Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Peringatan Keamanan PHP dan Risiko Serangan terhadap Server Website
Pengelola proyek bahasa pemrograman PHP merilis informasi mengenai dua kelemahan serius pada komponen inti PHP yang dapat membuka peluang eksekusi perintah berbahaya pada server. Dua kelemahan keamanan ini didaftarkan dengan kode CVE-2026-109618 dan CVE-2026-109619. Keduanya memiliki penilaian tingkat bahaya 9,2 berdasarkan CVSS 4.0. Skor keamanan tersebut menunjukkan tingkat risiko yang sangat serius. Tidak seperti kelemahan yang hanya memengaruhi satu aplikasi, kedua celah ditemukan pada komponen inti PHP. Dengan kondisi tersebut, berbagai website dapat menghadapi risiko.
Dalam pengembangan website, PHP menjadi komponen penting dalam berbagai layanan internet. Berbagai platform seperti WordPress, Drupal, dan Joomla menggunakan PHP sebagai bagian dari pemrosesan server. Dengan banyaknya sistem yang memanfaatkan PHP, kelemahan tersebut berpotensi memengaruhi berbagai jenis website. Dalam kondisi tertentu, pembaruan CMS saja belum tentu menghilangkan ancaman. Penyebab utamanya adalah kerentanan terjadi pada mesin PHP sebelum sebagian logika aplikasi diproses. Dengan mempertimbangkan situasi tersebut, pemeriksaan versi PHP menjadi prioritas utama.
Penjelasan Teknis Kerentanan Kritis pada Runtime PHP
Kerentanan pertama berkaitan dengan pengelolaan memori ketika sumber daya habis. Dalam kondisi tertentu, PHP dapat mengalami gangguan saat mengelola data internal. Kondisi tersebut dapat menyebabkan kerusakan memori. Ketika penyerang mampu memicu kelemahan tersebut, server berpotensi menjalankan instruksi yang tidak sah. Masalah ini tidak bergantung pada kesalahan penulisan kode aplikasi biasa. Dengan demikian, perbaikan tema website tidak menyelesaikan akar masalah.
Pada kerentanan kedua, permasalahan berkaitan dengan status internal yang tertinggal. Ketika PHP menangani rangkaian permintaan, informasi lama dapat digunakan kembali secara tidak semestinya. Kesalahan pengelolaan tersebut termasuk permasalahan stale state pada runtime. Apabila dimanfaatkan penyerang, proses PHP mungkin menjalankan instruksi tidak sah. Sepasang kelemahan PHP ini muncul dari mekanisme pengelolaan keadaan pemrosesan. Meskipun demikian, tingkat risiko nyata dapat dipengaruhi konfigurasi serta jalur serangan yang tersedia. Penerapan patch keamanan terbaru tetap menjadi langkah perlindungan paling penting.
Daftar PHP yang Harus Segera Diperbarui oleh Administrator
Tim pengembang PHP menghadirkan patch keamanan pada 21 Oktober 2026 untuk mengatasi masalah manajemen memori tersebut. Rilis keamanan yang direkomendasikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Administrator yang masih menjalankan cabang PHP 8.5 sebaiknya memasang rilis 8.5.12 atau versi berikutnya yang telah diperbaiki. Untuk cabang lainnya, pengguna PHP 8.3 perlu menggunakan minimal 8.3.36 sesuai cabang versi yang digunakan. Rilis patch terbaru mengatasi celah eksekusi kode yang ditemukan. Mengingat tingkat keparahannya tinggi, administrator dianjurkan segera melakukan peningkatan versi.
Permasalahan menjadi lebih penting bagi website dengan instalasi PHP yang sudah tidak didukung. Cabang PHP 8.1 beserta versi yang lebih tua tidak memperoleh patch baru melalui siklus rilis resmi PHP. Artinya, pengguna versi tersebut perlu merencanakan migrasi. Selain itu, PHP 8.2 akan memasuki status end-of-life pada penghujung Desember 2026. Untuk menghindari masalah berikutnya, organisasi perlu menyusun rencana migrasi jangka panjang. Walaupun pembaruan sangat diperlukan, kompatibilitas aplikasi tetap harus diperiksa agar proses migrasi berlangsung dengan risiko operasional minimal.
Cara Memeriksa Versi PHP pada Website WordPress
Untuk pengelola website berbasis WordPress, pemeriksaan versi PHP dapat dilakukan melalui dashboard. Untuk memulai pemeriksaan, masuk ke halaman administrator WordPress. Selanjutnya, pilih menu Tools, kemudian masuk ke Site Health. Dalam tab Informasi, periksa detail lingkungan server untuk mengetahui nomor rilis runtime PHP. Apabila instalasi belum menggunakan rilis yang diperbaiki, pengelola perlu segera melakukan pembaruan. Proses identifikasi awal ini membantu menentukan tindakan yang diperlukan.
