Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Dua Kerentanan Kritis PHP Menjadi Ancaman bagi Keamanan Website
Pengelola proyek bahasa pemrograman PHP mengungkapkan dua kelemahan serius pada komponen inti PHP yang memungkinkan pengambilalihan proses tertentu dalam kondisi yang memenuhi syarat. Kedua kerentanan tersebut tercatat menggunakan identitas CVE-2026-109618 dan CVE-2026-109619. Setiap kerentanan mendapatkan penilaian tingkat bahaya 9,2 berdasarkan CVSS 4.0. Tingkat penilaian ini menempatkan keduanya dalam kategori kritis. Tidak seperti kelemahan yang hanya memengaruhi satu aplikasi, kedua celah ditemukan pada komponen inti PHP. Akibatnya, banyak sistem yang menggunakan PHP perlu diperiksa.
PHP merupakan komponen penting dalam berbagai layanan internet. Sejumlah sistem manajemen konten seperti WordPress, Drupal, dan Joomla memanfaatkan bahasa tersebut untuk menghasilkan halaman dinamis. Dengan banyaknya sistem yang memanfaatkan PHP, masalah keamanan runtime perlu mendapatkan perhatian serius. Dalam kondisi tertentu, pembaruan CMS saja belum tentu menghilangkan ancaman. Penyebab utamanya adalah kelemahan berada pada lapisan pemrosesan PHP. Oleh karena itu, pemeriksaan versi PHP menjadi prioritas utama.
Penjelasan Teknis Kerentanan Kritis pada Runtime PHP
Permasalahan pertama yang diungkap terjadi pada penanganan kondisi out-of-memory. Ketika permintaan mencapai keadaan tertentu, sistem dapat memperlakukan informasi internal yang tidak lengkap secara keliru. Permasalahan memori tersebut dapat menyebabkan kerusakan memori. Ketika penyerang mampu memicu kelemahan tersebut, dampaknya dapat mencakup eksekusi kode berbahaya. Kerentanan tersebut berasal dari pemrosesan internal PHP. Karena itu, pengelola tidak cukup hanya memperbarui plugin.
Pada kerentanan kedua, kelemahan muncul akibat penggunaan kembali informasi memori yang sudah tidak valid. Dalam proses tertentu, status dari permintaan sebelumnya berpotensi bertahan. Kesalahan pengelolaan tersebut dapat melibatkan referensi terhadap data yang sudah tidak berlaku. Apabila dimanfaatkan penyerang, proses PHP mungkin menjalankan instruksi tidak sah. Sepasang kelemahan PHP ini melibatkan penanganan data internal yang tidak aman. Walaupun dampaknya serius, tingkat risiko nyata dapat dipengaruhi konfigurasi serta jalur serangan yang tersedia. Penggunaan pembaruan resmi tetap harus dilakukan sesegera mungkin.
Rilis Patch PHP untuk Menutup Dua Kerentanan Kritis
Pengelola keamanan PHP merilis versi perbaikan pada 21 Oktober 2026 untuk mengatasi masalah manajemen memori tersebut. Versi yang telah memperoleh perbaikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengguna PHP 8.5 perlu memperbarui instalasi minimal ke 8.5.12. Pada seri PHP yang berbeda, versi 8.4 harus diperbarui minimal ke 8.4.27 sesuai konfigurasi runtime masing-masing. Pembaruan ini ditujukan untuk menutup kedua kelemahan. Karena ancamannya serius, pemasangan patch tidak sebaiknya ditunda.
Permasalahan menjadi lebih penting bagi server yang menggunakan PHP versi lama. Cabang PHP 8.1 beserta versi yang lebih tua tidak lagi menerima perbaikan keamanan resmi dari proyek PHP. Artinya, administrator perlu mengganti cabang PHP yang sudah usang. Selain itu, PHP 8.2 dijadwalkan mencapai akhir masa dukungan pada 31 Desember 2026. Untuk menghindari masalah berikutnya, pembaruan ke cabang PHP yang lebih baru sebaiknya dipersiapkan. Walaupun pembaruan sangat diperlukan, pengujian plugin serta tema menjadi langkah penting agar proses migrasi berlangsung dengan risiko operasional minimal.
Cara Memeriksa Versi PHP pada Website WordPress
Apabila situs menggunakan CMS WordPress, informasi runtime tersedia pada halaman administrasi. Untuk memulai pemeriksaan, masuk ke halaman administrator WordPress. Kemudian, buka bagian Peralatan, kemudian pilih Kesehatan Situs. Dalam tab Informasi, temukan kategori Server untuk melihat versi PHP yang digunakan. Apabila instalasi belum menggunakan rilis yang diperbaiki, pengelola perlu segera melakukan pembaruan. Langkah sederhana tersebut memberikan gambaran kondisi keamanan server.
