Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Peringatan Keamanan PHP dan Risiko Serangan terhadap Server Website
Komunitas pengembang inti PHP mengungkapkan dua kelemahan serius pada komponen inti PHP yang berpotensi memungkinkan penyerang menjalankan kode dari jarak jauh. Permasalahan yang ditemukan tersebut diidentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619. Setiap kerentanan mendapatkan skor CVSS versi 4.0 sebesar 9,2. Skor keamanan tersebut menempatkan keduanya dalam kategori kritis. Berbeda dari masalah pada plugin tertentu, kedua celah ditemukan pada komponen inti PHP. Akibatnya, banyak sistem yang menggunakan PHP perlu diperiksa.
Bahasa pemrograman PHP dikenal sebagai komponen penting dalam berbagai layanan internet. Banyak aplikasi berbasis web seperti WordPress, Drupal, dan Joomla menggunakan PHP sebagai bagian dari pemrosesan server. Dengan banyaknya sistem yang memanfaatkan PHP, kelemahan tersebut berpotensi memengaruhi berbagai jenis website. Bahkan, plugin yang aman tidak otomatis melindungi runtime PHP yang rentan. Penyebab utamanya adalah kelemahan berada pada lapisan pemrosesan PHP. Oleh karena itu, pengelola server perlu segera melakukan pembaruan.
Mengenal CVE-2026-109618 dan CVE-2026-109619
Celah keamanan dengan kode CVE-2026-109618 berkaitan dengan pengelolaan memori ketika sumber daya habis. Ketika permintaan mencapai keadaan tertentu, PHP dapat mengalami gangguan saat mengelola data internal. Kesalahan pengelolaan ini memungkinkan terjadinya memory corruption. Ketika penyerang mampu memicu kelemahan tersebut, proses PHP dapat mengalami pengambilalihan dalam kondisi tertentu. Kelemahan pertama ini tidak bergantung pada kesalahan penulisan kode aplikasi biasa. Dengan demikian, pengelola tidak cukup hanya memperbarui plugin.
Sementara itu, gangguan terjadi pada pengelolaan keadaan global antarpermintaan. Dalam proses tertentu, informasi lama dapat digunakan kembali secara tidak semestinya. Kesalahan pengelolaan tersebut termasuk permasalahan stale state pada runtime. Jika kelemahan tersebut berhasil dipicu, informasi sensitif dari memori berpotensi terekspos. Kedua kerentanan berkaitan dengan kesalahan manajemen memori. Meskipun demikian, tidak setiap server pasti telah diserang. Penggunaan pembaruan resmi tetap menjadi langkah perlindungan paling penting.
Daftar PHP yang Harus Segera Diperbarui oleh Administrator
Tim pengembang PHP telah menyediakan pembaruan pada 21 Oktober 2026 untuk mengatasi masalah manajemen memori tersebut. Versi yang telah memperoleh perbaikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengguna PHP 8.5 sebaiknya memasang rilis 8.5.12 atau versi berikutnya yang telah diperbaiki. Untuk cabang lainnya, versi 8.4 harus diperbarui minimal ke 8.4.27 sesuai lingkungan server yang sedang berjalan. Pembaruan ini ditujukan untuk menutup kedua kelemahan. Mengingat tingkat keparahannya tinggi, pemasangan patch tidak sebaiknya ditunda.
Permasalahan menjadi lebih penting bagi aplikasi berbasis cabang PHP usang. Cabang PHP 8.1 beserta versi yang lebih tua tidak memperoleh patch baru melalui siklus rilis resmi PHP. Dalam praktik pengelolaan server, administrator perlu mengganti cabang PHP yang sudah usang. Sebagai informasi tambahan, PHP 8.2 dijadwalkan mencapai akhir masa dukungan pada 31 Desember 2026. Karena itu, pengelola website dianjurkan mempertimbangkan penggunaan seri PHP dengan masa dukungan lebih panjang. Meski demikian, pengujian plugin serta tema menjadi langkah penting agar layanan tidak mengalami gangguan yang tidak diharapkan.
Panduan Mengecek Kerentanan PHP Sebelum Memperbarui Website
Bagi pengguna WordPress, versi PHP bisa diketahui melalui fitur bawaan WordPress. Pada tahap awal, masuk ke halaman administrator WordPress. Selanjutnya, pilih menu Tools, kemudian pilih Kesehatan Situs. Pada bagian Info, buka informasi Server untuk mengetahui nomor rilis runtime PHP. Ketika nomor PHP masih lebih rendah daripada versi aman, pemilik situs sebaiknya menyiapkan peningkatan versi. Pemeriksaan ini membantu menentukan tindakan yang diperlukan.
