Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Dua Kerentanan Kritis PHP Menjadi Ancaman bagi Keamanan Website
Komunitas pengembang inti PHP mengumumkan dua kerentanan keamanan dengan tingkat keparahan kritis yang dapat membuka peluang eksekusi perintah berbahaya pada server. Dua kelemahan keamanan ini tercatat menggunakan identitas CVE-2026-109618 dan CVE-2026-109619. Masing-masing memperoleh nilai keparahan 9,2 dalam sistem CVSS terbaru. Tingkat penilaian ini menunjukkan tingkat risiko yang sangat serius. Tidak seperti kelemahan yang hanya memengaruhi satu aplikasi, permasalahan tersebut berkaitan dengan runtime PHP. Akibatnya, berbagai website dapat menghadapi risiko.
PHP merupakan komponen penting dalam berbagai layanan internet. Banyak aplikasi berbasis web seperti WordPress, Drupal, dan Joomla mengandalkan PHP untuk menjalankan fungsinya. Dengan banyaknya sistem yang memanfaatkan PHP, kerentanan pada komponen inti memiliki dampak yang luas. Bahkan, website dengan aplikasi yang sudah diperbarui tetap dapat berisiko. Kondisi tersebut berkaitan dengan kerentanan terjadi pada mesin PHP sebelum sebagian logika aplikasi diproses. Untuk mengurangi kemungkinan serangan, administrator website harus memastikan runtime memperoleh perbaikan keamanan.
Mengenal CVE-2026-109618 dan CVE-2026-109619
Kerentanan pertama melibatkan kesalahan pemrosesan saat batas memori tercapai. Dalam kondisi tertentu, sistem dapat memperlakukan informasi internal yang tidak lengkap secara keliru. Permasalahan memori tersebut berpotensi mengganggu integritas proses. Jika kondisi eksploitasi terpenuhi, server berpotensi menjalankan instruksi yang tidak sah. Masalah ini berasal dari pemrosesan internal PHP. Karena itu, perbaikan tema website tidak menyelesaikan akar masalah.
Pada kerentanan kedua, kelemahan muncul akibat penggunaan kembali informasi memori yang sudah tidak valid. Ketika PHP menangani rangkaian permintaan, data internal yang seharusnya dibersihkan dapat tetap tersimpan. Kesalahan pengelolaan tersebut berhubungan dengan penggunaan memori setelah dibebaskan. Dalam skenario eksploitasi yang memungkinkan, server dapat menghadapi risiko eksekusi kode jarak jauh. Dua masalah keamanan tersebut melibatkan penanganan data internal yang tidak aman. Walaupun dampaknya serius, keberhasilan eksploitasi bergantung pada kondisi lingkungan. Penggunaan pembaruan resmi tetap menjadi langkah perlindungan paling penting.
Daftar PHP yang Harus Segera Diperbarui oleh Administrator
Proyek resmi PHP merilis versi perbaikan pada 21 Oktober 2026 untuk memperbaiki kelemahan pada runtime. Versi yang telah memperoleh perbaikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengguna PHP 8.5 harus memastikan sistem tidak lagi menggunakan 8.5.11 atau rilis rentan sebelumnya. Sementara itu, instalasi PHP 8.2 membutuhkan pembaruan minimal ke 8.2.35 sesuai konfigurasi runtime masing-masing. Perbaikan keamanan tersebut mengatasi celah eksekusi kode yang ditemukan. Dengan mempertimbangkan potensi serangan, pemasangan patch tidak sebaiknya ditunda.
Perhatian tambahan diperlukan bagi website dengan instalasi PHP yang sudah tidak didukung. Cabang PHP 8.1 beserta versi yang lebih tua tidak memperoleh patch baru melalui siklus rilis resmi PHP. Artinya, pengguna versi tersebut perlu merencanakan migrasi. Untuk perencanaan jangka panjang, PHP 8.2 memiliki batas dukungan keamanan hingga akhir tahun 2026. Karena itu, pembaruan ke cabang PHP yang lebih baru sebaiknya dipersiapkan. Walaupun pembaruan sangat diperlukan, kompatibilitas aplikasi tetap harus diperiksa agar website tetap berfungsi setelah pembaruan.
Cara Memeriksa Versi PHP pada Website WordPress
Apabila situs menggunakan CMS WordPress, informasi runtime tersedia pada halaman administrasi. Langkah pertama, buka dashboard pengelolaan website. Kemudian, buka bagian Peralatan, kemudian buka halaman Site Health. Pada bagian Info, buka informasi Server untuk melihat versi PHP yang digunakan. Jika hasilnya menunjukkan versi rentan, pengelola perlu segera melakukan pembaruan. Proses identifikasi awal ini memberikan gambaran kondisi keamanan server.
