Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Mengenal Celah Keamanan PHP yang Memerlukan Pembaruan Segera
Komunitas pengembang inti PHP mengungkapkan dua kelemahan serius pada komponen inti PHP yang dapat membuka peluang eksekusi perintah berbahaya pada server. Dua kelemahan keamanan ini tercatat menggunakan identitas CVE-2026-109618 dan CVE-2026-109619. Keduanya memiliki nilai keparahan 9,2 dalam sistem CVSS terbaru. Angka tersebut menempatkan keduanya dalam kategori kritis. Tidak seperti kelemahan yang hanya memengaruhi satu aplikasi, permasalahan tersebut berkaitan dengan runtime PHP. Oleh sebab itu, berbagai website dapat menghadapi risiko.
PHP merupakan salah satu teknologi server yang banyak digunakan. Banyak aplikasi berbasis web seperti WordPress, Drupal, dan Joomla mengandalkan PHP untuk menjalankan fungsinya. Karena penggunaannya luas, kelemahan tersebut berpotensi memengaruhi berbagai jenis website. Dalam kondisi tertentu, website dengan aplikasi yang sudah diperbarui tetap dapat berisiko. Hal ini terjadi karena kerentanan terjadi pada mesin PHP sebelum sebagian logika aplikasi diproses. Dengan mempertimbangkan situasi tersebut, pemeriksaan versi PHP menjadi prioritas utama.
Penjelasan Teknis Kerentanan Kritis pada Runtime PHP
Permasalahan pertama yang diungkap melibatkan kesalahan pemrosesan saat batas memori tercapai. Ketika permintaan mencapai keadaan tertentu, runtime berpotensi meninggalkan struktur data yang belum sepenuhnya diinisialisasi. Kesalahan pengelolaan ini memungkinkan terjadinya memory corruption. Jika kondisi eksploitasi terpenuhi, proses PHP dapat mengalami pengambilalihan dalam kondisi tertentu. Masalah ini berasal dari pemrosesan internal PHP. Dengan demikian, perbaikan tema website tidak menyelesaikan akar masalah.
Sementara itu, kelemahan muncul akibat penggunaan kembali informasi memori yang sudah tidak valid. Ketika PHP menangani rangkaian permintaan, data internal yang seharusnya dibersihkan dapat tetap tersimpan. Situasi tersebut dapat melibatkan referensi terhadap data yang sudah tidak berlaku. Apabila dimanfaatkan penyerang, proses PHP mungkin menjalankan instruksi tidak sah. Sepasang kelemahan PHP ini berkaitan dengan kesalahan manajemen memori. Meskipun demikian, tidak setiap server pasti telah diserang. Penggunaan pembaruan resmi tetap harus dilakukan sesegera mungkin.
Versi PHP yang Terdampak dan Pembaruan Keamanan Resmi
Tim pengembang PHP menghadirkan patch keamanan pada 21 Oktober 2026 untuk menutup kedua kerentanan kritis. Rilis keamanan yang direkomendasikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengelola server berbasis PHP 8.5 perlu memperbarui instalasi minimal ke 8.5.12. Pada seri PHP yang berbeda, instalasi PHP 8.2 membutuhkan pembaruan minimal ke 8.2.35 sesuai konfigurasi runtime masing-masing. Pembaruan ini ditujukan untuk menutup kedua kelemahan. Karena ancamannya serius, pengelola website perlu menjadikan pembaruan sebagai prioritas.
Risiko meningkat bagi server yang menggunakan PHP versi lama. Rilis PHP sebelum seri 8.2 tidak lagi menerima perbaikan keamanan resmi dari proyek PHP. Dalam praktik pengelolaan server, administrator perlu mengganti cabang PHP yang sudah usang. Sebagai informasi tambahan, PHP 8.2 memiliki batas dukungan keamanan hingga akhir tahun 2026. Karena itu, pembaruan ke cabang PHP yang lebih baru sebaiknya dipersiapkan. Walaupun pembaruan sangat diperlukan, kompatibilitas aplikasi tetap harus diperiksa agar proses migrasi berlangsung dengan risiko operasional minimal.
Cara Memeriksa Versi PHP pada Website WordPress
Untuk pengelola website berbasis WordPress, versi PHP bisa diketahui melalui fitur bawaan WordPress. Untuk memulai pemeriksaan, masuk ke halaman administrator WordPress. Kemudian, pilih menu Tools, kemudian masuk ke Site Health. Pada bagian Info, temukan kategori Server untuk mengetahui nomor rilis runtime PHP. Jika hasilnya menunjukkan versi rentan, pengelola perlu segera melakukan pembaruan. Langkah sederhana tersebut memberikan gambaran kondisi keamanan server.