Di luar dashboard CMS, versi PHP dapat diperiksa melalui panel hosting. Dalam lingkungan hosting berbasis cPanel, pengguna dapat memeriksa PHP melalui halaman MultiPHP Manager apabila penyedia hosting mengaktifkan fitur tersebut. Sementara itu, versi PHP bisa diketahui menggunakan perintah sistem. Instruksi terminal php -v memberikan detail instalasi PHP yang dipanggil terminal. Namun perlu diketahui, konfigurasi aplikasi web mungkin menggunakan instalasi PHP yang berbeda. Untuk pemeriksaan yang tepat, pastikan versi PHP pada web server juga diperiksa. Dengan begitu, pembaruan tidak hanya dilakukan pada instalasi yang tidak digunakan website.
Dampak Kerentanan PHP terhadap WordPress dan Website Bisnis
Dampak paling serius adalah kemampuan menjalankan kode berbahaya tanpa harus memiliki akun. Pada bidang perlindungan sistem, kondisi ini dikenal sebagai unauthenticated RCE. Apabila berhasil dieksploitasi, proses yang rentan dapat dikuasai. Akibat yang mungkin terjadi mencakup akses terhadap informasi sensitif. Pada website bisnis, risiko tersebut menjadi perhatian penting karena aplikasi menangani data pengguna dan transaksi. Walaupun dampak potensial sangat besar, indikasi kompromi tetap memerlukan pemeriksaan tersendiri.
Dua kelemahan PHP ini memiliki cakupan lebih luas daripada WordPress karena beragam sistem web memanfaatkan mesin PHP yang sama. Website Drupal serta layanan digital berbasis PHP lainnya memerlukan peninjauan keamanan pada lingkungan server. Selain itu, berbagai mode integrasi PHP dengan web server tidak sebaiknya dianggap aman tanpa pemeriksaan. Peringatan pengembang menyebutkan tingkat bahaya khusus untuk Apache mod_php karena eksploitasi telah didemonstrasikan sebelum kode aplikasi berjalan. Karena itu, administrator perlu menangani masalah pada tingkat server.
Panduan Pembaruan PHP dan Perlindungan Server Website
Tindakan paling penting adalah memasang pembaruan PHP yang sudah memperbaiki kedua celah. Menjelang proses peningkatan versi, tim teknis dianjurkan menyimpan salinan konfigurasi dan aplikasi. File backup yang tersedia berguna ketika kompatibilitas aplikasi bermasalah. Selanjutnya, pasang versi runtime yang telah diperbaiki menggunakan prosedur terpercaya. Untuk pengguna penyedia hosting yang mengatur PHP, hubungi dukungan teknis untuk memastikan patch telah diterapkan. Sesudah patch diterapkan, validasi bahwa proses server telah menjalankan PHP yang diperbaiki. Pemeriksaan halaman dan fitur penting juga penting untuk memastikan layanan tetap berjalan.
Apabila pembaruan belum memungkinkan, organisasi sebaiknya melakukan mitigasi risiko tambahan. Penerapan aturan WAF berpotensi mengurangi sejumlah jalur serangan, tetapi bukan pengganti pembaruan PHP. Pada server yang terbuka langsung ke internet, isolasi sementara dapat menjadi pilihan sampai server berhasil menggunakan versi aman. Sebagai tindakan pendukung, pengelola dapat mengevaluasi catatan permintaan dan kesalahan sistem. Evaluasi keamanan tersebut membantu menemukan kemungkinan aktivitas tidak wajar. Namun demikian, patch resmi merupakan solusi utama.
Kesimpulan tentang Dua Celah Kritis PHP dan Keamanan Website
Ditemukannya CVE-2026-109618 dan CVE-2026-109619 menegaskan pentingnya pembaruan perangkat lunak server. Permasalahan keamanan ini memiliki skor CVSS 9,2 dan menimbulkan ancaman serius terhadap server yang rentan. Pembaruan PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 perlu segera diterapkan. Selain memasang patch, pemeriksaan log dan validasi server memperkuat proses pemeliharaan website. Di tengah kebutuhan perlindungan TEKNOLOGI digital, pengawasan infrastruktur harus dilakukan secara konsisten. Menurut Anda, apa tantangan terbesar dalam menjaga keamanan server website? Mari sampaikan pandangan tentang pentingnya keamanan website.
