Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Dua Kerentanan Kritis PHP Menjadi Ancaman bagi Keamanan Website
Tim pengembang PHP mengungkapkan dua kerentanan keamanan dengan tingkat keparahan kritis yang memungkinkan pengambilalihan proses tertentu dalam kondisi yang memenuhi syarat. Permasalahan yang ditemukan tersebut diidentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619. Masing-masing memperoleh penilaian tingkat bahaya 9,2 berdasarkan CVSS 4.0. Skor keamanan tersebut menunjukkan tingkat risiko yang sangat serius. Berbeda dari masalah pada plugin tertentu, permasalahan tersebut berkaitan dengan runtime PHP. Akibatnya, berbagai website dapat menghadapi risiko.
Bahasa pemrograman PHP dikenal sebagai komponen penting dalam berbagai layanan internet. Banyak aplikasi berbasis web seperti WordPress, Drupal, dan Joomla menggunakan PHP sebagai bagian dari pemrosesan server. Karena penggunaannya luas, masalah keamanan runtime perlu mendapatkan perhatian serius. Selain itu, plugin yang aman tidak otomatis melindungi runtime PHP yang rentan. Hal ini terjadi karena masalah muncul dalam komponen yang menjalankan kode aplikasi. Oleh karena itu, pengelola server perlu segera melakukan pembaruan.
Bagaimana Dua Celah PHP Dapat Membahayakan Server?
Celah keamanan dengan kode CVE-2026-109618 melibatkan kesalahan pemrosesan saat batas memori tercapai. Pada situasi pemrosesan khusus, PHP dapat mengalami gangguan saat mengelola data internal. Kondisi tersebut dapat menyebabkan kerusakan memori. Apabila berhasil dimanfaatkan, server berpotensi menjalankan instruksi yang tidak sah. Kerentanan tersebut tidak bergantung pada kesalahan penulisan kode aplikasi biasa. Dengan demikian, pembaruan aplikasi saja belum memberikan perlindungan menyeluruh.
Untuk CVE-2026-109619, kelemahan muncul akibat penggunaan kembali informasi memori yang sudah tidak valid. Dalam proses tertentu, status dari permintaan sebelumnya berpotensi bertahan. Keadaan ini termasuk permasalahan stale state pada runtime. Dalam skenario eksploitasi yang memungkinkan, informasi sensitif dari memori berpotensi terekspos. Kedua kerentanan muncul dari mekanisme pengelolaan keadaan pemrosesan. Walaupun dampaknya serius, tingkat risiko nyata dapat dipengaruhi konfigurasi serta jalur serangan yang tersedia. Penerapan patch keamanan terbaru tetap menjadi langkah perlindungan paling penting.
Versi PHP yang Terdampak dan Pembaruan Keamanan Resmi
Tim pengembang PHP menghadirkan patch keamanan pada 21 Oktober 2026 untuk mengatasi masalah manajemen memori tersebut. Versi yang telah memperoleh perbaikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengguna PHP 8.5 harus memastikan sistem tidak lagi menggunakan 8.5.11 atau rilis rentan sebelumnya. Pada seri PHP yang berbeda, versi 8.4 harus diperbarui minimal ke 8.4.27 sesuai cabang versi yang digunakan. Pembaruan ini ditujukan untuk menutup kedua kelemahan. Mengingat tingkat keparahannya tinggi, pemasangan patch tidak sebaiknya ditunda.
Perhatian tambahan diperlukan bagi aplikasi berbasis cabang PHP usang. Versi PHP 8.1 dan sebelumnya sudah berada di luar periode dukungan keamanan utama. Dalam praktik pengelolaan server, pengguna versi tersebut perlu merencanakan migrasi. Sebagai informasi tambahan, PHP 8.2 akan memasuki status end-of-life pada penghujung Desember 2026. Karena itu, pembaruan ke cabang PHP yang lebih baru sebaiknya dipersiapkan. Walaupun pembaruan sangat diperlukan, perubahan versi perlu disertai evaluasi perangkat lunak agar layanan tidak mengalami gangguan yang tidak diharapkan.
Cara Memeriksa Versi PHP pada Website WordPress
Bagi pengguna WordPress, informasi runtime tersedia pada halaman administrasi. Langkah pertama, masuk ke halaman administrator WordPress. Kemudian, akses menu pengelolaan Tools, kemudian buka halaman Site Health. Melalui halaman Info, buka informasi Server untuk melihat versi PHP yang digunakan. Apabila instalasi belum menggunakan rilis yang diperbaiki, pengelola perlu segera melakukan pembaruan. Pemeriksaan ini membantu menentukan tindakan yang diperlukan.
