Dua Celah Kritis PHP Terungkap, Pembaruan Keamanan Mendesak bagi Pengelola Website

Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.

Peringatan Keamanan PHP dan Risiko Serangan terhadap Server Website

Komunitas pengembang inti PHP mengungkapkan dua kerentanan keamanan dengan tingkat keparahan kritis yang dapat membuka peluang eksekusi perintah berbahaya pada server. Dua kelemahan keamanan ini tercatat menggunakan identitas CVE-2026-109618 dan CVE-2026-109619. Setiap kerentanan mendapatkan nilai keparahan 9,2 dalam sistem CVSS terbaru. Angka tersebut menempatkan keduanya dalam kategori kritis. Tidak seperti kelemahan yang hanya memengaruhi satu aplikasi, kedua celah ditemukan pada komponen inti PHP. Akibatnya, berbagai website dapat menghadapi risiko.

PHP merupakan salah satu teknologi server yang banyak digunakan. Sejumlah sistem manajemen konten seperti WordPress, Drupal, dan Joomla menggunakan PHP sebagai bagian dari pemrosesan server. Mengingat tingkat adopsinya tinggi, kerentanan pada komponen inti memiliki dampak yang luas. Bahkan, website dengan aplikasi yang sudah diperbarui tetap dapat berisiko. Kondisi tersebut berkaitan dengan kelemahan berada pada lapisan pemrosesan PHP. Oleh karena itu, administrator website harus memastikan runtime memperoleh perbaikan keamanan.

Bagaimana Dua Celah PHP Dapat Membahayakan Server?

Celah keamanan dengan kode CVE-2026-109618 terjadi pada penanganan kondisi out-of-memory. Dalam kondisi tertentu, sistem dapat memperlakukan informasi internal yang tidak lengkap secara keliru. Permasalahan memori tersebut memungkinkan terjadinya memory corruption. Ketika penyerang mampu memicu kelemahan tersebut, proses PHP dapat mengalami pengambilalihan dalam kondisi tertentu. Kerentanan tersebut berasal dari pemrosesan internal PHP. Dengan demikian, pembaruan aplikasi saja belum memberikan perlindungan menyeluruh.

Untuk CVE-2026-109619, kelemahan muncul akibat penggunaan kembali informasi memori yang sudah tidak valid. Pada kondisi pemrosesan khusus, data internal yang seharusnya dibersihkan dapat tetap tersimpan. Keadaan ini berhubungan dengan penggunaan memori setelah dibebaskan. Apabila dimanfaatkan penyerang, proses PHP mungkin menjalankan instruksi tidak sah. Kedua kerentanan melibatkan penanganan data internal yang tidak aman. Meskipun demikian, tingkat risiko nyata dapat dipengaruhi konfigurasi serta jalur serangan yang tersedia. Penggunaan pembaruan resmi tetap merupakan prioritas untuk mengurangi ancaman.

Versi PHP yang Terdampak dan Pembaruan Keamanan Resmi

Tim pengembang PHP merilis versi perbaikan pada 21 Oktober 2026 untuk mengatasi masalah manajemen memori tersebut. Pembaruan yang tersedia meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Administrator yang masih menjalankan cabang PHP 8.5 perlu memperbarui instalasi minimal ke 8.5.12. Pada seri PHP yang berbeda, versi 8.4 harus diperbarui minimal ke 8.4.27 sesuai konfigurasi runtime masing-masing. Rilis patch terbaru mengatasi celah eksekusi kode yang ditemukan. Dengan mempertimbangkan potensi serangan, administrator dianjurkan segera melakukan peningkatan versi.

Permasalahan menjadi lebih penting bagi website dengan instalasi PHP yang sudah tidak didukung. Rilis PHP sebelum seri 8.2 tidak lagi menerima perbaikan keamanan resmi dari proyek PHP. Dalam praktik pengelolaan server, administrator perlu mengganti cabang PHP yang sudah usang. Selain itu, PHP 8.2 memiliki batas dukungan keamanan hingga akhir tahun 2026. Karena itu, pengelola website dianjurkan mempertimbangkan penggunaan seri PHP dengan masa dukungan lebih panjang. Namun dalam pelaksanaannya, kompatibilitas aplikasi tetap harus diperiksa agar layanan tidak mengalami gangguan yang tidak diharapkan.

Langkah Mengetahui PHP yang Digunakan Server Hosting

Apabila situs menggunakan CMS WordPress, informasi runtime tersedia pada halaman administrasi. Langkah pertama, akses panel administrasi situs. Setelah berhasil masuk, pilih menu Tools, kemudian buka halaman Site Health. Melalui halaman Info, temukan kategori Server untuk melihat versi PHP yang digunakan. Jika hasilnya menunjukkan versi rentan, pemilik situs sebaiknya menyiapkan peningkatan versi. Pemeriksaan ini mempermudah prioritas pembaruan website.

