Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Peringatan Keamanan PHP dan Risiko Serangan terhadap Server Website
Tim pengembang PHP mengungkapkan dua kelemahan serius pada komponen inti PHP yang berpotensi memungkinkan penyerang menjalankan kode dari jarak jauh. Permasalahan yang ditemukan tersebut tercatat menggunakan identitas CVE-2026-109618 dan CVE-2026-109619. Setiap kerentanan mendapatkan skor CVSS versi 4.0 sebesar 9,2. Tingkat penilaian ini menggambarkan potensi dampak keamanan yang tinggi. Tidak seperti kelemahan yang hanya memengaruhi satu aplikasi, kelemahan ini berada dalam mesin pemrosesan PHP. Oleh sebab itu, berbagai website dapat menghadapi risiko.
Bahasa pemrograman PHP dikenal sebagai bahasa pemrograman populer untuk aplikasi web. Banyak aplikasi berbasis web seperti WordPress, Drupal, dan Joomla memanfaatkan bahasa tersebut untuk menghasilkan halaman dinamis. Karena penggunaannya luas, kelemahan tersebut berpotensi memengaruhi berbagai jenis website. Dalam kondisi tertentu, website dengan aplikasi yang sudah diperbarui tetap dapat berisiko. Kondisi tersebut berkaitan dengan kerentanan terjadi pada mesin PHP sebelum sebagian logika aplikasi diproses. Untuk mengurangi kemungkinan serangan, pemeriksaan versi PHP menjadi prioritas utama.
Mengenal CVE-2026-109618 dan CVE-2026-109619
Celah keamanan dengan kode CVE-2026-109618 melibatkan kesalahan pemrosesan saat batas memori tercapai. Dalam kondisi tertentu, sistem dapat memperlakukan informasi internal yang tidak lengkap secara keliru. Kondisi tersebut memungkinkan terjadinya memory corruption. Apabila berhasil dimanfaatkan, proses PHP dapat mengalami pengambilalihan dalam kondisi tertentu. Kerentanan tersebut terjadi pada lapisan yang lebih mendasar daripada logika website. Berdasarkan karakteristik tersebut, pembaruan aplikasi saja belum memberikan perlindungan menyeluruh.
Pada kerentanan kedua, gangguan terjadi pada pengelolaan keadaan global antarpermintaan. Dalam proses tertentu, status dari permintaan sebelumnya berpotensi bertahan. Kesalahan pengelolaan tersebut termasuk permasalahan stale state pada runtime. Apabila dimanfaatkan penyerang, server dapat menghadapi risiko eksekusi kode jarak jauh. Dua masalah keamanan tersebut muncul dari mekanisme pengelolaan keadaan pemrosesan. Meskipun demikian, keberhasilan eksploitasi bergantung pada kondisi lingkungan. Penerapan patch keamanan terbaru tetap harus dilakukan sesegera mungkin.
Rilis Patch PHP untuk Menutup Dua Kerentanan Kritis
Proyek resmi PHP menghadirkan patch keamanan pada 21 Oktober 2026 untuk mengatasi masalah manajemen memori tersebut. Rilis keamanan yang direkomendasikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengelola server berbasis PHP 8.5 harus memastikan sistem tidak lagi menggunakan 8.5.11 atau rilis rentan sebelumnya. Pada seri PHP yang berbeda, pengguna PHP 8.3 perlu menggunakan minimal 8.3.36 sesuai cabang versi yang digunakan. Pembaruan ini ditujukan untuk menutup kedua kelemahan. Mengingat tingkat keparahannya tinggi, pengelola website perlu menjadikan pembaruan sebagai prioritas.
Perhatian tambahan diperlukan bagi website dengan instalasi PHP yang sudah tidak didukung. Rilis PHP sebelum seri 8.2 sudah berada di luar periode dukungan keamanan utama. Dalam praktik pengelolaan server, pengguna versi tersebut perlu merencanakan migrasi. Selain itu, PHP 8.2 memiliki batas dukungan keamanan hingga akhir tahun 2026. Karena itu, pengelola website dianjurkan mempertimbangkan penggunaan seri PHP dengan masa dukungan lebih panjang. Walaupun pembaruan sangat diperlukan, perubahan versi perlu disertai evaluasi perangkat lunak agar website tetap berfungsi setelah pembaruan.
Langkah Mengetahui PHP yang Digunakan Server Hosting
Bagi pengguna WordPress, pemeriksaan versi PHP dapat dilakukan melalui dashboard. Untuk memulai pemeriksaan, masuk ke halaman administrator WordPress. Selanjutnya, buka bagian Peralatan, kemudian pilih Kesehatan Situs. Dalam tab Informasi, temukan kategori Server untuk memeriksa informasi konfigurasi PHP. Ketika nomor PHP masih lebih rendah daripada versi aman, pemilik situs sebaiknya menyiapkan peningkatan versi. Pemeriksaan ini membantu menentukan tindakan yang diperlukan.
