Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Peringatan Keamanan PHP dan Risiko Serangan terhadap Server Website
Komunitas pengembang inti PHP mengumumkan sepasang celah berbahaya dalam sistem PHP yang memungkinkan pengambilalihan proses tertentu dalam kondisi yang memenuhi syarat. Dua kelemahan keamanan ini tercatat menggunakan identitas CVE-2026-109618 dan CVE-2026-109619. Keduanya memiliki nilai keparahan 9,2 dalam sistem CVSS terbaru. Angka tersebut menunjukkan tingkat risiko yang sangat serius. Tidak seperti kelemahan yang hanya memengaruhi satu aplikasi, kelemahan ini berada dalam mesin pemrosesan PHP. Oleh sebab itu, banyak sistem yang menggunakan PHP perlu diperiksa.
Dalam pengembangan website, PHP menjadi salah satu teknologi server yang banyak digunakan. Berbagai platform seperti WordPress, Drupal, dan Joomla memanfaatkan bahasa tersebut untuk menghasilkan halaman dinamis. Dengan banyaknya sistem yang memanfaatkan PHP, masalah keamanan runtime perlu mendapatkan perhatian serius. Selain itu, website dengan aplikasi yang sudah diperbarui tetap dapat berisiko. Penyebab utamanya adalah masalah muncul dalam komponen yang menjalankan kode aplikasi. Oleh karena itu, pengelola server perlu segera melakukan pembaruan.
Penjelasan Teknis Kerentanan Kritis pada Runtime PHP
Kerentanan pertama berkaitan dengan pengelolaan memori ketika sumber daya habis. Dalam kondisi tertentu, sistem dapat memperlakukan informasi internal yang tidak lengkap secara keliru. Permasalahan memori tersebut memungkinkan terjadinya memory corruption. Jika kondisi eksploitasi terpenuhi, proses PHP dapat mengalami pengambilalihan dalam kondisi tertentu. Kerentanan tersebut terjadi pada lapisan yang lebih mendasar daripada logika website. Dengan demikian, pengelola tidak cukup hanya memperbarui plugin.
Sementara itu, gangguan terjadi pada pengelolaan keadaan global antarpermintaan. Ketika PHP menangani rangkaian permintaan, informasi lama dapat digunakan kembali secara tidak semestinya. Situasi tersebut berhubungan dengan penggunaan memori setelah dibebaskan. Dalam skenario eksploitasi yang memungkinkan, server dapat menghadapi risiko eksekusi kode jarak jauh. Kedua kerentanan berkaitan dengan kesalahan manajemen memori. Namun perlu diperhatikan, keberhasilan eksploitasi bergantung pada kondisi lingkungan. Pemasangan versi PHP yang telah diperbaiki tetap menjadi langkah perlindungan paling penting.
Daftar PHP yang Harus Segera Diperbarui oleh Administrator
Proyek resmi PHP telah menyediakan pembaruan pada 21 Oktober 2026 untuk menutup kedua kerentanan kritis. Rilis keamanan yang direkomendasikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Administrator yang masih menjalankan cabang PHP 8.5 harus memastikan sistem tidak lagi menggunakan 8.5.11 atau rilis rentan sebelumnya. Pada seri PHP yang berbeda, versi 8.4 harus diperbarui minimal ke 8.4.27 sesuai cabang versi yang digunakan. Perbaikan keamanan tersebut mengatasi celah eksekusi kode yang ditemukan. Karena ancamannya serius, administrator dianjurkan segera melakukan peningkatan versi.
Perhatian tambahan diperlukan bagi server yang menggunakan PHP versi lama. Versi PHP 8.1 dan sebelumnya tidak memperoleh patch baru melalui siklus rilis resmi PHP. Dalam praktik pengelolaan server, administrator perlu mengganti cabang PHP yang sudah usang. Untuk perencanaan jangka panjang, PHP 8.2 dijadwalkan mencapai akhir masa dukungan pada 31 Desember 2026. Untuk menghindari masalah berikutnya, organisasi perlu menyusun rencana migrasi jangka panjang. Walaupun pembaruan sangat diperlukan, pengujian plugin serta tema menjadi langkah penting agar proses migrasi berlangsung dengan risiko operasional minimal.
Panduan Mengecek Kerentanan PHP Sebelum Memperbarui Website
Apabila situs menggunakan CMS WordPress, informasi runtime tersedia pada halaman administrasi. Langkah pertama, masuk ke halaman administrator WordPress. Selanjutnya, buka bagian Peralatan, kemudian masuk ke Site Health. Pada bagian Info, periksa detail lingkungan server untuk melihat versi PHP yang digunakan. Apabila instalasi belum menggunakan rilis yang diperbaiki, pemilik situs sebaiknya menyiapkan peningkatan versi. Langkah sederhana tersebut memberikan gambaran kondisi keamanan server.
