Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Dua Kerentanan Kritis PHP Menjadi Ancaman bagi Keamanan Website
Pengelola proyek bahasa pemrograman PHP mengungkapkan sepasang celah berbahaya dalam sistem PHP yang berpotensi memungkinkan penyerang menjalankan kode dari jarak jauh. Kedua kerentanan tersebut diidentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619. Setiap kerentanan mendapatkan nilai keparahan 9,2 dalam sistem CVSS terbaru. Angka tersebut menggambarkan potensi dampak keamanan yang tinggi. Berbeda dari masalah pada plugin tertentu, kelemahan ini berada dalam mesin pemrosesan PHP. Dengan kondisi tersebut, banyak sistem yang menggunakan PHP perlu diperiksa.
Dalam pengembangan website, PHP menjadi salah satu teknologi server yang banyak digunakan. Banyak aplikasi berbasis web seperti WordPress, Drupal, dan Joomla memanfaatkan bahasa tersebut untuk menghasilkan halaman dinamis. Karena penggunaannya luas, kerentanan pada komponen inti memiliki dampak yang luas. Dalam kondisi tertentu, plugin yang aman tidak otomatis melindungi runtime PHP yang rentan. Kondisi tersebut berkaitan dengan masalah muncul dalam komponen yang menjalankan kode aplikasi. Oleh karena itu, pemeriksaan versi PHP menjadi prioritas utama.
Penjelasan Teknis Kerentanan Kritis pada Runtime PHP
Celah keamanan dengan kode CVE-2026-109618 terjadi pada penanganan kondisi out-of-memory. Pada situasi pemrosesan khusus, PHP dapat mengalami gangguan saat mengelola data internal. Kondisi tersebut dapat menyebabkan kerusakan memori. Jika kondisi eksploitasi terpenuhi, dampaknya dapat mencakup eksekusi kode berbahaya. Kerentanan tersebut berasal dari pemrosesan internal PHP. Berdasarkan karakteristik tersebut, pengelola tidak cukup hanya memperbarui plugin.
Pada kerentanan kedua, permasalahan berkaitan dengan status internal yang tertinggal. Ketika PHP menangani rangkaian permintaan, data internal yang seharusnya dibersihkan dapat tetap tersimpan. Kesalahan pengelolaan tersebut termasuk permasalahan stale state pada runtime. Jika kelemahan tersebut berhasil dipicu, server dapat menghadapi risiko eksekusi kode jarak jauh. Kedua kerentanan muncul dari mekanisme pengelolaan keadaan pemrosesan. Namun perlu diperhatikan, tidak setiap server pasti telah diserang. Penggunaan pembaruan resmi tetap menjadi langkah perlindungan paling penting.
Rilis Patch PHP untuk Menutup Dua Kerentanan Kritis
Tim pengembang PHP telah menyediakan pembaruan pada 21 Oktober 2026 untuk menutup kedua kerentanan kritis. Rilis keamanan yang direkomendasikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengelola server berbasis PHP 8.5 harus memastikan sistem tidak lagi menggunakan 8.5.11 atau rilis rentan sebelumnya. Untuk cabang lainnya, pengguna PHP 8.3 perlu menggunakan minimal 8.3.36 sesuai lingkungan server yang sedang berjalan. Pembaruan ini mengatasi celah eksekusi kode yang ditemukan. Dengan mempertimbangkan potensi serangan, pengelola website perlu menjadikan pembaruan sebagai prioritas.
Perhatian tambahan diperlukan bagi aplikasi berbasis cabang PHP usang. Rilis PHP sebelum seri 8.2 tidak lagi menerima perbaikan keamanan resmi dari proyek PHP. Dalam praktik pengelolaan server, pengelola website harus meningkatkan runtime ke versi yang didukung. Selain itu, PHP 8.2 memiliki batas dukungan keamanan hingga akhir tahun 2026. Untuk menghindari masalah berikutnya, pengelola website dianjurkan mempertimbangkan penggunaan seri PHP dengan masa dukungan lebih panjang. Meski demikian, pengujian plugin serta tema menjadi langkah penting agar layanan tidak mengalami gangguan yang tidak diharapkan.
Panduan Mengecek Kerentanan PHP Sebelum Memperbarui Website
Untuk pengelola website berbasis WordPress, pemeriksaan versi PHP dapat dilakukan melalui dashboard. Pada tahap awal, buka dashboard pengelolaan website. Kemudian, buka bagian Peralatan, kemudian buka halaman Site Health. Melalui halaman Info, buka informasi Server untuk mengetahui nomor rilis runtime PHP. Jika hasilnya menunjukkan versi rentan, pemilik situs sebaiknya menyiapkan peningkatan versi. Langkah sederhana tersebut memberikan gambaran kondisi keamanan server.