Di luar dashboard CMS, pengelola dapat meninjau konfigurasi PHP dari control panel. Pada layanan cPanel, pengguna dapat memeriksa PHP melalui halaman MultiPHP Manager apabila administrator server menyediakan akses tersebut. Untuk server yang dikelola sendiri, pemeriksaan dapat dilakukan melalui terminal. Pemeriksaan menggunakan php -v memberikan detail instalasi PHP yang dipanggil terminal. Meskipun perintah tersebut berguna, versi PHP untuk website bisa berbeda dari versi terminal. Untuk pemeriksaan yang tepat, informasi PHP-FPM atau modul web server harus diverifikasi. Berkat validasi tersebut, risiko salah mengidentifikasi lingkungan PHP dapat dikurangi.
Ancaman Remote Code Execution bagi Server yang Belum Diperbarui
Ancaman terbesar yang perlu diperhatikan adalah potensi remote code execution oleh penyerang anonim. Dalam pengelolaan keamanan server, serangan tersebut termasuk kategori remote code execution tanpa login. Jika penyerang mampu memanfaatkan celah, server berpotensi kehilangan integritas. Konsekuensi keamanan yang berpotensi muncul meliputi gangguan layanan serta penyalahgunaan sumber daya. Dalam lingkungan perdagangan elektronik, risiko tersebut menjadi perhatian penting karena sistem terhubung dengan layanan bisnis yang bernilai. Walaupun dampak potensial sangat besar, server yang belum diperbarui tidak otomatis sudah diretas.
Ancaman keamanan tersebut melampaui satu platform CMS karena masalahnya berada pada runtime PHP. Website Drupal serta aplikasi PHP buatan sendiri perlu diperiksa jika menggunakan runtime yang belum diperbaiki. Dalam penggunaan infrastruktur hosting, berbagai mode integrasi PHP dengan web server tidak sebaiknya dianggap aman tanpa pemeriksaan. Dalam informasi keamanan resmi, pengembang PHP menekankan tingkat bahaya khusus untuk Apache mod_php karena eksploitasi telah didemonstrasikan sebelum kode aplikasi berjalan. Dengan kondisi tersebut, patch keamanan harus diprioritaskan.
Panduan Pembaruan PHP dan Perlindungan Server Website
Langkah utama yang direkomendasikan adalah memasang pembaruan PHP yang sudah memperbaiki kedua celah. Untuk mempersiapkan perubahan server, tim teknis dianjurkan menyimpan salinan konfigurasi dan aplikasi. File backup yang tersedia memberikan pilihan pemulihan saat pembaruan menimbulkan kendala. Setelah persiapan selesai, pasang versi runtime yang telah diperbaiki menggunakan prosedur terpercaya. Untuk pengguna penyedia hosting yang mengatur PHP, periksa pemberitahuan keamanan dari perusahaan hosting. Ketika instalasi selesai, periksa kembali runtime yang melayani permintaan web. Validasi aplikasi setelah peningkatan versi juga perlu dilakukan secara menyeluruh.
Ketika lingkungan produksi membutuhkan waktu untuk diperbarui, administrator perlu menerapkan tindakan pembatasan sementara. Penerapan aturan WAF berpotensi mengurangi sejumlah jalur serangan, tetapi tidak dapat dianggap menutup seluruh kelemahan. Pada server yang terbuka langsung ke internet, penonaktifan layanan untuk sementara mungkin diperlukan sampai server berhasil menggunakan versi aman. Untuk meningkatkan pengawasan, tim keamanan perlu meninjau aktivitas mencurigakan. Pemeriksaan tersebut dapat memberikan petunjuk upaya eksploitasi. Meski beberapa mitigasi tersedia, pembaruan PHP tetap menjadi tindakan paling efektif.
Rangkuman Ancaman PHP dan Langkah Perlindungan Website
Peringatan keamanan mengenai dua kelemahan PHP menunjukkan perlunya pemeliharaan sistem secara berkelanjutan. Kedua celah tersebut tergolong kritis dengan penilaian 9,2 dan menimbulkan ancaman serius terhadap server yang rentan. Rilis keamanan terbaru untuk cabang PHP yang masih didukung perlu segera diterapkan. Di samping meningkatkan versi PHP, pengujian aplikasi dan pengawasan aktivitas memperkuat proses pemeliharaan website. Dalam perkembangan TEKNOLOGI keamanan siber, pengawasan infrastruktur harus dilakukan secara konsisten. Apakah website Anda sudah menggunakan PHP versi terbaru? Mari sampaikan pandangan tentang pentingnya keamanan website.
