Dua Celah Kritis PHP Terungkap, Pembaruan Keamanan Mendesak bagi Pengelola Website

Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.

Mengenal Celah Keamanan PHP yang Memerlukan Pembaruan Segera

Pengelola proyek bahasa pemrograman PHP merilis informasi mengenai sepasang celah berbahaya dalam sistem PHP yang dapat membuka peluang eksekusi perintah berbahaya pada server. Permasalahan yang ditemukan tersebut tercatat menggunakan identitas CVE-2026-109618 dan CVE-2026-109619. Setiap kerentanan mendapatkan nilai keparahan 9,2 dalam sistem CVSS terbaru. Angka tersebut menggambarkan potensi dampak keamanan yang tinggi. Berbeda dari masalah pada plugin tertentu, kelemahan ini berada dalam mesin pemrosesan PHP. Akibatnya, sejumlah layanan berbasis PHP berpotensi terdampak.

Bahasa pemrograman PHP dikenal sebagai salah satu teknologi server yang banyak digunakan. Sejumlah sistem manajemen konten seperti WordPress, Drupal, dan Joomla memanfaatkan bahasa tersebut untuk menghasilkan halaman dinamis. Mengingat tingkat adopsinya tinggi, masalah keamanan runtime perlu mendapatkan perhatian serius. Dalam kondisi tertentu, website dengan aplikasi yang sudah diperbarui tetap dapat berisiko. Kondisi tersebut berkaitan dengan kerentanan terjadi pada mesin PHP sebelum sebagian logika aplikasi diproses. Dengan mempertimbangkan situasi tersebut, administrator website harus memastikan runtime memperoleh perbaikan keamanan.

Penjelasan Teknis Kerentanan Kritis pada Runtime PHP

Kerentanan pertama melibatkan kesalahan pemrosesan saat batas memori tercapai. Pada situasi pemrosesan khusus, PHP dapat mengalami gangguan saat mengelola data internal. Kesalahan pengelolaan ini dapat menyebabkan kerusakan memori. Ketika penyerang mampu memicu kelemahan tersebut, dampaknya dapat mencakup eksekusi kode berbahaya. Kelemahan pertama ini terjadi pada lapisan yang lebih mendasar daripada logika website. Dengan demikian, pembaruan aplikasi saja belum memberikan perlindungan menyeluruh.

Sementara itu, permasalahan berkaitan dengan status internal yang tertinggal. Pada kondisi pemrosesan khusus, status dari permintaan sebelumnya berpotensi bertahan. Keadaan ini berhubungan dengan penggunaan memori setelah dibebaskan. Jika kelemahan tersebut berhasil dipicu, server dapat menghadapi risiko eksekusi kode jarak jauh. Sepasang kelemahan PHP ini berkaitan dengan kesalahan manajemen memori. Meskipun demikian, tingkat risiko nyata dapat dipengaruhi konfigurasi serta jalur serangan yang tersedia. Penggunaan pembaruan resmi tetap menjadi langkah perlindungan paling penting.

Versi PHP yang Terdampak dan Pembaruan Keamanan Resmi

Tim pengembang PHP menghadirkan patch keamanan pada 21 Oktober 2026 untuk menutup kedua kerentanan kritis. Versi yang telah memperoleh perbaikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengguna PHP 8.5 sebaiknya memasang rilis 8.5.12 atau versi berikutnya yang telah diperbaiki. Untuk cabang lainnya, versi 8.4 harus diperbarui minimal ke 8.4.27 sesuai cabang versi yang digunakan. Rilis patch terbaru ditujukan untuk menutup kedua kelemahan. Mengingat tingkat keparahannya tinggi, pemasangan patch tidak sebaiknya ditunda.

Permasalahan menjadi lebih penting bagi website dengan instalasi PHP yang sudah tidak didukung. Rilis PHP sebelum seri 8.2 tidak lagi menerima perbaikan keamanan resmi dari proyek PHP. Dengan kata lain, pengelola website harus meningkatkan runtime ke versi yang didukung. Sebagai informasi tambahan, PHP 8.2 memiliki batas dukungan keamanan hingga akhir tahun 2026. Untuk menghindari masalah berikutnya, organisasi perlu menyusun rencana migrasi jangka panjang. Walaupun pembaruan sangat diperlukan, perubahan versi perlu disertai evaluasi perangkat lunak agar layanan tidak mengalami gangguan yang tidak diharapkan.