Untuk pengguna layanan hosting, pengelola dapat meninjau konfigurasi PHP dari control panel. Dalam lingkungan hosting berbasis cPanel, fitur pengelolaan versi PHP tersedia melalui MultiPHP Manager apabila administrator server menyediakan akses tersebut. Untuk server yang dikelola sendiri, administrator dapat memeriksa konfigurasi runtime. Instruksi terminal php -v menampilkan versi PHP untuk command-line. Namun perlu diketahui, runtime PHP-FPM tidak selalu identik dengan PHP CLI. Untuk pemeriksaan yang tepat, administrator perlu mengidentifikasi runtime yang benar-benar melayani website. Dengan begitu, risiko salah mengidentifikasi lingkungan PHP dapat dikurangi.
Risiko Serangan Siber akibat Dua Celah Keamanan PHP
Dampak paling serius adalah kemampuan menjalankan kode berbahaya tanpa harus memiliki akun. Dalam pengelolaan keamanan server, serangan tersebut termasuk kategori remote code execution tanpa login. Ketika serangan memenuhi kondisi eksploitasi, sistem dapat mengalami kompromi. Konsekuensi keamanan yang berpotensi muncul mencakup akses terhadap informasi sensitif. Pada website bisnis, dampaknya dapat memengaruhi operasional karena sistem terhubung dengan layanan bisnis yang bernilai. Meski demikian, keberadaan versi rentan bukan bukti bahwa serangan telah terjadi.
Dua kelemahan PHP ini memiliki cakupan lebih luas daripada WordPress karena beragam sistem web memanfaatkan mesin PHP yang sama. Sistem Laravel serta layanan digital berbasis PHP lainnya berpotensi terdampak apabila menjalankan versi rentan. Dalam penggunaan infrastruktur hosting, sejumlah konfigurasi pemrosesan PHP yang berbeda tidak sebaiknya dianggap aman tanpa pemeriksaan. Dalam informasi keamanan resmi, pengembang PHP menekankan tingkat bahaya khusus untuk Apache mod_php karena eksploitasi telah didemonstrasikan sebelum kode aplikasi berjalan. Karena itu, administrator perlu menangani masalah pada tingkat server.
Langkah Mendesak Mengamankan Website dari Celah PHP
Tindakan paling penting adalah meningkatkan instalasi ke versi keamanan terbaru. Untuk mempersiapkan perubahan server, tim teknis dianjurkan menyimpan salinan konfigurasi dan aplikasi. Salinan data tersebut berguna ketika kompatibilitas aplikasi bermasalah. Setelah persiapan selesai, pasang versi runtime yang telah diperbaiki menggunakan prosedur terpercaya. Untuk pengguna penyedia hosting yang mengatur PHP, periksa pemberitahuan keamanan dari perusahaan hosting. Ketika instalasi selesai, validasi bahwa proses server telah menjalankan PHP yang diperbaiki. Pemeriksaan halaman dan fitur penting juga penting untuk memastikan layanan tetap berjalan.
Apabila pembaruan belum memungkinkan, administrator perlu menerapkan tindakan pembatasan sementara. Pemanfaatan firewall aplikasi web mendukung pembatasan trafik berbahaya tertentu, tetapi tidak dapat dianggap menutup seluruh kelemahan. Pada server yang terbuka langsung ke internet, penonaktifan layanan untuk sementara mungkin diperlukan sampai perbaikan keamanan dapat diterapkan. Untuk meningkatkan pengawasan, administrator dianjurkan memeriksa log server. Pemeriksaan tersebut mendukung identifikasi indikasi kompromi. Meski beberapa mitigasi tersedia, pembaruan PHP tetap menjadi tindakan paling efektif.
Penutup: Pentingnya Memperbarui PHP untuk Mencegah Serangan
Ditemukannya CVE-2026-109618 dan CVE-2026-109619 menjadi pengingat penting bagi pengelola website. Kedua celah tersebut memiliki skor CVSS 9,2 dan berpotensi memungkinkan eksekusi kode tanpa autentikasi. Versi PHP yang telah memperoleh perbaikan resmi perlu segera diterapkan. Di samping meningkatkan versi PHP, pemeriksaan log dan validasi server mendukung pengelolaan risiko yang lebih baik. Seiring meningkatnya kompleksitas TEKNOLOGI website, pengawasan infrastruktur harus dilakukan secara konsisten. Apakah website Anda sudah menggunakan PHP versi terbaru? Silakan bagikan pengalaman Anda mengenai pembaruan PHP.
