Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Peringatan Keamanan PHP dan Risiko Serangan terhadap Server Website
Tim pengembang PHP mengungkapkan dua kerentanan keamanan dengan tingkat keparahan kritis yang memungkinkan pengambilalihan proses tertentu dalam kondisi yang memenuhi syarat. Permasalahan yang ditemukan tersebut didaftarkan dengan kode CVE-2026-109618 dan CVE-2026-109619. Masing-masing memperoleh penilaian tingkat bahaya 9,2 berdasarkan CVSS 4.0. Angka tersebut menggambarkan potensi dampak keamanan yang tinggi. Berbeda dari masalah pada plugin tertentu, kedua celah ditemukan pada komponen inti PHP. Dengan kondisi tersebut, banyak sistem yang menggunakan PHP perlu diperiksa.
Dalam pengembangan website, PHP menjadi salah satu teknologi server yang banyak digunakan. Berbagai platform seperti WordPress, Drupal, dan Joomla menggunakan PHP sebagai bagian dari pemrosesan server. Karena penggunaannya luas, kerentanan pada komponen inti memiliki dampak yang luas. Dalam kondisi tertentu, website dengan aplikasi yang sudah diperbarui tetap dapat berisiko. Hal ini terjadi karena masalah muncul dalam komponen yang menjalankan kode aplikasi. Oleh karena itu, administrator website harus memastikan runtime memperoleh perbaikan keamanan.
Penjelasan Teknis Kerentanan Kritis pada Runtime PHP
Celah keamanan dengan kode CVE-2026-109618 melibatkan kesalahan pemrosesan saat batas memori tercapai. Dalam kondisi tertentu, runtime berpotensi meninggalkan struktur data yang belum sepenuhnya diinisialisasi. Kesalahan pengelolaan ini memungkinkan terjadinya memory corruption. Apabila berhasil dimanfaatkan, proses PHP dapat mengalami pengambilalihan dalam kondisi tertentu. Kerentanan tersebut terjadi pada lapisan yang lebih mendasar daripada logika website. Berdasarkan karakteristik tersebut, pengelola tidak cukup hanya memperbarui plugin.
Untuk CVE-2026-109619, permasalahan berkaitan dengan status internal yang tertinggal. Pada kondisi pemrosesan khusus, data internal yang seharusnya dibersihkan dapat tetap tersimpan. Keadaan ini dapat melibatkan referensi terhadap data yang sudah tidak berlaku. Apabila dimanfaatkan penyerang, server dapat menghadapi risiko eksekusi kode jarak jauh. Sepasang kelemahan PHP ini berkaitan dengan kesalahan manajemen memori. Namun perlu diperhatikan, tidak setiap server pasti telah diserang. Penggunaan pembaruan resmi tetap harus dilakukan sesegera mungkin.
Rilis Patch PHP untuk Menutup Dua Kerentanan Kritis
Proyek resmi PHP telah menyediakan pembaruan pada 21 Oktober 2026 untuk menutup kedua kerentanan kritis. Versi yang telah memperoleh perbaikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengguna PHP 8.5 harus memastikan sistem tidak lagi menggunakan 8.5.11 atau rilis rentan sebelumnya. Untuk cabang lainnya, pengguna PHP 8.3 perlu menggunakan minimal 8.3.36 sesuai lingkungan server yang sedang berjalan. Pembaruan ini mengurangi risiko eksploitasi pada komponen inti PHP. Dengan mempertimbangkan potensi serangan, administrator dianjurkan segera melakukan peningkatan versi.
Permasalahan menjadi lebih penting bagi server yang menggunakan PHP versi lama. Cabang PHP 8.1 beserta versi yang lebih tua tidak lagi menerima perbaikan keamanan resmi dari proyek PHP. Dengan kata lain, administrator perlu mengganti cabang PHP yang sudah usang. Sebagai informasi tambahan, PHP 8.2 memiliki batas dukungan keamanan hingga akhir tahun 2026. Dengan mempertimbangkan jadwal tersebut, pengelola website dianjurkan mempertimbangkan penggunaan seri PHP dengan masa dukungan lebih panjang. Walaupun pembaruan sangat diperlukan, perubahan versi perlu disertai evaluasi perangkat lunak agar proses migrasi berlangsung dengan risiko operasional minimal.
Cara Memeriksa Versi PHP pada Website WordPress
Bagi pengguna WordPress, pemeriksaan versi PHP dapat dilakukan melalui dashboard. Pada tahap awal, akses panel administrasi situs. Kemudian, buka bagian Peralatan, kemudian pilih Kesehatan Situs. Melalui halaman Info, temukan kategori Server untuk memeriksa informasi konfigurasi PHP. Apabila instalasi belum menggunakan rilis yang diperbaiki, pemilik situs sebaiknya menyiapkan peningkatan versi. Pemeriksaan ini memberikan gambaran kondisi keamanan server.
