Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Peringatan Keamanan PHP dan Risiko Serangan terhadap Server Website
Komunitas pengembang inti PHP mengungkapkan dua kelemahan serius pada komponen inti PHP yang dapat membuka peluang eksekusi perintah berbahaya pada server. Dua kelemahan keamanan ini didaftarkan dengan kode CVE-2026-109618 dan CVE-2026-109619. Masing-masing memperoleh penilaian tingkat bahaya 9,2 berdasarkan CVSS 4.0. Angka tersebut menempatkan keduanya dalam kategori kritis. Berbeda dari masalah pada plugin tertentu, permasalahan tersebut berkaitan dengan runtime PHP. Oleh sebab itu, sejumlah layanan berbasis PHP berpotensi terdampak.
PHP merupakan komponen penting dalam berbagai layanan internet. Berbagai platform seperti WordPress, Drupal, dan Joomla menggunakan PHP sebagai bagian dari pemrosesan server. Karena penggunaannya luas, kelemahan tersebut berpotensi memengaruhi berbagai jenis website. Dalam kondisi tertentu, pembaruan CMS saja belum tentu menghilangkan ancaman. Penyebab utamanya adalah kerentanan terjadi pada mesin PHP sebelum sebagian logika aplikasi diproses. Oleh karena itu, administrator website harus memastikan runtime memperoleh perbaikan keamanan.
Mengenal CVE-2026-109618 dan CVE-2026-109619
Kerentanan pertama melibatkan kesalahan pemrosesan saat batas memori tercapai. Dalam kondisi tertentu, sistem dapat memperlakukan informasi internal yang tidak lengkap secara keliru. Kondisi tersebut berpotensi mengganggu integritas proses. Jika kondisi eksploitasi terpenuhi, proses PHP dapat mengalami pengambilalihan dalam kondisi tertentu. Kelemahan pertama ini berasal dari pemrosesan internal PHP. Dengan demikian, pembaruan aplikasi saja belum memberikan perlindungan menyeluruh.
Sementara itu, permasalahan berkaitan dengan status internal yang tertinggal. Dalam proses tertentu, data internal yang seharusnya dibersihkan dapat tetap tersimpan. Situasi tersebut dapat melibatkan referensi terhadap data yang sudah tidak berlaku. Apabila dimanfaatkan penyerang, informasi sensitif dari memori berpotensi terekspos. Kedua kerentanan berkaitan dengan kesalahan manajemen memori. Meskipun demikian, tidak setiap server pasti telah diserang. Penggunaan pembaruan resmi tetap harus dilakukan sesegera mungkin.
Versi PHP yang Terdampak dan Pembaruan Keamanan Resmi
Tim pengembang PHP telah menyediakan pembaruan pada 21 Oktober 2026 untuk mengatasi masalah manajemen memori tersebut. Pembaruan yang tersedia meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengguna PHP 8.5 harus memastikan sistem tidak lagi menggunakan 8.5.11 atau rilis rentan sebelumnya. Sementara itu, pengguna PHP 8.3 perlu menggunakan minimal 8.3.36 sesuai lingkungan server yang sedang berjalan. Perbaikan keamanan tersebut mengatasi celah eksekusi kode yang ditemukan. Karena ancamannya serius, pemasangan patch tidak sebaiknya ditunda.
Risiko meningkat bagi server yang menggunakan PHP versi lama. Versi PHP 8.1 dan sebelumnya tidak lagi menerima perbaikan keamanan resmi dari proyek PHP. Dengan kata lain, pengguna versi tersebut perlu merencanakan migrasi. Selain itu, PHP 8.2 dijadwalkan mencapai akhir masa dukungan pada 31 Desember 2026. Untuk menghindari masalah berikutnya, organisasi perlu menyusun rencana migrasi jangka panjang. Namun dalam pelaksanaannya, perubahan versi perlu disertai evaluasi perangkat lunak agar website tetap berfungsi setelah pembaruan.
Langkah Mengetahui PHP yang Digunakan Server Hosting
Apabila situs menggunakan CMS WordPress, pemeriksaan versi PHP dapat dilakukan melalui dashboard. Pada tahap awal, buka dashboard pengelolaan website. Setelah berhasil masuk, pilih menu Tools, kemudian pilih Kesehatan Situs. Melalui halaman Info, buka informasi Server untuk melihat versi PHP yang digunakan. Ketika nomor PHP masih lebih rendah daripada versi aman, administrator harus menghubungi penyedia hosting. Proses identifikasi awal ini memberikan gambaran kondisi keamanan server.