Untuk pengguna layanan hosting, informasi runtime biasanya tersedia dalam pengaturan server. Dalam lingkungan hosting berbasis cPanel, pengguna dapat memeriksa PHP melalui halaman MultiPHP Manager apabila penyedia hosting mengaktifkan fitur tersebut. Sementara itu, pemeriksaan dapat dilakukan melalui terminal. Perintah php -v menampilkan versi PHP untuk command-line. Meskipun perintah tersebut berguna, versi PHP untuk website bisa berbeda dari versi terminal. Karena itu, pastikan versi PHP pada web server juga diperiksa. Melalui pemeriksaan menyeluruh, server aktif benar-benar mendapatkan perbaikan.
Dampak Kerentanan PHP terhadap WordPress dan Website Bisnis
Risiko utama dari kerentanan tersebut adalah kemungkinan eksekusi kode jarak jauh tanpa autentikasi. Dalam pengelolaan keamanan server, serangan tersebut termasuk kategori remote code execution tanpa login. Ketika serangan memenuhi kondisi eksploitasi, server berpotensi kehilangan integritas. Konsekuensi keamanan yang berpotensi muncul dapat berupa perubahan data website. Untuk aplikasi yang mengelola pelanggan, risiko tersebut menjadi perhatian penting karena sistem terhubung dengan layanan bisnis yang bernilai. Meski demikian, keberadaan versi rentan bukan bukti bahwa serangan telah terjadi.
Kerentanan ini tidak hanya relevan untuk WordPress karena masalahnya berada pada runtime PHP. Sistem Laravel serta aplikasi PHP buatan sendiri berpotensi terdampak apabila menjalankan versi rentan. Untuk konfigurasi web server, berbagai mode integrasi PHP dengan web server tidak sebaiknya dianggap aman tanpa pemeriksaan. Dalam informasi keamanan resmi, pengembang PHP menekankan perhatian utama terhadap lingkungan mod_php karena eksploitasi telah didemonstrasikan sebelum kode aplikasi berjalan. Karena itu, patch keamanan harus diprioritaskan.
Panduan Pembaruan PHP dan Perlindungan Server Website
Langkah utama yang direkomendasikan adalah memasang pembaruan PHP yang sudah memperbaiki kedua celah. Sebelum melakukan pembaruan, pengelola perlu menyiapkan backup data. Cadangan tersebut membantu proses pemulihan apabila terjadi gangguan. Selanjutnya, pasang versi runtime yang telah diperbaiki menggunakan prosedur terpercaya. Apabila website berada pada hosting terkelola, minta konfirmasi mengenai versi PHP aktif. Sesudah patch diterapkan, validasi bahwa proses server telah menjalankan PHP yang diperbaiki. Pemeriksaan halaman dan fitur penting juga harus menjadi bagian dari prosedur.
Jika patch tidak dapat segera dipasang, organisasi sebaiknya melakukan mitigasi risiko tambahan. Pemanfaatan firewall aplikasi web berpotensi mengurangi sejumlah jalur serangan, tetapi bukan pengganti pembaruan PHP. Untuk sistem dengan risiko tinggi, isolasi sementara dapat menjadi pilihan sampai patch selesai dipasang dan diverifikasi. Sebagai tindakan pendukung, tim keamanan perlu meninjau aktivitas mencurigakan. Langkah investigasi ini mendukung identifikasi indikasi kompromi. Namun demikian, penggunaan versi yang telah diperbaiki harus tetap diprioritaskan.
Rangkuman Ancaman PHP dan Langkah Perlindungan Website
Ditemukannya CVE-2026-109618 dan CVE-2026-109619 menegaskan pentingnya pembaruan perangkat lunak server. Permasalahan keamanan ini mendapatkan tingkat keparahan kritis dan dapat membuka peluang pengambilalihan proses dari jarak jauh. Versi PHP yang telah memperoleh perbaikan resmi harus diprioritaskan oleh administrator. Sebagai bagian dari perlindungan menyeluruh, pembuatan backup serta evaluasi konfigurasi membantu menjaga keamanan operasional. Dalam perkembangan TEKNOLOGI keamanan siber, keamanan runtime tidak boleh diabaikan. Menurut Anda, apa tantangan terbesar dalam menjaga keamanan server website? Bagikan pendapat Anda mengenai langkah perlindungan server yang efektif.