Selain melalui WordPress, pengelola dapat meninjau konfigurasi PHP dari control panel. Jika menggunakan cPanel, fitur pengelolaan versi PHP tersedia melalui MultiPHP Manager apabila penyedia hosting mengaktifkan fitur tersebut. Sementara itu, versi PHP bisa diketahui menggunakan perintah sistem. Perintah php -v memberikan detail instalasi PHP yang dipanggil terminal. Walaupun informasi CLI dapat diperoleh, versi PHP untuk website bisa berbeda dari versi terminal. Untuk pemeriksaan yang tepat, administrator perlu mengidentifikasi runtime yang benar-benar melayani website. Berkat validasi tersebut, pembaruan tidak hanya dilakukan pada instalasi yang tidak digunakan website.
Risiko Serangan Siber akibat Dua Celah Keamanan PHP
Dampak paling serius adalah kemampuan menjalankan kode berbahaya tanpa harus memiliki akun. Pada bidang perlindungan sistem, kondisi ini dikenal sebagai unauthenticated RCE. Jika penyerang mampu memanfaatkan celah, sistem dapat mengalami kompromi. Konsekuensi keamanan yang berpotensi muncul mencakup akses terhadap informasi sensitif. Dalam lingkungan perdagangan elektronik, risiko tersebut menjadi perhatian penting karena server sering menyimpan atau mengakses informasi penting. Namun perlu ditegaskan, indikasi kompromi tetap memerlukan pemeriksaan tersendiri.
Dua kelemahan PHP ini memiliki cakupan lebih luas daripada WordPress karena masalahnya berada pada runtime PHP. Aplikasi Joomla serta layanan digital berbasis PHP lainnya berpotensi terdampak apabila menjalankan versi rentan. Selain itu, sejumlah konfigurasi pemrosesan PHP yang berbeda harus dievaluasi sesuai versi yang digunakan. Dalam informasi keamanan resmi, pengembang PHP menekankan tingkat bahaya khusus untuk Apache mod_php karena serangan dapat dipicu sebelum logika website diproses. Untuk mengurangi kemungkinan eksploitasi, patch keamanan harus diprioritaskan.
Panduan Pembaruan PHP dan Perlindungan Server Website
Tindakan paling penting adalah meningkatkan instalasi ke versi keamanan terbaru. Sebelum melakukan pembaruan, tim teknis dianjurkan menyimpan salinan konfigurasi dan aplikasi. Salinan data tersebut membantu proses pemulihan apabila terjadi gangguan. Setelah persiapan selesai, pasang versi runtime yang telah diperbaiki menggunakan prosedur terpercaya. Jika menggunakan layanan managed hosting, hubungi dukungan teknis untuk memastikan patch telah diterapkan. Ketika instalasi selesai, pastikan layanan PHP yang aktif menggunakan versi baru. Validasi aplikasi setelah peningkatan versi juga harus menjadi bagian dari prosedur.
Ketika lingkungan produksi membutuhkan waktu untuk diperbarui, administrator perlu menerapkan tindakan pembatasan sementara. Pemanfaatan firewall aplikasi web mendukung pembatasan trafik berbahaya tertentu, tetapi tidak menjamin perlindungan penuh. Jika aplikasi penting belum dapat diperbaiki, pembatasan akses jaringan perlu dipertimbangkan sampai patch selesai dipasang dan diverifikasi. Untuk meningkatkan pengawasan, administrator dianjurkan memeriksa log server. Evaluasi keamanan tersebut dapat memberikan petunjuk upaya eksploitasi. Meski beberapa mitigasi tersedia, penggunaan versi yang telah diperbaiki harus tetap diprioritaskan.
Kesimpulan tentang Dua Celah Kritis PHP dan Keamanan Website
Peringatan keamanan mengenai dua kelemahan PHP menjadi pengingat penting bagi pengelola website. Kerentanan pada runtime PHP tersebut mendapatkan tingkat keparahan kritis dan berpotensi memungkinkan eksekusi kode tanpa autentikasi. Rilis keamanan terbaru untuk cabang PHP yang masih didukung perlu segera diterapkan. Selain memasang patch, pemeriksaan log dan validasi server memperkuat proses pemeliharaan website. Di tengah kebutuhan perlindungan TEKNOLOGI digital, pembaruan rutin menjadi bagian penting dari tanggung jawab pengelola. Bagaimana pengalaman Anda melakukan pembaruan keamanan PHP? Silakan bagikan pengalaman Anda mengenai pembaruan PHP.
