Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Mengenal Celah Keamanan PHP yang Memerlukan Pembaruan Segera
Komunitas pengembang inti PHP merilis informasi mengenai sepasang celah berbahaya dalam sistem PHP yang berpotensi memungkinkan penyerang menjalankan kode dari jarak jauh. Permasalahan yang ditemukan tersebut diidentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619. Keduanya memiliki penilaian tingkat bahaya 9,2 berdasarkan CVSS 4.0. Angka tersebut menunjukkan tingkat risiko yang sangat serius. Tidak seperti kelemahan yang hanya memengaruhi satu aplikasi, permasalahan tersebut berkaitan dengan runtime PHP. Dengan kondisi tersebut, sejumlah layanan berbasis PHP berpotensi terdampak.
Bahasa pemrograman PHP dikenal sebagai komponen penting dalam berbagai layanan internet. Sejumlah sistem manajemen konten seperti WordPress, Drupal, dan Joomla memanfaatkan bahasa tersebut untuk menghasilkan halaman dinamis. Dengan banyaknya sistem yang memanfaatkan PHP, kerentanan pada komponen inti memiliki dampak yang luas. Dalam kondisi tertentu, website dengan aplikasi yang sudah diperbarui tetap dapat berisiko. Kondisi tersebut berkaitan dengan kelemahan berada pada lapisan pemrosesan PHP. Dengan mempertimbangkan situasi tersebut, pengelola server perlu segera melakukan pembaruan.
Penjelasan Teknis Kerentanan Kritis pada Runtime PHP
Celah keamanan dengan kode CVE-2026-109618 berkaitan dengan pengelolaan memori ketika sumber daya habis. Dalam kondisi tertentu, PHP dapat mengalami gangguan saat mengelola data internal. Kesalahan pengelolaan ini berpotensi mengganggu integritas proses. Ketika penyerang mampu memicu kelemahan tersebut, dampaknya dapat mencakup eksekusi kode berbahaya. Kelemahan pertama ini tidak bergantung pada kesalahan penulisan kode aplikasi biasa. Dengan demikian, pengelola tidak cukup hanya memperbarui plugin.
Pada kerentanan kedua, permasalahan berkaitan dengan status internal yang tertinggal. Ketika PHP menangani rangkaian permintaan, informasi lama dapat digunakan kembali secara tidak semestinya. Keadaan ini berhubungan dengan penggunaan memori setelah dibebaskan. Apabila dimanfaatkan penyerang, proses PHP mungkin menjalankan instruksi tidak sah. Kedua kerentanan berkaitan dengan kesalahan manajemen memori. Walaupun dampaknya serius, tingkat risiko nyata dapat dipengaruhi konfigurasi serta jalur serangan yang tersedia. Penerapan patch keamanan terbaru tetap merupakan prioritas untuk mengurangi ancaman.
Daftar PHP yang Harus Segera Diperbarui oleh Administrator
Pengelola keamanan PHP merilis versi perbaikan pada 21 Oktober 2026 untuk mengatasi masalah manajemen memori tersebut. Versi yang telah memperoleh perbaikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengguna PHP 8.5 harus memastikan sistem tidak lagi menggunakan 8.5.11 atau rilis rentan sebelumnya. Untuk cabang lainnya, instalasi PHP 8.2 membutuhkan pembaruan minimal ke 8.2.35 sesuai cabang versi yang digunakan. Perbaikan keamanan tersebut ditujukan untuk menutup kedua kelemahan. Karena ancamannya serius, administrator dianjurkan segera melakukan peningkatan versi.
Perhatian tambahan diperlukan bagi website dengan instalasi PHP yang sudah tidak didukung. Cabang PHP 8.1 beserta versi yang lebih tua sudah berada di luar periode dukungan keamanan utama. Dalam praktik pengelolaan server, pengguna versi tersebut perlu merencanakan migrasi. Selain itu, PHP 8.2 memiliki batas dukungan keamanan hingga akhir tahun 2026. Untuk menghindari masalah berikutnya, organisasi perlu menyusun rencana migrasi jangka panjang. Meski demikian, pengujian plugin serta tema menjadi langkah penting agar proses migrasi berlangsung dengan risiko operasional minimal.
Panduan Mengecek Kerentanan PHP Sebelum Memperbarui Website
Bagi pengguna WordPress, versi PHP bisa diketahui melalui fitur bawaan WordPress. Untuk memulai pemeriksaan, masuk ke halaman administrator WordPress. Selanjutnya, buka bagian Peralatan, kemudian masuk ke Site Health. Melalui halaman Info, temukan kategori Server untuk memeriksa informasi konfigurasi PHP. Apabila instalasi belum menggunakan rilis yang diperbaiki, pemilik situs sebaiknya menyiapkan peningkatan versi. Langkah sederhana tersebut mempermudah prioritas pembaruan website.
