Dua Celah Kritis PHP Terungkap, Pembaruan Keamanan Mendesak bagi Pengelola Website

Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.

Mengenal Celah Keamanan PHP yang Memerlukan Pembaruan Segera

Komunitas pengembang inti PHP mengungkapkan sepasang celah berbahaya dalam sistem PHP yang dapat membuka peluang eksekusi perintah berbahaya pada server. Kedua kerentanan tersebut diidentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619. Setiap kerentanan mendapatkan nilai keparahan 9,2 dalam sistem CVSS terbaru. Skor keamanan tersebut menggambarkan potensi dampak keamanan yang tinggi. Tidak seperti kelemahan yang hanya memengaruhi satu aplikasi, permasalahan tersebut berkaitan dengan runtime PHP. Dengan kondisi tersebut, sejumlah layanan berbasis PHP berpotensi terdampak.

Dalam pengembangan website, PHP menjadi salah satu teknologi server yang banyak digunakan. Berbagai platform seperti WordPress, Drupal, dan Joomla mengandalkan PHP untuk menjalankan fungsinya. Dengan banyaknya sistem yang memanfaatkan PHP, kelemahan tersebut berpotensi memengaruhi berbagai jenis website. Selain itu, pembaruan CMS saja belum tentu menghilangkan ancaman. Penyebab utamanya adalah masalah muncul dalam komponen yang menjalankan kode aplikasi. Oleh karena itu, pemeriksaan versi PHP menjadi prioritas utama.

Bagaimana Dua Celah PHP Dapat Membahayakan Server?

Kerentanan pertama melibatkan kesalahan pemrosesan saat batas memori tercapai. Dalam kondisi tertentu, sistem dapat memperlakukan informasi internal yang tidak lengkap secara keliru. Permasalahan memori tersebut berpotensi mengganggu integritas proses. Apabila berhasil dimanfaatkan, proses PHP dapat mengalami pengambilalihan dalam kondisi tertentu. Kerentanan tersebut terjadi pada lapisan yang lebih mendasar daripada logika website. Karena itu, perbaikan tema website tidak menyelesaikan akar masalah.

Untuk CVE-2026-109619, permasalahan berkaitan dengan status internal yang tertinggal. Dalam proses tertentu, data internal yang seharusnya dibersihkan dapat tetap tersimpan. Situasi tersebut dapat melibatkan referensi terhadap data yang sudah tidak berlaku. Apabila dimanfaatkan penyerang, proses PHP mungkin menjalankan instruksi tidak sah. Kedua kerentanan berkaitan dengan kesalahan manajemen memori. Walaupun dampaknya serius, keberhasilan eksploitasi bergantung pada kondisi lingkungan. Penerapan patch keamanan terbaru tetap merupakan prioritas untuk mengurangi ancaman.

Rilis Patch PHP untuk Menutup Dua Kerentanan Kritis

Proyek resmi PHP telah menyediakan pembaruan pada 21 Oktober 2026 untuk menutup kedua kerentanan kritis. Rilis keamanan yang direkomendasikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengelola server berbasis PHP 8.5 perlu memperbarui instalasi minimal ke 8.5.12. Pada seri PHP yang berbeda, instalasi PHP 8.2 membutuhkan pembaruan minimal ke 8.2.35 sesuai cabang versi yang digunakan. Perbaikan keamanan tersebut mengatasi celah eksekusi kode yang ditemukan. Mengingat tingkat keparahannya tinggi, pengelola website perlu menjadikan pembaruan sebagai prioritas.

Permasalahan menjadi lebih penting bagi server yang menggunakan PHP versi lama. Cabang PHP 8.1 beserta versi yang lebih tua sudah berada di luar periode dukungan keamanan utama. Dalam praktik pengelolaan server, pengelola website harus meningkatkan runtime ke versi yang didukung. Sebagai informasi tambahan, PHP 8.2 akan memasuki status end-of-life pada penghujung Desember 2026. Untuk menghindari masalah berikutnya, organisasi perlu menyusun rencana migrasi jangka panjang. Walaupun pembaruan sangat diperlukan, pengujian plugin serta tema menjadi langkah penting agar proses migrasi berlangsung dengan risiko operasional minimal.

Panduan Mengecek Kerentanan PHP Sebelum Memperbarui Website

Apabila situs menggunakan CMS WordPress, informasi runtime tersedia pada halaman administrasi. Pada tahap awal, akses panel administrasi situs. Kemudian, akses menu pengelolaan Tools, kemudian buka halaman Site Health. Pada bagian Info, buka informasi Server untuk memeriksa informasi konfigurasi PHP. Apabila instalasi belum menggunakan rilis yang diperbaiki, administrator harus menghubungi penyedia hosting. Langkah sederhana tersebut membantu menentukan tindakan yang diperlukan.