Selain melalui WordPress, pengelola dapat meninjau konfigurasi PHP dari control panel. Dalam lingkungan hosting berbasis cPanel, fitur pengelolaan versi PHP tersedia melalui MultiPHP Manager apabila administrator server menyediakan akses tersebut. Dalam penggunaan VPS atau dedicated server, pemeriksaan dapat dilakukan melalui terminal. Pemeriksaan menggunakan php -v menampilkan versi PHP untuk command-line. Walaupun informasi CLI dapat diperoleh, versi PHP untuk website bisa berbeda dari versi terminal. Sebagai langkah validasi, administrator perlu mengidentifikasi runtime yang benar-benar melayani website. Berkat validasi tersebut, server aktif benar-benar mendapatkan perbaikan.
Dampak Kerentanan PHP terhadap WordPress dan Website Bisnis
Dampak paling serius adalah potensi remote code execution oleh penyerang anonim. Dalam istilah keamanan siber, kelemahan semacam ini memungkinkan eksekusi kode tanpa autentikasi. Jika penyerang mampu memanfaatkan celah, proses yang rentan dapat dikuasai. Konsekuensi keamanan yang berpotensi muncul dapat berupa perubahan data website. Untuk aplikasi yang mengelola pelanggan, ancamannya perlu ditangani dengan serius karena aplikasi menangani data pengguna dan transaksi. Walaupun dampak potensial sangat besar, indikasi kompromi tetap memerlukan pemeriksaan tersendiri.
Ancaman keamanan tersebut melampaui satu platform CMS karena komponen yang rentan digunakan berbagai aplikasi. Aplikasi Joomla serta platform web khusus perusahaan perlu diperiksa jika menggunakan runtime yang belum diperbaiki. Dalam penggunaan infrastruktur hosting, PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed tidak sebaiknya dianggap aman tanpa pemeriksaan. Tim keamanan PHP menyoroti risiko yang sangat tinggi pada konfigurasi mod_php karena serangan dapat dipicu sebelum logika website diproses. Untuk mengurangi kemungkinan eksploitasi, pembaruan runtime menjadi tindakan utama.
Panduan Pembaruan PHP dan Perlindungan Server Website
Prioritas pertama bagi pengelola website adalah memasang pembaruan PHP yang sudah memperbaiki kedua celah. Sebelum melakukan pembaruan, pengelola perlu menyiapkan backup data. Cadangan tersebut berguna ketika kompatibilitas aplikasi bermasalah. Setelah persiapan selesai, pasang versi runtime yang telah diperbaiki menggunakan prosedur terpercaya. Apabila website berada pada hosting terkelola, periksa pemberitahuan keamanan dari perusahaan hosting. Setelah pembaruan, periksa kembali runtime yang melayani permintaan web. Pengujian fungsi website juga perlu dilakukan secara menyeluruh.
Ketika lingkungan produksi membutuhkan waktu untuk diperbarui, administrator perlu menerapkan tindakan pembatasan sementara. Penerapan aturan WAF dapat membantu menyaring sebagian permintaan mencurigakan, tetapi bukan pengganti pembaruan PHP. Pada server yang terbuka langsung ke internet, pembatasan akses jaringan perlu dipertimbangkan sampai server berhasil menggunakan versi aman. Sebagai tindakan pendukung, tim keamanan perlu meninjau aktivitas mencurigakan. Langkah investigasi ini dapat memberikan petunjuk upaya eksploitasi. Walaupun langkah tambahan bermanfaat, pembaruan PHP tetap menjadi tindakan paling efektif.
Penutup: Pentingnya Memperbarui PHP untuk Mencegah Serangan
Peringatan keamanan mengenai dua kelemahan PHP menunjukkan perlunya pemeliharaan sistem secara berkelanjutan. Kerentanan pada runtime PHP tersebut tergolong kritis dengan penilaian 9,2 dan dapat membuka peluang pengambilalihan proses dari jarak jauh. Rilis keamanan terbaru untuk cabang PHP yang masih didukung perlu segera diterapkan. Selain memasang patch, pemeriksaan log dan validasi server membantu menjaga keamanan operasional. Seiring meningkatnya kompleksitas TEKNOLOGI website, pengawasan infrastruktur harus dilakukan secara konsisten. Menurut Anda, apa tantangan terbesar dalam menjaga keamanan server website? Mari sampaikan pandangan tentang pentingnya keamanan website.
