Dua Celah Kritis PHP Terungkap, Pembaruan Keamanan Mendesak bagi Pengelola Website

Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.

Mengenal Celah Keamanan PHP yang Memerlukan Pembaruan Segera

Pengelola proyek bahasa pemrograman PHP merilis informasi mengenai dua kerentanan keamanan dengan tingkat keparahan kritis yang dapat membuka peluang eksekusi perintah berbahaya pada server. Kedua kerentanan tersebut diidentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619. Setiap kerentanan mendapatkan skor CVSS versi 4.0 sebesar 9,2. Skor keamanan tersebut menempatkan keduanya dalam kategori kritis. Berbeda dari masalah pada plugin tertentu, kedua celah ditemukan pada komponen inti PHP. Dengan kondisi tersebut, berbagai website dapat menghadapi risiko.

Bahasa pemrograman PHP dikenal sebagai komponen penting dalam berbagai layanan internet. Banyak aplikasi berbasis web seperti WordPress, Drupal, dan Joomla memanfaatkan bahasa tersebut untuk menghasilkan halaman dinamis. Mengingat tingkat adopsinya tinggi, kerentanan pada komponen inti memiliki dampak yang luas. Dalam kondisi tertentu, pembaruan CMS saja belum tentu menghilangkan ancaman. Hal ini terjadi karena masalah muncul dalam komponen yang menjalankan kode aplikasi. Oleh karena itu, pemeriksaan versi PHP menjadi prioritas utama.

Penjelasan Teknis Kerentanan Kritis pada Runtime PHP

Celah keamanan dengan kode CVE-2026-109618 terjadi pada penanganan kondisi out-of-memory. Pada situasi pemrosesan khusus, runtime berpotensi meninggalkan struktur data yang belum sepenuhnya diinisialisasi. Kondisi tersebut dapat menyebabkan kerusakan memori. Apabila berhasil dimanfaatkan, server berpotensi menjalankan instruksi yang tidak sah. Kelemahan pertama ini tidak bergantung pada kesalahan penulisan kode aplikasi biasa. Dengan demikian, pengelola tidak cukup hanya memperbarui plugin.

Pada kerentanan kedua, kelemahan muncul akibat penggunaan kembali informasi memori yang sudah tidak valid. Pada kondisi pemrosesan khusus, data internal yang seharusnya dibersihkan dapat tetap tersimpan. Kesalahan pengelolaan tersebut berhubungan dengan penggunaan memori setelah dibebaskan. Apabila dimanfaatkan penyerang, server dapat menghadapi risiko eksekusi kode jarak jauh. Sepasang kelemahan PHP ini melibatkan penanganan data internal yang tidak aman. Namun perlu diperhatikan, tingkat risiko nyata dapat dipengaruhi konfigurasi serta jalur serangan yang tersedia. Penggunaan pembaruan resmi tetap menjadi langkah perlindungan paling penting.

Daftar PHP yang Harus Segera Diperbarui oleh Administrator

Tim pengembang PHP menghadirkan patch keamanan pada 21 Oktober 2026 untuk memperbaiki kelemahan pada runtime. Rilis keamanan yang direkomendasikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengguna PHP 8.5 sebaiknya memasang rilis 8.5.12 atau versi berikutnya yang telah diperbaiki. Untuk cabang lainnya, versi 8.4 harus diperbarui minimal ke 8.4.27 sesuai konfigurasi runtime masing-masing. Pembaruan ini mengurangi risiko eksploitasi pada komponen inti PHP. Karena ancamannya serius, administrator dianjurkan segera melakukan peningkatan versi.

Risiko meningkat bagi server yang menggunakan PHP versi lama. Rilis PHP sebelum seri 8.2 tidak memperoleh patch baru melalui siklus rilis resmi PHP. Artinya, pengguna versi tersebut perlu merencanakan migrasi. Selain itu, PHP 8.2 dijadwalkan mencapai akhir masa dukungan pada 31 Desember 2026. Dengan mempertimbangkan jadwal tersebut, organisasi perlu menyusun rencana migrasi jangka panjang. Meski demikian, perubahan versi perlu disertai evaluasi perangkat lunak agar layanan tidak mengalami gangguan yang tidak diharapkan.

Langkah Mengetahui PHP yang Digunakan Server Hosting

Apabila situs menggunakan CMS WordPress, pemeriksaan versi PHP dapat dilakukan melalui dashboard. Pada tahap awal, akses panel administrasi situs. Selanjutnya, pilih menu Tools, kemudian pilih Kesehatan Situs. Melalui halaman Info, periksa detail lingkungan server untuk mengetahui nomor rilis runtime PHP. Apabila instalasi belum menggunakan rilis yang diperbaiki, pemilik situs sebaiknya menyiapkan peningkatan versi. Langkah sederhana tersebut memberikan gambaran kondisi keamanan server.

