Dua Celah Kritis PHP Terungkap, Pembaruan Keamanan Mendesak bagi Pengelola Website
Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Dua Kerentanan Kritis PHP Menjadi Ancaman bagi Keamanan Website
Tim pengembang PHP mengumumkan dua kelemahan serius pada komponen inti PHP yang dapat membuka peluang eksekusi perintah berbahaya pada server. Kedua kerentanan tersebut didaftarkan dengan kode CVE-2026-109618 dan CVE-2026-109619. Masing-masing memperoleh nilai keparahan 9,2 dalam sistem CVSS terbaru. Skor keamanan tersebut menempatkan keduanya dalam kategori kritis. Tidak seperti kelemahan yang hanya memengaruhi satu aplikasi, kelemahan ini berada dalam mesin pemrosesan PHP. Dengan kondisi tersebut, banyak sistem yang menggunakan PHP perlu diperiksa.
Bahasa pemrograman PHP dikenal sebagai komponen penting dalam berbagai layanan internet. Berbagai platform seperti WordPress, Drupal, dan Joomla mengandalkan PHP untuk menjalankan fungsinya. Dengan banyaknya sistem yang memanfaatkan PHP, kerentanan pada komponen inti memiliki dampak yang luas. Selain itu, website dengan aplikasi yang sudah diperbarui tetap dapat berisiko. Penyebab utamanya adalah kerentanan terjadi pada mesin PHP sebelum sebagian logika aplikasi diproses. Oleh karena itu, pengelola server perlu segera melakukan pembaruan.
Bagaimana Dua Celah PHP Dapat Membahayakan Server?
Kerentanan pertama terjadi pada penanganan kondisi out-of-memory. Dalam kondisi tertentu, runtime berpotensi meninggalkan struktur data yang belum sepenuhnya diinisialisasi. Permasalahan memori tersebut memungkinkan terjadinya memory corruption. Apabila berhasil dimanfaatkan, server berpotensi menjalankan instruksi yang tidak sah. Kerentanan tersebut tidak bergantung pada kesalahan penulisan kode aplikasi biasa. Karena itu, pembaruan aplikasi saja belum memberikan perlindungan menyeluruh.
Untuk CVE-2026-109619, permasalahan berkaitan dengan status internal yang tertinggal. Ketika PHP menangani rangkaian permintaan, informasi lama dapat digunakan kembali secara tidak semestinya. Keadaan ini termasuk permasalahan stale state pada runtime. Jika kelemahan tersebut berhasil dipicu, server dapat menghadapi risiko eksekusi kode jarak jauh. Kedua kerentanan melibatkan penanganan data internal yang tidak aman. Meskipun demikian, tidak setiap server pasti telah diserang. Penggunaan pembaruan resmi tetap menjadi langkah perlindungan paling penting.
Daftar PHP yang Harus Segera Diperbarui oleh Administrator
Pengelola keamanan PHP merilis versi perbaikan pada 21 Oktober 2026 untuk mengatasi masalah manajemen memori tersebut. Rilis keamanan yang direkomendasikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengguna PHP 8.5 perlu memperbarui instalasi minimal ke 8.5.12. Sementara itu, pengguna PHP 8.3 perlu menggunakan minimal 8.3.36 sesuai lingkungan server yang sedang berjalan. Perbaikan keamanan tersebut ditujukan untuk menutup kedua kelemahan. Dengan mempertimbangkan potensi serangan, pemasangan patch tidak sebaiknya ditunda.
Risiko meningkat bagi website dengan instalasi PHP yang sudah tidak didukung. Versi PHP 8.1 dan sebelumnya tidak memperoleh patch baru melalui siklus rilis resmi PHP. Dengan kata lain, pengguna versi tersebut perlu merencanakan migrasi. Selain itu, PHP 8.2 akan memasuki status end-of-life pada penghujung Desember 2026. Dengan mempertimbangkan jadwal tersebut, pengelola website dianjurkan mempertimbangkan penggunaan seri PHP dengan masa dukungan lebih panjang. Meski demikian, perubahan versi perlu disertai evaluasi perangkat lunak agar proses migrasi berlangsung dengan risiko operasional minimal.
Panduan Mengecek Kerentanan PHP Sebelum Memperbarui Website
Bagi pengguna WordPress, pemeriksaan versi PHP dapat dilakukan melalui dashboard. Langkah pertama, masuk ke halaman administrator WordPress. Selanjutnya, buka bagian Peralatan, kemudian buka halaman Site Health. Melalui halaman Info, periksa detail lingkungan server untuk memeriksa informasi konfigurasi PHP. Ketika nomor PHP masih lebih rendah daripada versi aman, administrator harus menghubungi penyedia hosting. Pemeriksaan ini mempermudah prioritas pembaruan website.