Selain melalui WordPress, pengelola dapat meninjau konfigurasi PHP dari control panel. Dalam lingkungan hosting berbasis cPanel, fitur pengelolaan versi PHP tersedia melalui MultiPHP Manager apabila penyedia hosting mengaktifkan fitur tersebut. Dalam penggunaan VPS atau dedicated server, versi PHP bisa diketahui menggunakan perintah sistem. Pemeriksaan menggunakan php -v menampilkan versi PHP untuk command-line. Walaupun informasi CLI dapat diperoleh, runtime PHP-FPM tidak selalu identik dengan PHP CLI. Karena itu, administrator perlu mengidentifikasi runtime yang benar-benar melayani website. Melalui pemeriksaan menyeluruh, pembaruan tidak hanya dilakukan pada instalasi yang tidak digunakan website.
Dampak Kerentanan PHP terhadap WordPress dan Website Bisnis
Risiko utama dari kerentanan tersebut adalah kemampuan menjalankan kode berbahaya tanpa harus memiliki akun. Dalam istilah keamanan siber, kelemahan semacam ini memungkinkan eksekusi kode tanpa autentikasi. Ketika serangan memenuhi kondisi eksploitasi, proses yang rentan dapat dikuasai. Dampaknya dapat berupa perubahan data website. Pada website bisnis, dampaknya dapat memengaruhi operasional karena aplikasi menangani data pengguna dan transaksi. Namun perlu ditegaskan, server yang belum diperbarui tidak otomatis sudah diretas.
Ancaman keamanan tersebut melampaui satu platform CMS karena komponen yang rentan digunakan berbagai aplikasi. Aplikasi Joomla serta platform web khusus perusahaan perlu diperiksa jika menggunakan runtime yang belum diperbaiki. Untuk konfigurasi web server, PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed perlu mendapatkan perhatian pembaruan. Peringatan pengembang menyebutkan perhatian utama terhadap lingkungan mod_php karena serangan dapat dipicu sebelum logika website diproses. Untuk mengurangi kemungkinan eksploitasi, pembaruan runtime menjadi tindakan utama.
Strategi Mitigasi Risiko setelah Pengungkapan Kerentanan PHP
Prioritas pertama bagi pengelola website adalah meningkatkan instalasi ke versi keamanan terbaru. Untuk mempersiapkan perubahan server, pengelola perlu menyiapkan backup data. File backup yang tersedia membantu proses pemulihan apabila terjadi gangguan. Setelah persiapan selesai, lakukan pembaruan melalui metode resmi yang didukung server. Apabila website berada pada hosting terkelola, hubungi dukungan teknis untuk memastikan patch telah diterapkan. Setelah pembaruan, periksa kembali runtime yang melayani permintaan web. Validasi aplikasi setelah peningkatan versi juga penting untuk memastikan layanan tetap berjalan.
Jika patch tidak dapat segera dipasang, organisasi sebaiknya melakukan mitigasi risiko tambahan. Penggunaan web application firewall berpotensi mengurangi sejumlah jalur serangan, tetapi bukan pengganti pembaruan PHP. Jika aplikasi penting belum dapat diperbaiki, pembatasan akses jaringan perlu dipertimbangkan sampai perbaikan keamanan dapat diterapkan. Sebagai tindakan pendukung, tim keamanan perlu meninjau aktivitas mencurigakan. Langkah investigasi ini mendukung identifikasi indikasi kompromi. Walaupun langkah tambahan bermanfaat, patch resmi merupakan solusi utama.
Penutup: Pentingnya Memperbarui PHP untuk Mencegah Serangan
Peringatan keamanan mengenai dua kelemahan PHP menunjukkan perlunya pemeliharaan sistem secara berkelanjutan. Kerentanan pada runtime PHP tersebut memiliki skor CVSS 9,2 dan dapat membuka peluang pengambilalihan proses dari jarak jauh. Versi PHP yang telah memperoleh perbaikan resmi menjadi langkah utama untuk menutup kelemahan tersebut. Di samping meningkatkan versi PHP, pengujian aplikasi dan pengawasan aktivitas mendukung pengelolaan risiko yang lebih baik. Dalam perkembangan TEKNOLOGI keamanan siber, keamanan runtime tidak boleh diabaikan. Apakah website Anda sudah menggunakan PHP versi terbaru? Silakan bagikan pengalaman Anda mengenai pembaruan PHP.
