Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Mengenal Celah Keamanan PHP yang Memerlukan Pembaruan Segera
Pengelola proyek bahasa pemrograman PHP merilis informasi mengenai dua kelemahan serius pada komponen inti PHP yang dapat membuka peluang eksekusi perintah berbahaya pada server. Dua kelemahan keamanan ini didaftarkan dengan kode CVE-2026-109618 dan CVE-2026-109619. Keduanya memiliki penilaian tingkat bahaya 9,2 berdasarkan CVSS 4.0. Skor keamanan tersebut menggambarkan potensi dampak keamanan yang tinggi. Tidak seperti kerentanan yang terbatas pada tema website, permasalahan tersebut berkaitan dengan runtime PHP. Oleh sebab itu, berbagai website dapat menghadapi risiko.
Bahasa pemrograman PHP dikenal sebagai bahasa pemrograman populer untuk aplikasi web. Sejumlah sistem manajemen konten seperti WordPress, Drupal, dan Joomla mengandalkan PHP untuk menjalankan fungsinya. Karena penggunaannya luas, kelemahan tersebut berpotensi memengaruhi berbagai jenis website. Dalam kondisi tertentu, pembaruan CMS saja belum tentu menghilangkan ancaman. Hal ini terjadi karena kerentanan terjadi pada mesin PHP sebelum sebagian logika aplikasi diproses. Untuk mengurangi kemungkinan serangan, pengelola server perlu segera melakukan pembaruan.
Penjelasan Teknis Kerentanan Kritis pada Runtime PHP
Celah keamanan dengan kode CVE-2026-109618 berkaitan dengan pengelolaan memori ketika sumber daya habis. Ketika permintaan mencapai keadaan tertentu, PHP dapat mengalami gangguan saat mengelola data internal. Kesalahan pengelolaan ini memungkinkan terjadinya memory corruption. Ketika penyerang mampu memicu kelemahan tersebut, proses PHP dapat mengalami pengambilalihan dalam kondisi tertentu. Masalah ini terjadi pada lapisan yang lebih mendasar daripada logika website. Karena itu, pengelola tidak cukup hanya memperbarui plugin.
Untuk CVE-2026-109619, kelemahan muncul akibat penggunaan kembali informasi memori yang sudah tidak valid. Pada kondisi pemrosesan khusus, informasi lama dapat digunakan kembali secara tidak semestinya. Kesalahan pengelolaan tersebut dapat melibatkan referensi terhadap data yang sudah tidak berlaku. Jika kelemahan tersebut berhasil dipicu, proses PHP mungkin menjalankan instruksi tidak sah. Kedua kerentanan berkaitan dengan kesalahan manajemen memori. Walaupun dampaknya serius, keberhasilan eksploitasi bergantung pada kondisi lingkungan. Pemasangan versi PHP yang telah diperbaiki tetap merupakan prioritas untuk mengurangi ancaman.
Rilis Patch PHP untuk Menutup Dua Kerentanan Kritis
Tim pengembang PHP menghadirkan patch keamanan pada 21 Oktober 2026 untuk memperbaiki kelemahan pada runtime. Versi yang telah memperoleh perbaikan meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Pengelola server berbasis PHP 8.5 sebaiknya memasang rilis 8.5.12 atau versi berikutnya yang telah diperbaiki. Pada seri PHP yang berbeda, versi 8.4 harus diperbarui minimal ke 8.4.27 sesuai cabang versi yang digunakan. Pembaruan ini mengurangi risiko eksploitasi pada komponen inti PHP. Karena ancamannya serius, pengelola website perlu menjadikan pembaruan sebagai prioritas.
Risiko meningkat bagi aplikasi berbasis cabang PHP usang. Cabang PHP 8.1 beserta versi yang lebih tua tidak lagi menerima perbaikan keamanan resmi dari proyek PHP. Artinya, administrator perlu mengganti cabang PHP yang sudah usang. Untuk perencanaan jangka panjang, PHP 8.2 memiliki batas dukungan keamanan hingga akhir tahun 2026. Karena itu, pembaruan ke cabang PHP yang lebih baru sebaiknya dipersiapkan. Walaupun pembaruan sangat diperlukan, kompatibilitas aplikasi tetap harus diperiksa agar proses migrasi berlangsung dengan risiko operasional minimal.
Panduan Mengecek Kerentanan PHP Sebelum Memperbarui Website
Untuk pengelola website berbasis WordPress, versi PHP bisa diketahui melalui fitur bawaan WordPress. Langkah pertama, masuk ke halaman administrator WordPress. Setelah berhasil masuk, pilih menu Tools, kemudian pilih Kesehatan Situs. Dalam tab Informasi, periksa detail lingkungan server untuk mengetahui nomor rilis runtime PHP. Apabila instalasi belum menggunakan rilis yang diperbaiki, pengelola perlu segera melakukan pembaruan. Proses identifikasi awal ini mempermudah prioritas pembaruan website.