Untuk pengguna layanan hosting, pengelola dapat meninjau konfigurasi PHP dari control panel. Pada layanan cPanel, menu MultiPHP Manager dapat digunakan apabila administrator server menyediakan akses tersebut. Sementara itu, versi PHP bisa diketahui menggunakan perintah sistem. Pemeriksaan menggunakan php -v memperlihatkan informasi PHP pada lingkungan CLI. Walaupun informasi CLI dapat diperoleh, konfigurasi aplikasi web mungkin menggunakan instalasi PHP yang berbeda. Sebagai langkah validasi, informasi PHP-FPM atau modul web server harus diverifikasi. Berkat validasi tersebut, server aktif benar-benar mendapatkan perbaikan.
Dampak Kerentanan PHP terhadap WordPress dan Website Bisnis
Dampak paling serius adalah kemungkinan eksekusi kode jarak jauh tanpa autentikasi. Dalam pengelolaan keamanan server, kelemahan semacam ini memungkinkan eksekusi kode tanpa autentikasi. Jika penyerang mampu memanfaatkan celah, server berpotensi kehilangan integritas. Akibat yang mungkin terjadi mencakup akses terhadap informasi sensitif. Dalam lingkungan perdagangan elektronik, dampaknya dapat memengaruhi operasional karena aplikasi menangani data pengguna dan transaksi. Walaupun dampak potensial sangat besar, keberadaan versi rentan bukan bukti bahwa serangan telah terjadi.
Ancaman keamanan tersebut melampaui satu platform CMS karena beragam sistem web memanfaatkan mesin PHP yang sama. Sistem Laravel serta platform web khusus perusahaan berpotensi terdampak apabila menjalankan versi rentan. Dalam penggunaan infrastruktur hosting, sejumlah konfigurasi pemrosesan PHP yang berbeda perlu mendapatkan perhatian pembaruan. Dalam informasi keamanan resmi, pengembang PHP menekankan risiko yang sangat tinggi pada konfigurasi mod_php karena permintaan berbahaya dapat mencapai bagian rentan lebih awal. Untuk mengurangi kemungkinan eksploitasi, patch keamanan harus diprioritaskan.
Panduan Pembaruan PHP dan Perlindungan Server Website
Tindakan paling penting adalah meningkatkan instalasi ke versi keamanan terbaru. Menjelang proses peningkatan versi, administrator sebaiknya membuat cadangan website. Salinan data tersebut memberikan pilihan pemulihan saat pembaruan menimbulkan kendala. Setelah persiapan selesai, pasang versi runtime yang telah diperbaiki menggunakan prosedur terpercaya. Jika menggunakan layanan managed hosting, hubungi dukungan teknis untuk memastikan patch telah diterapkan. Ketika instalasi selesai, validasi bahwa proses server telah menjalankan PHP yang diperbaiki. Pemeriksaan halaman dan fitur penting juga penting untuk memastikan layanan tetap berjalan.
Ketika lingkungan produksi membutuhkan waktu untuk diperbarui, pengelola server harus mempertimbangkan perlindungan darurat. Pemanfaatan firewall aplikasi web mendukung pembatasan trafik berbahaya tertentu, tetapi tidak dapat dianggap menutup seluruh kelemahan. Jika aplikasi penting belum dapat diperbaiki, pembatasan akses jaringan perlu dipertimbangkan sampai server berhasil menggunakan versi aman. Untuk meningkatkan pengawasan, tim keamanan perlu meninjau aktivitas mencurigakan. Pemeriksaan tersebut mendukung identifikasi indikasi kompromi. Meski beberapa mitigasi tersedia, penggunaan versi yang telah diperbaiki harus tetap diprioritaskan.
Kesimpulan tentang Dua Celah Kritis PHP dan Keamanan Website
Pengungkapan dua kerentanan kritis PHP menjadi pengingat penting bagi pengelola website. Permasalahan keamanan ini mendapatkan tingkat keparahan kritis dan menimbulkan ancaman serius terhadap server yang rentan. Pembaruan PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 harus diprioritaskan oleh administrator. Di samping meningkatkan versi PHP, pembuatan backup serta evaluasi konfigurasi mendukung pengelolaan risiko yang lebih baik. Di tengah kebutuhan perlindungan TEKNOLOGI digital, pengawasan infrastruktur harus dilakukan secara konsisten. Bagaimana pengalaman Anda melakukan pembaruan keamanan PHP? Bagikan pendapat Anda mengenai langkah perlindungan server yang efektif.