Untuk pengguna layanan hosting, pengelola dapat meninjau konfigurasi PHP dari control panel. Jika menggunakan cPanel, menu MultiPHP Manager dapat digunakan apabila penyedia hosting mengaktifkan fitur tersebut. Sementara itu, versi PHP bisa diketahui menggunakan perintah sistem. Instruksi terminal php -v memberikan detail instalasi PHP yang dipanggil terminal. Meskipun perintah tersebut berguna, konfigurasi aplikasi web mungkin menggunakan instalasi PHP yang berbeda. Sebagai langkah validasi, informasi PHP-FPM atau modul web server harus diverifikasi. Berkat validasi tersebut, risiko salah mengidentifikasi lingkungan PHP dapat dikurangi.
Dampak Kerentanan PHP terhadap WordPress dan Website Bisnis
Dampak paling serius adalah kemungkinan eksekusi kode jarak jauh tanpa autentikasi. Dalam pengelolaan keamanan server, serangan tersebut termasuk kategori remote code execution tanpa login. Jika penyerang mampu memanfaatkan celah, server berpotensi kehilangan integritas. Konsekuensi keamanan yang berpotensi muncul dapat berupa perubahan data website. Dalam lingkungan perdagangan elektronik, risiko tersebut menjadi perhatian penting karena server sering menyimpan atau mengakses informasi penting. Walaupun dampak potensial sangat besar, indikasi kompromi tetap memerlukan pemeriksaan tersendiri.
Dua kelemahan PHP ini memiliki cakupan lebih luas daripada WordPress karena masalahnya berada pada runtime PHP. Website Drupal serta aplikasi PHP buatan sendiri perlu diperiksa jika menggunakan runtime yang belum diperbaiki. Dalam penggunaan infrastruktur hosting, PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed perlu mendapatkan perhatian pembaruan. Dalam informasi keamanan resmi, pengembang PHP menekankan tingkat bahaya khusus untuk Apache mod_php karena eksploitasi telah didemonstrasikan sebelum kode aplikasi berjalan. Dengan kondisi tersebut, administrator perlu menangani masalah pada tingkat server.
Langkah Mendesak Mengamankan Website dari Celah PHP
Langkah utama yang direkomendasikan adalah menggunakan runtime PHP dengan patch resmi. Menjelang proses peningkatan versi, tim teknis dianjurkan menyimpan salinan konfigurasi dan aplikasi. Cadangan tersebut berguna ketika kompatibilitas aplikasi bermasalah. Pada tahap implementasi, gunakan paket PHP dari penyedia sistem operasi atau hosting. Apabila website berada pada hosting terkelola, periksa pemberitahuan keamanan dari perusahaan hosting. Setelah pembaruan, periksa kembali runtime yang melayani permintaan web. Pengujian fungsi website juga penting untuk memastikan layanan tetap berjalan.
Apabila pembaruan belum memungkinkan, pengelola server harus mempertimbangkan perlindungan darurat. Pemanfaatan firewall aplikasi web dapat membantu menyaring sebagian permintaan mencurigakan, tetapi bukan pengganti pembaruan PHP. Jika aplikasi penting belum dapat diperbaiki, isolasi sementara dapat menjadi pilihan sampai perbaikan keamanan dapat diterapkan. Sebagai tindakan pendukung, pengelola dapat mengevaluasi catatan permintaan dan kesalahan sistem. Evaluasi keamanan tersebut dapat memberikan petunjuk upaya eksploitasi. Namun demikian, penggunaan versi yang telah diperbaiki harus tetap diprioritaskan.
Rangkuman Ancaman PHP dan Langkah Perlindungan Website
Pengungkapan dua kerentanan kritis PHP menegaskan pentingnya pembaruan perangkat lunak server. Permasalahan keamanan ini tergolong kritis dengan penilaian 9,2 dan menimbulkan ancaman serius terhadap server yang rentan. Pembaruan PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 menjadi langkah utama untuk menutup kelemahan tersebut. Di samping meningkatkan versi PHP, pemeriksaan log dan validasi server membantu menjaga keamanan operasional. Seiring meningkatnya kompleksitas TEKNOLOGI website, pengawasan infrastruktur harus dilakukan secara konsisten. Apakah website Anda sudah menggunakan PHP versi terbaru? Silakan bagikan pengalaman Anda mengenai pembaruan PHP.