Di luar dashboard CMS, informasi runtime biasanya tersedia dalam pengaturan server. Dalam lingkungan hosting berbasis cPanel, fitur pengelolaan versi PHP tersedia melalui MultiPHP Manager apabila administrator server menyediakan akses tersebut. Dalam penggunaan VPS atau dedicated server, pemeriksaan dapat dilakukan melalui terminal. Perintah php -v menampilkan versi PHP untuk command-line. Meskipun perintah tersebut berguna, runtime PHP-FPM tidak selalu identik dengan PHP CLI. Karena itu, administrator perlu mengidentifikasi runtime yang benar-benar melayani website. Dengan begitu, risiko salah mengidentifikasi lingkungan PHP dapat dikurangi.
Risiko Serangan Siber akibat Dua Celah Keamanan PHP
Risiko utama dari kerentanan tersebut adalah potensi remote code execution oleh penyerang anonim. Dalam pengelolaan keamanan server, kondisi ini dikenal sebagai unauthenticated RCE. Ketika serangan memenuhi kondisi eksploitasi, proses yang rentan dapat dikuasai. Dampaknya meliputi gangguan layanan serta penyalahgunaan sumber daya. Dalam lingkungan perdagangan elektronik, risiko tersebut menjadi perhatian penting karena aplikasi menangani data pengguna dan transaksi. Meski demikian, indikasi kompromi tetap memerlukan pemeriksaan tersendiri.
Ancaman keamanan tersebut melampaui satu platform CMS karena beragam sistem web memanfaatkan mesin PHP yang sama. Aplikasi Joomla serta aplikasi PHP buatan sendiri berpotensi terdampak apabila menjalankan versi rentan. Untuk konfigurasi web server, PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed perlu mendapatkan perhatian pembaruan. Dalam informasi keamanan resmi, pengembang PHP menekankan risiko yang sangat tinggi pada konfigurasi mod_php karena eksploitasi telah didemonstrasikan sebelum kode aplikasi berjalan. Karena itu, pembaruan runtime menjadi tindakan utama.
Panduan Pembaruan PHP dan Perlindungan Server Website
Prioritas pertama bagi pengelola website adalah memasang pembaruan PHP yang sudah memperbaiki kedua celah. Menjelang proses peningkatan versi, tim teknis dianjurkan menyimpan salinan konfigurasi dan aplikasi. Cadangan tersebut memberikan pilihan pemulihan saat pembaruan menimbulkan kendala. Setelah persiapan selesai, gunakan paket PHP dari penyedia sistem operasi atau hosting. Jika menggunakan layanan managed hosting, hubungi dukungan teknis untuk memastikan patch telah diterapkan. Setelah pembaruan, validasi bahwa proses server telah menjalankan PHP yang diperbaiki. Pengujian fungsi website juga harus menjadi bagian dari prosedur.
Ketika lingkungan produksi membutuhkan waktu untuk diperbarui, pengelola server harus mempertimbangkan perlindungan darurat. Pemanfaatan firewall aplikasi web mendukung pembatasan trafik berbahaya tertentu, tetapi tidak dapat dianggap menutup seluruh kelemahan. Untuk sistem dengan risiko tinggi, penonaktifan layanan untuk sementara mungkin diperlukan sampai server berhasil menggunakan versi aman. Selain itu, pengelola dapat mengevaluasi catatan permintaan dan kesalahan sistem. Evaluasi keamanan tersebut mendukung identifikasi indikasi kompromi. Walaupun langkah tambahan bermanfaat, penggunaan versi yang telah diperbaiki harus tetap diprioritaskan.
Rangkuman Ancaman PHP dan Langkah Perlindungan Website
Pengungkapan dua kerentanan kritis PHP menegaskan pentingnya pembaruan perangkat lunak server. Kedua celah tersebut memiliki skor CVSS 9,2 dan dapat membuka peluang pengambilalihan proses dari jarak jauh. Rilis keamanan terbaru untuk cabang PHP yang masih didukung perlu segera diterapkan. Sebagai bagian dari perlindungan menyeluruh, pembuatan backup serta evaluasi konfigurasi membantu menjaga keamanan operasional. Di tengah kebutuhan perlindungan TEKNOLOGI digital, keamanan runtime tidak boleh diabaikan. Menurut Anda, apa tantangan terbesar dalam menjaga keamanan server website? Mari sampaikan pandangan tentang pentingnya keamanan website.
