Dua Celah Kritis PHP Terungkap, Pembaruan Keamanan Mendesak bagi Pengelola Website

Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.

Dua Kerentanan Kritis PHP Menjadi Ancaman bagi Keamanan Website

Pengelola proyek bahasa pemrograman PHP merilis informasi mengenai dua kelemahan serius pada komponen inti PHP yang berpotensi memungkinkan penyerang menjalankan kode dari jarak jauh. Dua kelemahan keamanan ini tercatat menggunakan identitas CVE-2026-109618 dan CVE-2026-109619. Keduanya memiliki nilai keparahan 9,2 dalam sistem CVSS terbaru. Angka tersebut menempatkan keduanya dalam kategori kritis. Berbeda dari masalah pada plugin tertentu, permasalahan tersebut berkaitan dengan runtime PHP. Oleh sebab itu, berbagai website dapat menghadapi risiko.

Bahasa pemrograman PHP dikenal sebagai salah satu teknologi server yang banyak digunakan. Sejumlah sistem manajemen konten seperti WordPress, Drupal, dan Joomla memanfaatkan bahasa tersebut untuk menghasilkan halaman dinamis. Dengan banyaknya sistem yang memanfaatkan PHP, kerentanan pada komponen inti memiliki dampak yang luas. Bahkan, plugin yang aman tidak otomatis melindungi runtime PHP yang rentan. Kondisi tersebut berkaitan dengan kelemahan berada pada lapisan pemrosesan PHP. Dengan mempertimbangkan situasi tersebut, administrator website harus memastikan runtime memperoleh perbaikan keamanan.

Bagaimana Dua Celah PHP Dapat Membahayakan Server?

Celah keamanan dengan kode CVE-2026-109618 terjadi pada penanganan kondisi out-of-memory. Pada situasi pemrosesan khusus, sistem dapat memperlakukan informasi internal yang tidak lengkap secara keliru. Kesalahan pengelolaan ini dapat menyebabkan kerusakan memori. Apabila berhasil dimanfaatkan, server berpotensi menjalankan instruksi yang tidak sah. Kerentanan tersebut berasal dari pemrosesan internal PHP. Berdasarkan karakteristik tersebut, pengelola tidak cukup hanya memperbarui plugin.

Pada kerentanan kedua, kelemahan muncul akibat penggunaan kembali informasi memori yang sudah tidak valid. Pada kondisi pemrosesan khusus, data internal yang seharusnya dibersihkan dapat tetap tersimpan. Situasi tersebut termasuk permasalahan stale state pada runtime. Dalam skenario eksploitasi yang memungkinkan, informasi sensitif dari memori berpotensi terekspos. Sepasang kelemahan PHP ini berkaitan dengan kesalahan manajemen memori. Walaupun dampaknya serius, tidak setiap server pasti telah diserang. Penggunaan pembaruan resmi tetap menjadi langkah perlindungan paling penting.

Daftar PHP yang Harus Segera Diperbarui oleh Administrator

Proyek resmi PHP menghadirkan patch keamanan pada 21 Oktober 2026 untuk mengatasi masalah manajemen memori tersebut. Rilis keamanan yang direkomendasikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Administrator yang masih menjalankan cabang PHP 8.5 harus memastikan sistem tidak lagi menggunakan 8.5.11 atau rilis rentan sebelumnya. Sementara itu, instalasi PHP 8.2 membutuhkan pembaruan minimal ke 8.2.35 sesuai cabang versi yang digunakan. Rilis patch terbaru mengurangi risiko eksploitasi pada komponen inti PHP. Karena ancamannya serius, administrator dianjurkan segera melakukan peningkatan versi.

Risiko meningkat bagi aplikasi berbasis cabang PHP usang. Rilis PHP sebelum seri 8.2 sudah berada di luar periode dukungan keamanan utama. Artinya, pengelola website harus meningkatkan runtime ke versi yang didukung. Sebagai informasi tambahan, PHP 8.2 dijadwalkan mencapai akhir masa dukungan pada 31 Desember 2026. Dengan mempertimbangkan jadwal tersebut, pembaruan ke cabang PHP yang lebih baru sebaiknya dipersiapkan. Namun dalam pelaksanaannya, perubahan versi perlu disertai evaluasi perangkat lunak agar layanan tidak mengalami gangguan yang tidak diharapkan.

