Dua Celah Kritis PHP Terungkap, Pembaruan Keamanan Mendesak bagi Pengelola Website

Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.

Dua Kerentanan Kritis PHP Menjadi Ancaman bagi Keamanan Website

Komunitas pengembang inti PHP mengungkapkan dua kerentanan keamanan dengan tingkat keparahan kritis yang memungkinkan pengambilalihan proses tertentu dalam kondisi yang memenuhi syarat. Dua kelemahan keamanan ini diidentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619. Setiap kerentanan mendapatkan nilai keparahan 9,2 dalam sistem CVSS terbaru. Tingkat penilaian ini menempatkan keduanya dalam kategori kritis. Tidak seperti kerentanan yang terbatas pada tema website, kelemahan ini berada dalam mesin pemrosesan PHP. Dengan kondisi tersebut, berbagai website dapat menghadapi risiko.

PHP merupakan bahasa pemrograman populer untuk aplikasi web. Berbagai platform seperti WordPress, Drupal, dan Joomla memanfaatkan bahasa tersebut untuk menghasilkan halaman dinamis. Mengingat tingkat adopsinya tinggi, masalah keamanan runtime perlu mendapatkan perhatian serius. Selain itu, pembaruan CMS saja belum tentu menghilangkan ancaman. Penyebab utamanya adalah kelemahan berada pada lapisan pemrosesan PHP. Untuk mengurangi kemungkinan serangan, administrator website harus memastikan runtime memperoleh perbaikan keamanan.

Bagaimana Dua Celah PHP Dapat Membahayakan Server?

Kerentanan pertama melibatkan kesalahan pemrosesan saat batas memori tercapai. Dalam kondisi tertentu, sistem dapat memperlakukan informasi internal yang tidak lengkap secara keliru. Kondisi tersebut berpotensi mengganggu integritas proses. Jika kondisi eksploitasi terpenuhi, dampaknya dapat mencakup eksekusi kode berbahaya. Kelemahan pertama ini tidak bergantung pada kesalahan penulisan kode aplikasi biasa. Berdasarkan karakteristik tersebut, perbaikan tema website tidak menyelesaikan akar masalah.

Pada kerentanan kedua, gangguan terjadi pada pengelolaan keadaan global antarpermintaan. Dalam proses tertentu, informasi lama dapat digunakan kembali secara tidak semestinya. Kesalahan pengelolaan tersebut termasuk permasalahan stale state pada runtime. Jika kelemahan tersebut berhasil dipicu, proses PHP mungkin menjalankan instruksi tidak sah. Sepasang kelemahan PHP ini berkaitan dengan kesalahan manajemen memori. Walaupun dampaknya serius, tingkat risiko nyata dapat dipengaruhi konfigurasi serta jalur serangan yang tersedia. Penerapan patch keamanan terbaru tetap merupakan prioritas untuk mengurangi ancaman.

Daftar PHP yang Harus Segera Diperbarui oleh Administrator

Proyek resmi PHP merilis versi perbaikan pada 21 Oktober 2026 untuk menutup kedua kerentanan kritis. Versi yang telah memperoleh perbaikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengelola server berbasis PHP 8.5 perlu memperbarui instalasi minimal ke 8.5.12. Untuk cabang lainnya, pengguna PHP 8.3 perlu menggunakan minimal 8.3.36 sesuai konfigurasi runtime masing-masing. Pembaruan ini ditujukan untuk menutup kedua kelemahan. Mengingat tingkat keparahannya tinggi, pengelola website perlu menjadikan pembaruan sebagai prioritas.

Perhatian tambahan diperlukan bagi website dengan instalasi PHP yang sudah tidak didukung. Cabang PHP 8.1 beserta versi yang lebih tua tidak lagi menerima perbaikan keamanan resmi dari proyek PHP. Dalam praktik pengelolaan server, administrator perlu mengganti cabang PHP yang sudah usang. Sebagai informasi tambahan, PHP 8.2 akan memasuki status end-of-life pada penghujung Desember 2026. Dengan mempertimbangkan jadwal tersebut, pembaruan ke cabang PHP yang lebih baru sebaiknya dipersiapkan. Namun dalam pelaksanaannya, kompatibilitas aplikasi tetap harus diperiksa agar proses migrasi berlangsung dengan risiko operasional minimal.

Cara Memeriksa Versi PHP pada Website WordPress

Apabila situs menggunakan CMS WordPress, versi PHP bisa diketahui melalui fitur bawaan WordPress. Untuk memulai pemeriksaan, akses panel administrasi situs. Kemudian, pilih menu Tools, kemudian pilih Kesehatan Situs. Melalui halaman Info, temukan kategori Server untuk mengetahui nomor rilis runtime PHP. Jika hasilnya menunjukkan versi rentan, pemilik situs sebaiknya menyiapkan peningkatan versi. Langkah sederhana tersebut membantu menentukan tindakan yang diperlukan.

