versi keamanan terbaru. Sebelum melakukan pembaruan, pengelola perlu menyiapkan backup data. Cadangan tersebut memberikan pilihan pemulihan saat pembaruan menimbulkan kendala. Setelah persiapan selesai, gunakan paket PHP dari penyedia sistem operasi atau hosting. Jika menggunakan layanan managed hosting, periksa pemberitahuan keamanan dari perusahaan hosting. Ketika instalasi selesai, periksa kembali runtime yang melayani permintaan web. Pemeriksaan halaman dan fitur penting juga perlu dilakukan secara menyeluruh.
Ketika lingkungan produksi membutuhkan waktu untuk diperbarui, administrator perlu menerapkan tindakan pembatasan sementara. Penggunaan web application firewall mendukung pembatasan trafik berbahaya tertentu, tetapi tidak dapat dianggap menutup seluruh kelemahan. Jika aplikasi penting belum dapat diperbaiki, isolasi sementara dapat menjadi pilihan sampai perbaikan keamanan dapat diterapkan. Untuk meningkatkan pengawasan, pengelola dapat mengevaluasi catatan permintaan dan kesalahan sistem. Langkah investigasi ini dapat memberikan petunjuk upaya eksploitasi. Meski beberapa mitigasi tersedia, patch resmi merupakan solusi utama.
Penutup: Pentingnya Memperbarui PHP untuk Mencegah Serangan
Ditemukannya CVE-2026-109618 dan CVE-2026-109619 menegaskan pentingnya pembaruan perangkat lunak server. Permasalahan keamanan ini memiliki skor CVSS 9,2 dan berpotensi memungkinkan eksekusi kode tanpa autentikasi. Pembaruan PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 menjadi langkah utama untuk menutup kelemahan tersebut. Selain memasang patch, pengujian aplikasi dan pengawasan aktivitas mendukung pengelolaan risiko yang lebih baik. Di tengah kebutuhan perlindungan TEKNOLOGI digital, pembaruan rutin menjadi bagian penting dari tanggung jawab pengelola. Menurut Anda, apa tantangan terbesar dalam menjaga keamanan server website? Mari sampaikan pandangan tentang pentingnya keamanan website.