Selain melalui WordPress, informasi runtime biasanya tersedia dalam pengaturan server. Dalam lingkungan hosting berbasis cPanel, pengguna dapat memeriksa PHP melalui halaman MultiPHP Manager apabila penyedia hosting mengaktifkan fitur tersebut. Untuk server yang dikelola sendiri, versi PHP bisa diketahui menggunakan perintah sistem. Instruksi terminal php -v memperlihatkan informasi PHP pada lingkungan CLI. Walaupun informasi CLI dapat diperoleh, versi PHP untuk website bisa berbeda dari versi terminal. Sebagai langkah validasi, pastikan versi PHP pada web server juga diperiksa. Melalui pemeriksaan menyeluruh, pembaruan tidak hanya dilakukan pada instalasi yang tidak digunakan website.
Ancaman Remote Code Execution bagi Server yang Belum Diperbarui
Dampak paling serius adalah potensi remote code execution oleh penyerang anonim. Dalam istilah keamanan siber, serangan tersebut termasuk kategori remote code execution tanpa login. Jika penyerang mampu memanfaatkan celah, sistem dapat mengalami kompromi. Dampaknya meliputi gangguan layanan serta penyalahgunaan sumber daya. Untuk aplikasi yang mengelola pelanggan, dampaknya dapat memengaruhi operasional karena server sering menyimpan atau mengakses informasi penting. Namun perlu ditegaskan, server yang belum diperbarui tidak otomatis sudah diretas.
Ancaman keamanan tersebut melampaui satu platform CMS karena masalahnya berada pada runtime PHP. Sistem Laravel serta layanan digital berbasis PHP lainnya berpotensi terdampak apabila menjalankan versi rentan. Untuk konfigurasi web server, sejumlah konfigurasi pemrosesan PHP yang berbeda tidak sebaiknya dianggap aman tanpa pemeriksaan. Dalam informasi keamanan resmi, pengembang PHP menekankan perhatian utama terhadap lingkungan mod_php karena serangan dapat dipicu sebelum logika website diproses. Untuk mengurangi kemungkinan eksploitasi, administrator perlu menangani masalah pada tingkat server.
Langkah Mendesak Mengamankan Website dari Celah PHP
Tindakan paling penting adalah meningkatkan instalasi ke versi keamanan terbaru. Sebelum melakukan pembaruan, tim teknis dianjurkan menyimpan salinan konfigurasi dan aplikasi. Cadangan tersebut memberikan pilihan pemulihan saat pembaruan menimbulkan kendala. Pada tahap implementasi, gunakan paket PHP dari penyedia sistem operasi atau hosting. Apabila website berada pada hosting terkelola, minta konfirmasi mengenai versi PHP aktif. Ketika instalasi selesai, pastikan layanan PHP yang aktif menggunakan versi baru. Pemeriksaan halaman dan fitur penting juga perlu dilakukan secara menyeluruh.
Apabila pembaruan belum memungkinkan, administrator perlu menerapkan tindakan pembatasan sementara. Penerapan aturan WAF mendukung pembatasan trafik berbahaya tertentu, tetapi tidak dapat dianggap menutup seluruh kelemahan. Pada server yang terbuka langsung ke internet, isolasi sementara dapat menjadi pilihan sampai patch selesai dipasang dan diverifikasi. Selain itu, pengelola dapat mengevaluasi catatan permintaan dan kesalahan sistem. Langkah investigasi ini mendukung identifikasi indikasi kompromi. Walaupun langkah tambahan bermanfaat, pembaruan PHP tetap menjadi tindakan paling efektif.
Penutup: Pentingnya Memperbarui PHP untuk Mencegah Serangan
Peringatan keamanan mengenai dua kelemahan PHP menunjukkan perlunya pemeliharaan sistem secara berkelanjutan. Kedua celah tersebut tergolong kritis dengan penilaian 9,2 dan berpotensi memungkinkan eksekusi kode tanpa autentikasi. Versi PHP yang telah memperoleh perbaikan resmi harus diprioritaskan oleh administrator. Selain memasang patch, pengujian aplikasi dan pengawasan aktivitas membantu menjaga keamanan operasional. Di tengah kebutuhan perlindungan TEKNOLOGI digital, pengawasan infrastruktur harus dilakukan secara konsisten. Menurut Anda, apa tantangan terbesar dalam menjaga keamanan server website? Bagikan pendapat Anda mengenai langkah perlindungan server yang efektif.
