Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Mengenal Celah Keamanan PHP yang Memerlukan Pembaruan Segera
Tim pengembang PHP merilis informasi mengenai sepasang celah berbahaya dalam sistem PHP yang berpotensi memungkinkan penyerang menjalankan kode dari jarak jauh. Kedua kerentanan tersebut didaftarkan dengan kode CVE-2026-109618 dan CVE-2026-109619. Keduanya memiliki penilaian tingkat bahaya 9,2 berdasarkan CVSS 4.0. Skor keamanan tersebut menggambarkan potensi dampak keamanan yang tinggi. Berbeda dari masalah pada plugin tertentu, kedua celah ditemukan pada komponen inti PHP. Dengan kondisi tersebut, banyak sistem yang menggunakan PHP perlu diperiksa.
Bahasa pemrograman PHP dikenal sebagai salah satu teknologi server yang banyak digunakan. Berbagai platform seperti WordPress, Drupal, dan Joomla memanfaatkan bahasa tersebut untuk menghasilkan halaman dinamis. Dengan banyaknya sistem yang memanfaatkan PHP, kelemahan tersebut berpotensi memengaruhi berbagai jenis website. Selain itu, website dengan aplikasi yang sudah diperbarui tetap dapat berisiko. Penyebab utamanya adalah masalah muncul dalam komponen yang menjalankan kode aplikasi. Oleh karena itu, administrator website harus memastikan runtime memperoleh perbaikan keamanan.
Penjelasan Teknis Kerentanan Kritis pada Runtime PHP
Celah keamanan dengan kode CVE-2026-109618 terjadi pada penanganan kondisi out-of-memory. Ketika permintaan mencapai keadaan tertentu, PHP dapat mengalami gangguan saat mengelola data internal. Permasalahan memori tersebut berpotensi mengganggu integritas proses. Ketika penyerang mampu memicu kelemahan tersebut, server berpotensi menjalankan instruksi yang tidak sah. Kerentanan tersebut tidak bergantung pada kesalahan penulisan kode aplikasi biasa. Berdasarkan karakteristik tersebut, pengelola tidak cukup hanya memperbarui plugin.
Pada kerentanan kedua, gangguan terjadi pada pengelolaan keadaan global antarpermintaan. Ketika PHP menangani rangkaian permintaan, informasi lama dapat digunakan kembali secara tidak semestinya. Kesalahan pengelolaan tersebut termasuk permasalahan stale state pada runtime. Apabila dimanfaatkan penyerang, server dapat menghadapi risiko eksekusi kode jarak jauh. Sepasang kelemahan PHP ini melibatkan penanganan data internal yang tidak aman. Meskipun demikian, keberhasilan eksploitasi bergantung pada kondisi lingkungan. Penerapan patch keamanan terbaru tetap harus dilakukan sesegera mungkin.
Rilis Patch PHP untuk Menutup Dua Kerentanan Kritis
Tim pengembang PHP menghadirkan patch keamanan pada 21 Oktober 2026 untuk memperbaiki kelemahan pada runtime. Pembaruan yang tersedia meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengelola server berbasis PHP 8.5 harus memastikan sistem tidak lagi menggunakan 8.5.11 atau rilis rentan sebelumnya. Pada seri PHP yang berbeda, pengguna PHP 8.3 perlu menggunakan minimal 8.3.36 sesuai konfigurasi runtime masing-masing. Rilis patch terbaru ditujukan untuk menutup kedua kelemahan. Karena ancamannya serius, administrator dianjurkan segera melakukan peningkatan versi.
Perhatian tambahan diperlukan bagi server yang menggunakan PHP versi lama. Rilis PHP sebelum seri 8.2 tidak memperoleh patch baru melalui siklus rilis resmi PHP. Dengan kata lain, pengguna versi tersebut perlu merencanakan migrasi. Selain itu, PHP 8.2 memiliki batas dukungan keamanan hingga akhir tahun 2026. Untuk menghindari masalah berikutnya, pembaruan ke cabang PHP yang lebih baru sebaiknya dipersiapkan. Namun dalam pelaksanaannya, pengujian plugin serta tema menjadi langkah penting agar layanan tidak mengalami gangguan yang tidak diharapkan.
Langkah Mengetahui PHP yang Digunakan Server Hosting
Apabila situs menggunakan CMS WordPress, informasi runtime tersedia pada halaman administrasi. Langkah pertama, akses panel administrasi situs. Selanjutnya, akses menu pengelolaan Tools, kemudian buka halaman Site Health. Melalui halaman Info, buka informasi Server untuk mengetahui nomor rilis runtime PHP. Jika hasilnya menunjukkan versi rentan, administrator harus menghubungi penyedia hosting. Proses identifikasi awal ini mempermudah prioritas pembaruan website.