Selain melalui WordPress, pengelola dapat meninjau konfigurasi PHP dari control panel. Pada layanan cPanel, fitur pengelolaan versi PHP tersedia melalui MultiPHP Manager apabila layanan hosting mendukung pengaturan versi PHP. Untuk server yang dikelola sendiri, versi PHP bisa diketahui menggunakan perintah sistem. Instruksi terminal php -v memberikan detail instalasi PHP yang dipanggil terminal. Walaupun informasi CLI dapat diperoleh, konfigurasi aplikasi web mungkin menggunakan instalasi PHP yang berbeda. Karena itu, informasi PHP-FPM atau modul web server harus diverifikasi. Melalui pemeriksaan menyeluruh, server aktif benar-benar mendapatkan perbaikan.
Dampak Kerentanan PHP terhadap WordPress dan Website Bisnis
Ancaman terbesar yang perlu diperhatikan adalah potensi remote code execution oleh penyerang anonim. Dalam istilah keamanan siber, kondisi ini dikenal sebagai unauthenticated RCE. Ketika serangan memenuhi kondisi eksploitasi, server berpotensi kehilangan integritas. Dampaknya mencakup akses terhadap informasi sensitif. Pada website bisnis, risiko tersebut menjadi perhatian penting karena aplikasi menangani data pengguna dan transaksi. Meski demikian, keberadaan versi rentan bukan bukti bahwa serangan telah terjadi.
Kerentanan ini tidak hanya relevan untuk WordPress karena beragam sistem web memanfaatkan mesin PHP yang sama. Sistem Laravel serta layanan digital berbasis PHP lainnya berpotensi terdampak apabila menjalankan versi rentan. Untuk konfigurasi web server, sejumlah konfigurasi pemrosesan PHP yang berbeda tidak sebaiknya dianggap aman tanpa pemeriksaan. Peringatan pengembang menyebutkan perhatian utama terhadap lingkungan mod_php karena eksploitasi telah didemonstrasikan sebelum kode aplikasi berjalan. Untuk mengurangi kemungkinan eksploitasi, patch keamanan harus diprioritaskan.
Langkah Mendesak Mengamankan Website dari Celah PHP
Tindakan paling penting adalah memasang pembaruan PHP yang sudah memperbaiki kedua celah. Sebelum melakukan pembaruan, pengelola perlu menyiapkan backup data. Cadangan tersebut berguna ketika kompatibilitas aplikasi bermasalah. Selanjutnya, lakukan pembaruan melalui metode resmi yang didukung server. Jika menggunakan layanan managed hosting, periksa pemberitahuan keamanan dari perusahaan hosting. Setelah pembaruan, periksa kembali runtime yang melayani permintaan web. Pemeriksaan halaman dan fitur penting juga harus menjadi bagian dari prosedur.
Jika patch tidak dapat segera dipasang, organisasi sebaiknya melakukan mitigasi risiko tambahan. Pemanfaatan firewall aplikasi web dapat membantu menyaring sebagian permintaan mencurigakan, tetapi bukan pengganti pembaruan PHP. Jika aplikasi penting belum dapat diperbaiki, pembatasan akses jaringan perlu dipertimbangkan sampai perbaikan keamanan dapat diterapkan. Sebagai tindakan pendukung, tim keamanan perlu meninjau aktivitas mencurigakan. Langkah investigasi ini dapat memberikan petunjuk upaya eksploitasi. Namun demikian, pembaruan PHP tetap menjadi tindakan paling efektif.
Penutup: Pentingnya Memperbarui PHP untuk Mencegah Serangan
Ditemukannya CVE-2026-109618 dan CVE-2026-109619 menunjukkan perlunya pemeliharaan sistem secara berkelanjutan. Kerentanan pada runtime PHP tersebut tergolong kritis dengan penilaian 9,2 dan menimbulkan ancaman serius terhadap server yang rentan. Rilis keamanan terbaru untuk cabang PHP yang masih didukung harus diprioritaskan oleh administrator. Sebagai bagian dari perlindungan menyeluruh, pengujian aplikasi dan pengawasan aktivitas membantu menjaga keamanan operasional. Seiring meningkatnya kompleksitas TEKNOLOGI website, pengawasan infrastruktur harus dilakukan secara konsisten. Menurut Anda, apa tantangan terbesar dalam menjaga keamanan server website? Mari sampaikan pandangan tentang pentingnya keamanan website.