Untuk pengguna layanan hosting, pengelola dapat meninjau konfigurasi PHP dari control panel. Dalam lingkungan hosting berbasis cPanel, fitur pengelolaan versi PHP tersedia melalui MultiPHP Manager apabila administrator server menyediakan akses tersebut. Sementara itu, administrator dapat memeriksa konfigurasi runtime. Perintah php -v memperlihatkan informasi PHP pada lingkungan CLI. Meskipun perintah tersebut berguna, konfigurasi aplikasi web mungkin menggunakan instalasi PHP yang berbeda. Untuk pemeriksaan yang tepat, informasi PHP-FPM atau modul web server harus diverifikasi. Melalui pemeriksaan menyeluruh, pembaruan tidak hanya dilakukan pada instalasi yang tidak digunakan website.
Ancaman Remote Code Execution bagi Server yang Belum Diperbarui
Ancaman terbesar yang perlu diperhatikan adalah kemampuan menjalankan kode berbahaya tanpa harus memiliki akun. Dalam istilah keamanan siber, serangan tersebut termasuk kategori remote code execution tanpa login. Jika penyerang mampu memanfaatkan celah, sistem dapat mengalami kompromi. Akibat yang mungkin terjadi meliputi gangguan layanan serta penyalahgunaan sumber daya. Dalam lingkungan perdagangan elektronik, dampaknya dapat memengaruhi operasional karena server sering menyimpan atau mengakses informasi penting. Walaupun dampak potensial sangat besar, keberadaan versi rentan bukan bukti bahwa serangan telah terjadi.
Dua kelemahan PHP ini memiliki cakupan lebih luas daripada WordPress karena masalahnya berada pada runtime PHP. Website Drupal serta platform web khusus perusahaan perlu diperiksa jika menggunakan runtime yang belum diperbaiki. Dalam penggunaan infrastruktur hosting, PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed harus dievaluasi sesuai versi yang digunakan. Dalam informasi keamanan resmi, pengembang PHP menekankan risiko yang sangat tinggi pada konfigurasi mod_php karena permintaan berbahaya dapat mencapai bagian rentan lebih awal. Dengan kondisi tersebut, administrator perlu menangani masalah pada tingkat server.
Panduan Pembaruan PHP dan Perlindungan Server Website
Langkah utama yang direkomendasikan adalah memasang pembaruan PHP yang sudah memperbaiki kedua celah. Sebelum melakukan pembaruan, pengelola perlu menyiapkan backup data. Salinan data tersebut berguna ketika kompatibilitas aplikasi bermasalah. Setelah persiapan selesai, pasang versi runtime yang telah diperbaiki menggunakan prosedur terpercaya. Apabila website berada pada hosting terkelola, minta konfirmasi mengenai versi PHP aktif. Setelah pembaruan, pastikan layanan PHP yang aktif menggunakan versi baru. Validasi aplikasi setelah peningkatan versi juga perlu dilakukan secara menyeluruh.
Jika patch tidak dapat segera dipasang, administrator perlu menerapkan tindakan pembatasan sementara. Penggunaan web application firewall berpotensi mengurangi sejumlah jalur serangan, tetapi tidak menjamin perlindungan penuh. Pada server yang terbuka langsung ke internet, pembatasan akses jaringan perlu dipertimbangkan sampai patch selesai dipasang dan diverifikasi. Untuk meningkatkan pengawasan, tim keamanan perlu meninjau aktivitas mencurigakan. Evaluasi keamanan tersebut mendukung identifikasi indikasi kompromi. Namun demikian, pembaruan PHP tetap menjadi tindakan paling efektif.
Rangkuman Ancaman PHP dan Langkah Perlindungan Website
Ditemukannya CVE-2026-109618 dan CVE-2026-109619 menegaskan pentingnya pembaruan perangkat lunak server. Permasalahan keamanan ini mendapatkan tingkat keparahan kritis dan berpotensi memungkinkan eksekusi kode tanpa autentikasi. Pembaruan PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 menjadi langkah utama untuk menutup kelemahan tersebut. Sebagai bagian dari perlindungan menyeluruh, pemeriksaan log dan validasi server memperkuat proses pemeliharaan website. Seiring meningkatnya kompleksitas TEKNOLOGI website, pengawasan infrastruktur harus dilakukan secara konsisten. Menurut Anda, apa tantangan terbesar dalam menjaga keamanan server website? Mari sampaikan pandangan tentang pentingnya keamanan website.