Selain melalui WordPress, informasi runtime biasanya tersedia dalam pengaturan server. Pada layanan cPanel, fitur pengelolaan versi PHP tersedia melalui MultiPHP Manager apabila administrator server menyediakan akses tersebut. Sementara itu, pemeriksaan dapat dilakukan melalui terminal. Instruksi terminal php -v memperlihatkan informasi PHP pada lingkungan CLI. Walaupun informasi CLI dapat diperoleh, versi PHP untuk website bisa berbeda dari versi terminal. Karena itu, pastikan versi PHP pada web server juga diperiksa. Berkat validasi tersebut, pembaruan tidak hanya dilakukan pada instalasi yang tidak digunakan website.

Dampak Kerentanan PHP terhadap WordPress dan Website Bisnis

Ancaman terbesar yang perlu diperhatikan adalah kemungkinan eksekusi kode jarak jauh tanpa autentikasi. Pada bidang perlindungan sistem, kondisi ini dikenal sebagai unauthenticated RCE. Apabila berhasil dieksploitasi, server berpotensi kehilangan integritas. Akibat yang mungkin terjadi dapat berupa perubahan data website. Untuk aplikasi yang mengelola pelanggan, ancamannya perlu ditangani dengan serius karena aplikasi menangani data pengguna dan transaksi. Namun perlu ditegaskan, indikasi kompromi tetap memerlukan pemeriksaan tersendiri.

Dua kelemahan PHP ini memiliki cakupan lebih luas daripada WordPress karena masalahnya berada pada runtime PHP. Aplikasi Joomla serta aplikasi PHP buatan sendiri berpotensi terdampak apabila menjalankan versi rentan. Untuk konfigurasi web server, sejumlah konfigurasi pemrosesan PHP yang berbeda perlu mendapatkan perhatian pembaruan. Tim keamanan PHP menyoroti tingkat bahaya khusus untuk Apache mod_php karena eksploitasi telah didemonstrasikan sebelum kode aplikasi berjalan. Dengan kondisi tersebut, pembaruan runtime menjadi tindakan utama.

Langkah Mendesak Mengamankan Website dari Celah PHP

Langkah utama yang direkomendasikan adalah memasang pembaruan PHP yang sudah memperbaiki kedua celah. Menjelang proses peningkatan versi, administrator sebaiknya membuat cadangan website. File backup yang tersedia membantu proses pemulihan apabila terjadi gangguan. Selanjutnya, lakukan pembaruan melalui metode resmi yang didukung server. Untuk pengguna penyedia hosting yang mengatur PHP, minta konfirmasi mengenai versi PHP aktif. Ketika instalasi selesai, periksa kembali runtime yang melayani permintaan web. Validasi aplikasi setelah peningkatan versi juga harus menjadi bagian dari prosedur.

Ketika lingkungan produksi membutuhkan waktu untuk diperbarui, pengelola server harus mempertimbangkan perlindungan darurat. Pemanfaatan firewall aplikasi web dapat membantu menyaring sebagian permintaan mencurigakan, tetapi tidak dapat dianggap menutup seluruh kelemahan. Pada server yang terbuka langsung ke internet, penonaktifan layanan untuk sementara mungkin diperlukan sampai perbaikan keamanan dapat diterapkan. Untuk meningkatkan pengawasan, tim keamanan perlu meninjau aktivitas mencurigakan. Langkah investigasi ini mendukung identifikasi indikasi kompromi. Walaupun langkah tambahan bermanfaat, penggunaan versi yang telah diperbaiki harus tetap diprioritaskan.

Penutup: Pentingnya Memperbarui PHP untuk Mencegah Serangan

Peringatan keamanan mengenai dua kelemahan PHP menegaskan pentingnya pembaruan perangkat lunak server. Permasalahan keamanan ini tergolong kritis dengan penilaian 9,2 dan berpotensi memungkinkan eksekusi kode tanpa autentikasi. Versi PHP yang telah memperoleh perbaikan resmi perlu segera diterapkan. Sebagai bagian dari perlindungan menyeluruh, pemeriksaan log dan validasi server mendukung pengelolaan risiko yang lebih baik. Di tengah kebutuhan perlindungan TEKNOLOGI digital, pembaruan rutin menjadi bagian penting dari tanggung jawab pengelola. Apakah website Anda sudah menggunakan PHP versi terbaru? Mari sampaikan pandangan tentang pentingnya keamanan website.