Selain melalui WordPress, pengelola dapat meninjau konfigurasi PHP dari control panel. Pada layanan cPanel, fitur pengelolaan versi PHP tersedia melalui MultiPHP Manager apabila administrator server menyediakan akses tersebut. Untuk server yang dikelola sendiri, administrator dapat memeriksa konfigurasi runtime. Instruksi terminal php -v memberikan detail instalasi PHP yang dipanggil terminal. Walaupun informasi CLI dapat diperoleh, konfigurasi aplikasi web mungkin menggunakan instalasi PHP yang berbeda. Untuk pemeriksaan yang tepat, pastikan versi PHP pada web server juga diperiksa. Melalui pemeriksaan menyeluruh, risiko salah mengidentifikasi lingkungan PHP dapat dikurangi.
Risiko Serangan Siber akibat Dua Celah Keamanan PHP
Risiko utama dari kerentanan tersebut adalah kemampuan menjalankan kode berbahaya tanpa harus memiliki akun. Dalam pengelolaan keamanan server, serangan tersebut termasuk kategori remote code execution tanpa login. Apabila berhasil dieksploitasi, sistem dapat mengalami kompromi. Dampaknya mencakup akses terhadap informasi sensitif. Untuk aplikasi yang mengelola pelanggan, dampaknya dapat memengaruhi operasional karena aplikasi menangani data pengguna dan transaksi. Meski demikian, server yang belum diperbarui tidak otomatis sudah diretas.
Dua kelemahan PHP ini memiliki cakupan lebih luas daripada WordPress karena komponen yang rentan digunakan berbagai aplikasi. Aplikasi Joomla serta aplikasi PHP buatan sendiri berpotensi terdampak apabila menjalankan versi rentan. Selain itu, sejumlah konfigurasi pemrosesan PHP yang berbeda perlu mendapatkan perhatian pembaruan. Dalam informasi keamanan resmi, pengembang PHP menekankan risiko yang sangat tinggi pada konfigurasi mod_php karena permintaan berbahaya dapat mencapai bagian rentan lebih awal. Karena itu, pembaruan runtime menjadi tindakan utama.
Strategi Mitigasi Risiko setelah Pengungkapan Kerentanan PHP
Tindakan paling penting adalah meningkatkan instalasi ke versi keamanan terbaru. Menjelang proses peningkatan versi, tim teknis dianjurkan menyimpan salinan konfigurasi dan aplikasi. File backup yang tersedia membantu proses pemulihan apabila terjadi gangguan. Setelah persiapan selesai, pasang versi runtime yang telah diperbaiki menggunakan prosedur terpercaya. Untuk pengguna penyedia hosting yang mengatur PHP, hubungi dukungan teknis untuk memastikan patch telah diterapkan. Ketika instalasi selesai, validasi bahwa proses server telah menjalankan PHP yang diperbaiki. Validasi aplikasi setelah peningkatan versi juga harus menjadi bagian dari prosedur.
Ketika lingkungan produksi membutuhkan waktu untuk diperbarui, pengelola server harus mempertimbangkan perlindungan darurat. Penerapan aturan WAF dapat membantu menyaring sebagian permintaan mencurigakan, tetapi tidak dapat dianggap menutup seluruh kelemahan. Untuk sistem dengan risiko tinggi, pembatasan akses jaringan perlu dipertimbangkan sampai server berhasil menggunakan versi aman. Sebagai tindakan pendukung, pengelola dapat mengevaluasi catatan permintaan dan kesalahan sistem. Pemeriksaan tersebut membantu menemukan kemungkinan aktivitas tidak wajar. Walaupun langkah tambahan bermanfaat, patch resmi merupakan solusi utama.
Penutup: Pentingnya Memperbarui PHP untuk Mencegah Serangan
Peringatan keamanan mengenai dua kelemahan PHP menegaskan pentingnya pembaruan perangkat lunak server. Kedua celah tersebut memiliki skor CVSS 9,2 dan berpotensi memungkinkan eksekusi kode tanpa autentikasi. Rilis keamanan terbaru untuk cabang PHP yang masih didukung menjadi langkah utama untuk menutup kelemahan tersebut. Sebagai bagian dari perlindungan menyeluruh, pemeriksaan log dan validasi server membantu menjaga keamanan operasional. Seiring meningkatnya kompleksitas TEKNOLOGI website, pengawasan infrastruktur harus dilakukan secara konsisten. Bagaimana pengalaman Anda melakukan pembaruan keamanan PHP? Silakan bagikan pengalaman Anda mengenai pembaruan PHP.
