Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Dua Kerentanan Kritis PHP Menjadi Ancaman bagi Keamanan Website
Tim pengembang PHP mengungkapkan dua kerentanan keamanan dengan tingkat keparahan kritis yang memungkinkan pengambilalihan proses tertentu dalam kondisi yang memenuhi syarat. Permasalahan yang ditemukan tersebut diidentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619. Masing-masing memperoleh penilaian tingkat bahaya 9,2 berdasarkan CVSS 4.0. Angka tersebut menempatkan keduanya dalam kategori kritis. Berbeda dari masalah pada plugin tertentu, kedua celah ditemukan pada komponen inti PHP. Akibatnya, banyak sistem yang menggunakan PHP perlu diperiksa.
PHP merupakan komponen penting dalam berbagai layanan internet. Sejumlah sistem manajemen konten seperti WordPress, Drupal, dan Joomla memanfaatkan bahasa tersebut untuk menghasilkan halaman dinamis. Karena penggunaannya luas, masalah keamanan runtime perlu mendapatkan perhatian serius. Dalam kondisi tertentu, pembaruan CMS saja belum tentu menghilangkan ancaman. Kondisi tersebut berkaitan dengan kelemahan berada pada lapisan pemrosesan PHP. Untuk mengurangi kemungkinan serangan, pengelola server perlu segera melakukan pembaruan.
Penjelasan Teknis Kerentanan Kritis pada Runtime PHP
Celah keamanan dengan kode CVE-2026-109618 berkaitan dengan pengelolaan memori ketika sumber daya habis. Ketika permintaan mencapai keadaan tertentu, sistem dapat memperlakukan informasi internal yang tidak lengkap secara keliru. Permasalahan memori tersebut memungkinkan terjadinya memory corruption. Jika kondisi eksploitasi terpenuhi, dampaknya dapat mencakup eksekusi kode berbahaya. Masalah ini tidak bergantung pada kesalahan penulisan kode aplikasi biasa. Dengan demikian, pembaruan aplikasi saja belum memberikan perlindungan menyeluruh.
Sementara itu, kelemahan muncul akibat penggunaan kembali informasi memori yang sudah tidak valid. Ketika PHP menangani rangkaian permintaan, informasi lama dapat digunakan kembali secara tidak semestinya. Keadaan ini dapat melibatkan referensi terhadap data yang sudah tidak berlaku. Apabila dimanfaatkan penyerang, informasi sensitif dari memori berpotensi terekspos. Kedua kerentanan berkaitan dengan kesalahan manajemen memori. Namun perlu diperhatikan, tidak setiap server pasti telah diserang. Pemasangan versi PHP yang telah diperbaiki tetap merupakan prioritas untuk mengurangi ancaman.
Rilis Patch PHP untuk Menutup Dua Kerentanan Kritis
Tim pengembang PHP telah menyediakan pembaruan pada 21 Oktober 2026 untuk mengatasi masalah manajemen memori tersebut. Pembaruan yang tersedia meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengelola server berbasis PHP 8.5 sebaiknya memasang rilis 8.5.12 atau versi berikutnya yang telah diperbaiki. Pada seri PHP yang berbeda, pengguna PHP 8.3 perlu menggunakan minimal 8.3.36 sesuai cabang versi yang digunakan. Pembaruan ini mengatasi celah eksekusi kode yang ditemukan. Karena ancamannya serius, administrator dianjurkan segera melakukan peningkatan versi.
Permasalahan menjadi lebih penting bagi server yang menggunakan PHP versi lama. Rilis PHP sebelum seri 8.2 sudah berada di luar periode dukungan keamanan utama. Dengan kata lain, pengguna versi tersebut perlu merencanakan migrasi. Sebagai informasi tambahan, PHP 8.2 akan memasuki status end-of-life pada penghujung Desember 2026. Untuk menghindari masalah berikutnya, pembaruan ke cabang PHP yang lebih baru sebaiknya dipersiapkan. Walaupun pembaruan sangat diperlukan, kompatibilitas aplikasi tetap harus diperiksa agar website tetap berfungsi setelah pembaruan.
Panduan Mengecek Kerentanan PHP Sebelum Memperbarui Website
Untuk pengelola website berbasis WordPress, informasi runtime tersedia pada halaman administrasi. Pada tahap awal, masuk ke halaman administrator WordPress. Setelah berhasil masuk, buka bagian Peralatan, kemudian pilih Kesehatan Situs. Dalam tab Informasi, buka informasi Server untuk melihat versi PHP yang digunakan. Apabila instalasi belum menggunakan rilis yang diperbaiki, pengelola perlu segera melakukan pembaruan. Proses identifikasi awal ini memberikan gambaran kondisi keamanan server.