Langkah Mengetahui PHP yang Digunakan Server Hosting

Apabila situs menggunakan CMS WordPress, versi PHP bisa diketahui melalui fitur bawaan WordPress. Untuk memulai pemeriksaan, masuk ke halaman administrator WordPress. Kemudian, buka bagian Peralatan, kemudian masuk ke Site Health. Dalam tab Informasi, temukan kategori Server untuk memeriksa informasi konfigurasi PHP. Ketika nomor PHP masih lebih rendah daripada versi aman, administrator harus menghubungi penyedia hosting. Langkah sederhana tersebut memberikan gambaran kondisi keamanan server.

Untuk pengguna layanan hosting, versi PHP dapat diperiksa melalui panel hosting. Jika menggunakan cPanel, fitur pengelolaan versi PHP tersedia melalui MultiPHP Manager apabila penyedia hosting mengaktifkan fitur tersebut. Untuk server yang dikelola sendiri, administrator dapat memeriksa konfigurasi runtime. Perintah php -v menampilkan versi PHP untuk command-line. Walaupun informasi CLI dapat diperoleh, runtime PHP-FPM tidak selalu identik dengan PHP CLI. Untuk pemeriksaan yang tepat, administrator perlu mengidentifikasi runtime yang benar-benar melayani website. Melalui pemeriksaan menyeluruh, risiko salah mengidentifikasi lingkungan PHP dapat dikurangi.

Ancaman Remote Code Execution bagi Server yang Belum Diperbarui

Dampak paling serius adalah kemampuan menjalankan kode berbahaya tanpa harus memiliki akun. Dalam pengelolaan keamanan server, kondisi ini dikenal sebagai unauthenticated RCE. Ketika serangan memenuhi kondisi eksploitasi, sistem dapat mengalami kompromi. Dampaknya meliputi gangguan layanan serta penyalahgunaan sumber daya. Untuk aplikasi yang mengelola pelanggan, dampaknya dapat memengaruhi operasional karena sistem terhubung dengan layanan bisnis yang bernilai. Meski demikian, indikasi kompromi tetap memerlukan pemeriksaan tersendiri.

Ancaman keamanan tersebut melampaui satu platform CMS karena masalahnya berada pada runtime PHP. Aplikasi Joomla serta layanan digital berbasis PHP lainnya berpotensi terdampak apabila menjalankan versi rentan. Selain itu, berbagai mode integrasi PHP dengan web server perlu mendapatkan perhatian pembaruan. Peringatan pengembang menyebutkan risiko yang sangat tinggi pada konfigurasi mod_php karena permintaan berbahaya dapat mencapai bagian rentan lebih awal. Dengan kondisi tersebut, pembaruan runtime menjadi tindakan utama.

Panduan Pembaruan PHP dan Perlindungan Server Website

Prioritas pertama bagi pengelola website adalah memasang pembaruan PHP yang sudah memperbaiki kedua celah. Sebelum melakukan pembaruan, tim teknis dianjurkan menyimpan salinan konfigurasi dan aplikasi. File backup yang tersedia membantu proses pemulihan apabila terjadi gangguan. Selanjutnya, pasang versi runtime yang telah diperbaiki menggunakan prosedur terpercaya. Jika menggunakan layanan managed hosting, minta konfirmasi mengenai versi PHP aktif. Sesudah patch diterapkan, periksa kembali runtime yang melayani permintaan web. Validasi aplikasi setelah peningkatan versi juga penting untuk memastikan layanan tetap berjalan.

Jika patch tidak dapat segera dipasang, pengelola server harus mempertimbangkan perlindungan darurat. Penggunaan web application firewall dapat membantu menyaring sebagian permintaan mencurigakan, tetapi tidak menjamin perlindungan penuh. Jika aplikasi penting belum dapat diperbaiki, isolasi sementara dapat menjadi pilihan sampai server berhasil menggunakan versi aman. Untuk meningkatkan pengawasan, tim keamanan perlu meninjau aktivitas mencurigakan. Pemeriksaan tersebut mendukung identifikasi indikasi kompromi. Walaupun langkah tambahan bermanfaat, pembaruan PHP tetap menjadi tindakan paling efektif.

Rangkuman Ancaman PHP dan Langkah Perlindungan Website

Peringatan keamanan mengenai dua kelemahan PHP menunjukkan perlunya pemeliharaan sistem secara berkelanjutan. Kedua celah tersebut memiliki skor CVSS 9,2 dan dapat membuka peluang pengambilalihan proses dari jarak jauh. Pembaruan PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 harus diprioritaskan oleh administrator. Di samping meningkatkan versi PHP, pemeriksaan log dan validasi server memperkuat proses pemeliharaan website. Seiring meningkatnya kompleksitas TEKNOLOGI website, keamanan runtime tidak boleh diabaikan. Apakah website Anda sudah menggunakan PHP versi terbaru? Mari sampaikan pandangan tentang pentingnya keamanan website.