Selain melalui WordPress, versi PHP dapat diperiksa melalui panel hosting. Pada layanan cPanel, fitur pengelolaan versi PHP tersedia melalui MultiPHP Manager apabila penyedia hosting mengaktifkan fitur tersebut. Sementara itu, versi PHP bisa diketahui menggunakan perintah sistem. Instruksi terminal php -v menampilkan versi PHP untuk command-line. Meskipun perintah tersebut berguna, runtime PHP-FPM tidak selalu identik dengan PHP CLI. Sebagai langkah validasi, administrator perlu mengidentifikasi runtime yang benar-benar melayani website. Melalui pemeriksaan menyeluruh, risiko salah mengidentifikasi lingkungan PHP dapat dikurangi.

Ancaman Remote Code Execution bagi Server yang Belum Diperbarui

Dampak paling serius adalah potensi remote code execution oleh penyerang anonim. Dalam pengelolaan keamanan server, kondisi ini dikenal sebagai unauthenticated RCE. Ketika serangan memenuhi kondisi eksploitasi, server berpotensi kehilangan integritas. Dampaknya meliputi gangguan layanan serta penyalahgunaan sumber daya. Untuk aplikasi yang mengelola pelanggan, ancamannya perlu ditangani dengan serius karena server sering menyimpan atau mengakses informasi penting. Meski demikian, indikasi kompromi tetap memerlukan pemeriksaan tersendiri.

Kerentanan ini tidak hanya relevan untuk WordPress karena komponen yang rentan digunakan berbagai aplikasi. Website Drupal serta platform web khusus perusahaan berpotensi terdampak apabila menjalankan versi rentan. Untuk konfigurasi web server, sejumlah konfigurasi pemrosesan PHP yang berbeda perlu mendapatkan perhatian pembaruan. Tim keamanan PHP menyoroti tingkat bahaya khusus untuk Apache mod_php karena eksploitasi telah didemonstrasikan sebelum kode aplikasi berjalan. Dengan kondisi tersebut, pembaruan runtime menjadi tindakan utama.

Langkah Mendesak Mengamankan Website dari Celah PHP

Tindakan paling penting adalah memasang pembaruan PHP yang sudah memperbaiki kedua celah. Untuk mempersiapkan perubahan server, pengelola perlu menyiapkan backup data. File backup yang tersedia memberikan pilihan pemulihan saat pembaruan menimbulkan kendala. Setelah persiapan selesai, pasang versi runtime yang telah diperbaiki menggunakan prosedur terpercaya. Jika menggunakan layanan managed hosting, periksa pemberitahuan keamanan dari perusahaan hosting. Sesudah patch diterapkan, periksa kembali runtime yang melayani permintaan web. Pengujian fungsi website juga perlu dilakukan secara menyeluruh.

Ketika lingkungan produksi membutuhkan waktu untuk diperbarui, organisasi sebaiknya melakukan mitigasi risiko tambahan. Pemanfaatan firewall aplikasi web mendukung pembatasan trafik berbahaya tertentu, tetapi tidak dapat dianggap menutup seluruh kelemahan. Jika aplikasi penting belum dapat diperbaiki, penonaktifan layanan untuk sementara mungkin diperlukan sampai server berhasil menggunakan versi aman. Selain itu, tim keamanan perlu meninjau aktivitas mencurigakan. Evaluasi keamanan tersebut mendukung identifikasi indikasi kompromi. Walaupun langkah tambahan bermanfaat, pembaruan PHP tetap menjadi tindakan paling efektif.

Kesimpulan tentang Dua Celah Kritis PHP dan Keamanan Website

Peringatan keamanan mengenai dua kelemahan PHP menjadi pengingat penting bagi pengelola website. Kedua celah tersebut mendapatkan tingkat keparahan kritis dan berpotensi memungkinkan eksekusi kode tanpa autentikasi. Rilis keamanan terbaru untuk cabang PHP yang masih didukung harus diprioritaskan oleh administrator. Selain memasang patch, pemeriksaan log dan validasi server mendukung pengelolaan risiko yang lebih baik. Dalam perkembangan TEKNOLOGI keamanan siber, keamanan runtime tidak boleh diabaikan. Apakah website Anda sudah menggunakan PHP versi terbaru? Silakan bagikan pengalaman Anda mengenai pembaruan PHP.