Di luar dashboard CMS, pengelola dapat meninjau konfigurasi PHP dari control panel. Pada layanan cPanel, menu MultiPHP Manager dapat digunakan apabila administrator server menyediakan akses tersebut. Sementara itu, pemeriksaan dapat dilakukan melalui terminal. Instruksi terminal php -v menampilkan versi PHP untuk command-line. Walaupun informasi CLI dapat diperoleh, runtime PHP-FPM tidak selalu identik dengan PHP CLI. Karena itu, pastikan versi PHP pada web server juga diperiksa. Melalui pemeriksaan menyeluruh, pembaruan tidak hanya dilakukan pada instalasi yang tidak digunakan website.
Ancaman Remote Code Execution bagi Server yang Belum Diperbarui
Ancaman terbesar yang perlu diperhatikan adalah kemungkinan eksekusi kode jarak jauh tanpa autentikasi. Dalam istilah keamanan siber, kondisi ini dikenal sebagai unauthenticated RCE. Ketika serangan memenuhi kondisi eksploitasi, proses yang rentan dapat dikuasai. Akibat yang mungkin terjadi meliputi gangguan layanan serta penyalahgunaan sumber daya. Untuk aplikasi yang mengelola pelanggan, dampaknya dapat memengaruhi operasional karena server sering menyimpan atau mengakses informasi penting. Meski demikian, keberadaan versi rentan bukan bukti bahwa serangan telah terjadi.
Kerentanan ini tidak hanya relevan untuk WordPress karena komponen yang rentan digunakan berbagai aplikasi. Website Drupal serta aplikasi PHP buatan sendiri memerlukan peninjauan keamanan pada lingkungan server. Untuk konfigurasi web server, berbagai mode integrasi PHP dengan web server perlu mendapatkan perhatian pembaruan. Peringatan pengembang menyebutkan tingkat bahaya khusus untuk Apache mod_php karena eksploitasi telah didemonstrasikan sebelum kode aplikasi berjalan. Karena itu, administrator perlu menangani masalah pada tingkat server.
Strategi Mitigasi Risiko setelah Pengungkapan Kerentanan PHP
Tindakan paling penting adalah meningkatkan instalasi ke versi keamanan terbaru. Untuk mempersiapkan perubahan server, pengelola perlu menyiapkan backup data. File backup yang tersedia berguna ketika kompatibilitas aplikasi bermasalah. Selanjutnya, pasang versi runtime yang telah diperbaiki menggunakan prosedur terpercaya. Jika menggunakan layanan managed hosting, minta konfirmasi mengenai versi PHP aktif. Ketika instalasi selesai, validasi bahwa proses server telah menjalankan PHP yang diperbaiki. Pemeriksaan halaman dan fitur penting juga penting untuk memastikan layanan tetap berjalan.
Apabila pembaruan belum memungkinkan, organisasi sebaiknya melakukan mitigasi risiko tambahan. Penerapan aturan WAF dapat membantu menyaring sebagian permintaan mencurigakan, tetapi tidak menjamin perlindungan penuh. Pada server yang terbuka langsung ke internet, isolasi sementara dapat menjadi pilihan sampai patch selesai dipasang dan diverifikasi. Sebagai tindakan pendukung, tim keamanan perlu meninjau aktivitas mencurigakan. Evaluasi keamanan tersebut mendukung identifikasi indikasi kompromi. Namun demikian, pembaruan PHP tetap menjadi tindakan paling efektif.
Kesimpulan tentang Dua Celah Kritis PHP dan Keamanan Website
Ditemukannya CVE-2026-109618 dan CVE-2026-109619 menjadi pengingat penting bagi pengelola website. Kedua celah tersebut tergolong kritis dengan penilaian 9,2 dan dapat membuka peluang pengambilalihan proses dari jarak jauh. Rilis keamanan terbaru untuk cabang PHP yang masih didukung menjadi langkah utama untuk menutup kelemahan tersebut. Selain memasang patch, pengujian aplikasi dan pengawasan aktivitas memperkuat proses pemeliharaan website. Dalam perkembangan TEKNOLOGI keamanan siber, pengawasan infrastruktur harus dilakukan secara konsisten. Apakah website Anda sudah menggunakan PHP versi terbaru? Bagikan pendapat Anda mengenai langkah perlindungan server yang efektif.