Di luar dashboard CMS, pengelola dapat meninjau konfigurasi PHP dari control panel. Pada layanan cPanel, pengguna dapat memeriksa PHP melalui halaman MultiPHP Manager apabila layanan hosting mendukung pengaturan versi PHP. Sementara itu, administrator dapat memeriksa konfigurasi runtime. Instruksi terminal php -v menampilkan versi PHP untuk command-line. Meskipun perintah tersebut berguna, versi PHP untuk website bisa berbeda dari versi terminal. Sebagai langkah validasi, administrator perlu mengidentifikasi runtime yang benar-benar melayani website. Berkat validasi tersebut, risiko salah mengidentifikasi lingkungan PHP dapat dikurangi.
Risiko Serangan Siber akibat Dua Celah Keamanan PHP
Ancaman terbesar yang perlu diperhatikan adalah potensi remote code execution oleh penyerang anonim. Dalam pengelolaan keamanan server, kondisi ini dikenal sebagai unauthenticated RCE. Jika penyerang mampu memanfaatkan celah, server berpotensi kehilangan integritas. Akibat yang mungkin terjadi mencakup akses terhadap informasi sensitif. Pada website bisnis, dampaknya dapat memengaruhi operasional karena sistem terhubung dengan layanan bisnis yang bernilai. Meski demikian, indikasi kompromi tetap memerlukan pemeriksaan tersendiri.
Dua kelemahan PHP ini memiliki cakupan lebih luas daripada WordPress karena beragam sistem web memanfaatkan mesin PHP yang sama. Aplikasi Joomla serta platform web khusus perusahaan perlu diperiksa jika menggunakan runtime yang belum diperbaiki. Untuk konfigurasi web server, PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed tidak sebaiknya dianggap aman tanpa pemeriksaan. Peringatan pengembang menyebutkan perhatian utama terhadap lingkungan mod_php karena permintaan berbahaya dapat mencapai bagian rentan lebih awal. Untuk mengurangi kemungkinan eksploitasi, pembaruan runtime menjadi tindakan utama.
Langkah Mendesak Mengamankan Website dari Celah PHP
Tindakan paling penting adalah meningkatkan instalasi ke versi keamanan terbaru. Untuk mempersiapkan perubahan server, tim teknis dianjurkan menyimpan salinan konfigurasi dan aplikasi. File backup yang tersedia membantu proses pemulihan apabila terjadi gangguan. Setelah persiapan selesai, gunakan paket PHP dari penyedia sistem operasi atau hosting. Jika menggunakan layanan managed hosting, minta konfirmasi mengenai versi PHP aktif. Ketika instalasi selesai, validasi bahwa proses server telah menjalankan PHP yang diperbaiki. Pemeriksaan halaman dan fitur penting juga harus menjadi bagian dari prosedur.
Jika patch tidak dapat segera dipasang, pengelola server harus mempertimbangkan perlindungan darurat. Pemanfaatan firewall aplikasi web mendukung pembatasan trafik berbahaya tertentu, tetapi bukan pengganti pembaruan PHP. Jika aplikasi penting belum dapat diperbaiki, isolasi sementara dapat menjadi pilihan sampai patch selesai dipasang dan diverifikasi. Untuk meningkatkan pengawasan, pengelola dapat mengevaluasi catatan permintaan dan kesalahan sistem. Langkah investigasi ini membantu menemukan kemungkinan aktivitas tidak wajar. Walaupun langkah tambahan bermanfaat, pembaruan PHP tetap menjadi tindakan paling efektif.
Kesimpulan tentang Dua Celah Kritis PHP dan Keamanan Website
Ditemukannya CVE-2026-109618 dan CVE-2026-109619 menunjukkan perlunya pemeliharaan sistem secara berkelanjutan. Kedua celah tersebut mendapatkan tingkat keparahan kritis dan berpotensi memungkinkan eksekusi kode tanpa autentikasi. Rilis keamanan terbaru untuk cabang PHP yang masih didukung harus diprioritaskan oleh administrator. Selain memasang patch, pengujian aplikasi dan pengawasan aktivitas membantu menjaga keamanan operasional. Seiring meningkatnya kompleksitas TEKNOLOGI website, pembaruan rutin menjadi bagian penting dari tanggung jawab pengelola. Menurut Anda, apa tantangan terbesar dalam menjaga keamanan server website? Silakan bagikan pengalaman Anda mengenai pembaruan PHP.