Untuk pengguna layanan hosting, pengelola dapat meninjau konfigurasi PHP dari control panel. Jika menggunakan cPanel, menu MultiPHP Manager dapat digunakan apabila administrator server menyediakan akses tersebut. Dalam penggunaan VPS atau dedicated server, versi PHP bisa diketahui menggunakan perintah sistem. Instruksi terminal php -v memberikan detail instalasi PHP yang dipanggil terminal. Meskipun perintah tersebut berguna, konfigurasi aplikasi web mungkin menggunakan instalasi PHP yang berbeda. Sebagai langkah validasi, informasi PHP-FPM atau modul web server harus diverifikasi. Dengan begitu, server aktif benar-benar mendapatkan perbaikan.

Ancaman Remote Code Execution bagi Server yang Belum Diperbarui

Risiko utama dari kerentanan tersebut adalah potensi remote code execution oleh penyerang anonim. Pada bidang perlindungan sistem, kondisi ini dikenal sebagai unauthenticated RCE. Jika penyerang mampu memanfaatkan celah, server berpotensi kehilangan integritas. Konsekuensi keamanan yang berpotensi muncul meliputi gangguan layanan serta penyalahgunaan sumber daya. Untuk aplikasi yang mengelola pelanggan, ancamannya perlu ditangani dengan serius karena server sering menyimpan atau mengakses informasi penting. Meski demikian, indikasi kompromi tetap memerlukan pemeriksaan tersendiri.

Ancaman keamanan tersebut melampaui satu platform CMS karena masalahnya berada pada runtime PHP. Aplikasi Joomla serta layanan digital berbasis PHP lainnya berpotensi terdampak apabila menjalankan versi rentan. Untuk konfigurasi web server, sejumlah konfigurasi pemrosesan PHP yang berbeda tidak sebaiknya dianggap aman tanpa pemeriksaan. Peringatan pengembang menyebutkan perhatian utama terhadap lingkungan mod_php karena permintaan berbahaya dapat mencapai bagian rentan lebih awal. Karena itu, pembaruan runtime menjadi tindakan utama.

Langkah Mendesak Mengamankan Website dari Celah PHP

Tindakan paling penting adalah memasang pembaruan PHP yang sudah memperbaiki kedua celah. Menjelang proses peningkatan versi, pengelola perlu menyiapkan backup data. Cadangan tersebut membantu proses pemulihan apabila terjadi gangguan. Setelah persiapan selesai, pasang versi runtime yang telah diperbaiki menggunakan prosedur terpercaya. Apabila website berada pada hosting terkelola, minta konfirmasi mengenai versi PHP aktif. Setelah pembaruan, periksa kembali runtime yang melayani permintaan web. Pemeriksaan halaman dan fitur penting juga perlu dilakukan secara menyeluruh.

Apabila pembaruan belum memungkinkan, pengelola server harus mempertimbangkan perlindungan darurat. Penerapan aturan WAF mendukung pembatasan trafik berbahaya tertentu, tetapi bukan pengganti pembaruan PHP. Pada server yang terbuka langsung ke internet, pembatasan akses jaringan perlu dipertimbangkan sampai patch selesai dipasang dan diverifikasi. Selain itu, pengelola dapat mengevaluasi catatan permintaan dan kesalahan sistem. Langkah investigasi ini mendukung identifikasi indikasi kompromi. Namun demikian, penggunaan versi yang telah diperbaiki harus tetap diprioritaskan.

Kesimpulan tentang Dua Celah Kritis PHP dan Keamanan Website

Peringatan keamanan mengenai dua kelemahan PHP menunjukkan perlunya pemeliharaan sistem secara berkelanjutan. Kedua celah tersebut memiliki skor CVSS 9,2 dan dapat membuka peluang pengambilalihan proses dari jarak jauh. Versi PHP yang telah memperoleh perbaikan resmi harus diprioritaskan oleh administrator. Selain memasang patch, pemeriksaan log dan validasi server memperkuat proses pemeliharaan website. Dalam perkembangan TEKNOLOGI keamanan siber, keamanan runtime tidak boleh diabaikan. Apakah website Anda sudah menggunakan PHP versi terbaru? Silakan bagikan pengalaman Anda mengenai pembaruan PHP.