Untuk pengguna layanan hosting, informasi runtime biasanya tersedia dalam pengaturan server. Jika menggunakan cPanel, menu MultiPHP Manager dapat digunakan apabila administrator server menyediakan akses tersebut. Dalam penggunaan VPS atau dedicated server, administrator dapat memeriksa konfigurasi runtime. Pemeriksaan menggunakan php -v memperlihatkan informasi PHP pada lingkungan CLI. Walaupun informasi CLI dapat diperoleh, konfigurasi aplikasi web mungkin menggunakan instalasi PHP yang berbeda. Sebagai langkah validasi, pastikan versi PHP pada web server juga diperiksa. Melalui pemeriksaan menyeluruh, server aktif benar-benar mendapatkan perbaikan.

Ancaman Remote Code Execution bagi Server yang Belum Diperbarui

Dampak paling serius adalah kemungkinan eksekusi kode jarak jauh tanpa autentikasi. Pada bidang perlindungan sistem, kelemahan semacam ini memungkinkan eksekusi kode tanpa autentikasi. Apabila berhasil dieksploitasi, proses yang rentan dapat dikuasai. Konsekuensi keamanan yang berpotensi muncul dapat berupa perubahan data website. Pada website bisnis, ancamannya perlu ditangani dengan serius karena aplikasi menangani data pengguna dan transaksi. Namun perlu ditegaskan, keberadaan versi rentan bukan bukti bahwa serangan telah terjadi.

Dua kelemahan PHP ini memiliki cakupan lebih luas daripada WordPress karena masalahnya berada pada runtime PHP. Aplikasi Joomla serta layanan digital berbasis PHP lainnya perlu diperiksa jika menggunakan runtime yang belum diperbaiki. Untuk konfigurasi web server, sejumlah konfigurasi pemrosesan PHP yang berbeda tidak sebaiknya dianggap aman tanpa pemeriksaan. Peringatan pengembang menyebutkan risiko yang sangat tinggi pada konfigurasi mod_php karena serangan dapat dipicu sebelum logika website diproses. Untuk mengurangi kemungkinan eksploitasi, pembaruan runtime menjadi tindakan utama.

Strategi Mitigasi Risiko setelah Pengungkapan Kerentanan PHP

Langkah utama yang direkomendasikan adalah memasang pembaruan PHP yang sudah memperbaiki kedua celah. Sebelum melakukan pembaruan, administrator sebaiknya membuat cadangan website. File backup yang tersedia membantu proses pemulihan apabila terjadi gangguan. Setelah persiapan selesai, pasang versi runtime yang telah diperbaiki menggunakan prosedur terpercaya. Untuk pengguna penyedia hosting yang mengatur PHP, minta konfirmasi mengenai versi PHP aktif. Ketika instalasi selesai, pastikan layanan PHP yang aktif menggunakan versi baru. Pengujian fungsi website juga harus menjadi bagian dari prosedur.

Jika patch tidak dapat segera dipasang, organisasi sebaiknya melakukan mitigasi risiko tambahan. Penerapan aturan WAF mendukung pembatasan trafik berbahaya tertentu, tetapi bukan pengganti pembaruan PHP. Untuk sistem dengan risiko tinggi, isolasi sementara dapat menjadi pilihan sampai perbaikan keamanan dapat diterapkan. Selain itu, pengelola dapat mengevaluasi catatan permintaan dan kesalahan sistem. Evaluasi keamanan tersebut mendukung identifikasi indikasi kompromi. Namun demikian, penggunaan versi yang telah diperbaiki harus tetap diprioritaskan.

Kesimpulan tentang Dua Celah Kritis PHP dan Keamanan Website

Ditemukannya CVE-2026-109618 dan CVE-2026-109619 menjadi pengingat penting bagi pengelola website. Kerentanan pada runtime PHP tersebut tergolong kritis dengan penilaian 9,2 dan dapat membuka peluang pengambilalihan proses dari jarak jauh. Pembaruan PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 harus diprioritaskan oleh administrator. Di samping meningkatkan versi PHP, pemeriksaan log dan validasi server membantu menjaga keamanan operasional. Seiring meningkatnya kompleksitas TEKNOLOGI website, keamanan runtime tidak boleh diabaikan. Apakah website Anda sudah menggunakan PHP versi terbaru? Bagikan pendapat Anda mengenai langkah perlindungan server yang efektif.