Langkah Mengetahui PHP yang Digunakan Server Hosting

Bagi pengguna WordPress, versi PHP bisa diketahui melalui fitur bawaan WordPress. Pada tahap awal, masuk ke halaman administrator WordPress. Kemudian, buka bagian Peralatan, kemudian buka halaman Site Health. Dalam tab Informasi, temukan kategori Server untuk mengetahui nomor rilis runtime PHP. Ketika nomor PHP masih lebih rendah daripada versi aman, pemilik situs sebaiknya menyiapkan peningkatan versi. Pemeriksaan ini membantu menentukan tindakan yang diperlukan.

Untuk pengguna layanan hosting, informasi runtime biasanya tersedia dalam pengaturan server. Pada layanan cPanel, pengguna dapat memeriksa PHP melalui halaman MultiPHP Manager apabila penyedia hosting mengaktifkan fitur tersebut. Sementara itu, versi PHP bisa diketahui menggunakan perintah sistem. Perintah php -v memberikan detail instalasi PHP yang dipanggil terminal. Namun perlu diketahui, konfigurasi aplikasi web mungkin menggunakan instalasi PHP yang berbeda. Untuk pemeriksaan yang tepat, administrator perlu mengidentifikasi runtime yang benar-benar melayani website. Dengan begitu, risiko salah mengidentifikasi lingkungan PHP dapat dikurangi.

Ancaman Remote Code Execution bagi Server yang Belum Diperbarui

Ancaman terbesar yang perlu diperhatikan adalah potensi remote code execution oleh penyerang anonim. Pada bidang perlindungan sistem, kelemahan semacam ini memungkinkan eksekusi kode tanpa autentikasi. Ketika serangan memenuhi kondisi eksploitasi, server berpotensi kehilangan integritas. Konsekuensi keamanan yang berpotensi muncul meliputi gangguan layanan serta penyalahgunaan sumber daya. Untuk aplikasi yang mengelola pelanggan, risiko tersebut menjadi perhatian penting karena server sering menyimpan atau mengakses informasi penting. Namun perlu ditegaskan, indikasi kompromi tetap memerlukan pemeriksaan tersendiri.

Ancaman keamanan tersebut melampaui satu platform CMS karena beragam sistem web memanfaatkan mesin PHP yang sama. Aplikasi Joomla serta platform web khusus perusahaan berpotensi terdampak apabila menjalankan versi rentan. Selain itu, PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed harus dievaluasi sesuai versi yang digunakan. Peringatan pengembang menyebutkan tingkat bahaya khusus untuk Apache mod_php karena permintaan berbahaya dapat mencapai bagian rentan lebih awal. Untuk mengurangi kemungkinan eksploitasi, administrator perlu menangani masalah pada tingkat server.

Langkah Mendesak Mengamankan Website dari Celah PHP

Tindakan paling penting adalah meningkatkan instalasi ke versi keamanan terbaru. Sebelum melakukan pembaruan, pengelola perlu menyiapkan backup data. File backup yang tersedia berguna ketika kompatibilitas aplikasi bermasalah. Selanjutnya, gunakan paket PHP dari penyedia sistem operasi atau hosting. Untuk pengguna penyedia hosting yang mengatur PHP, periksa pemberitahuan keamanan dari perusahaan hosting. Setelah pembaruan, pastikan layanan PHP yang aktif menggunakan versi baru. Pengujian fungsi website juga perlu dilakukan secara menyeluruh.

Jika patch tidak dapat segera dipasang, organisasi sebaiknya melakukan mitigasi risiko tambahan. Penerapan aturan WAF berpotensi mengurangi sejumlah jalur serangan, tetapi tidak menjamin perlindungan penuh. Jika aplikasi penting belum dapat diperbaiki, penonaktifan layanan untuk sementara mungkin diperlukan sampai patch selesai dipasang dan diverifikasi. Selain itu, tim keamanan perlu meninjau aktivitas mencurigakan. Pemeriksaan tersebut mendukung identifikasi indikasi kompromi. Meski beberapa mitigasi tersedia, pembaruan PHP tetap menjadi tindakan paling efektif.

Kesimpulan tentang Dua Celah Kritis PHP dan Keamanan Website

Pengungkapan dua kerentanan kritis PHP menunjukkan perlunya pemeliharaan sistem secara berkelanjutan. Kedua celah tersebut tergolong kritis dengan penilaian 9,2 dan berpotensi memungkinkan eksekusi kode tanpa autentikasi. Rilis keamanan terbaru untuk cabang PHP yang masih didukung menjadi langkah utama untuk menutup kelemahan tersebut. Sebagai bagian dari perlindungan menyeluruh, pengujian aplikasi dan pengawasan aktivitas membantu menjaga keamanan operasional. Di tengah kebutuhan perlindungan TEKNOLOGI digital, keamanan runtime tidak boleh diabaikan. Bagaimana pengalaman Anda melakukan pembaruan keamanan PHP? Mari sampaikan pandangan tentang pentingnya keamanan website.