Keamanan website kembali menjadi perhatian setelah tim pengembang PHP mengungkap dua kerentanan kritis yang dapat membuka peluang eksekusi kode berbahaya dari jarak jauh tanpa autentikasi. Kedua celah tersebut, CVE-2026-109618 dan CVE-2026-109619, diumumkan bersama pembaruan keamanan pada 21 Oktober 2026. Masing-masing memperoleh skor keparahan CVSS 9,2 dan berpotensi memengaruhi berbagai website berbasis PHP, termasuk platform yang menggunakan WordPress, Drupal, serta Joomla. Pengelola website kini perlu segera memeriksa versi PHP pada server dan menerapkan pembaruan yang tersedia. Langkah ini penting untuk melindungi data pengguna, menjaga layanan tetap berjalan, dan mengurangi risiko serangan siber.
Peringatan Keamanan PHP dan Risiko Serangan terhadap Server Website
Komunitas pengembang inti PHP mengumumkan sepasang celah berbahaya dalam sistem PHP yang memungkinkan pengambilalihan proses tertentu dalam kondisi yang memenuhi syarat. Kedua kerentanan tersebut didaftarkan dengan kode CVE-2026-109618 dan CVE-2026-109619. Keduanya memiliki skor CVSS versi 4.0 sebesar 9,2. Skor keamanan tersebut menggambarkan potensi dampak keamanan yang tinggi. Tidak seperti kelemahan yang hanya memengaruhi satu aplikasi, kedua celah ditemukan pada komponen inti PHP. Dengan kondisi tersebut, banyak sistem yang menggunakan PHP perlu diperiksa.
PHP merupakan bahasa pemrograman populer untuk aplikasi web. Sejumlah sistem manajemen konten seperti WordPress, Drupal, dan Joomla memanfaatkan bahasa tersebut untuk menghasilkan halaman dinamis. Karena penggunaannya luas, masalah keamanan runtime perlu mendapatkan perhatian serius. Dalam kondisi tertentu, pembaruan CMS saja belum tentu menghilangkan ancaman. Hal ini terjadi karena masalah muncul dalam komponen yang menjalankan kode aplikasi. Untuk mengurangi kemungkinan serangan, administrator website harus memastikan runtime memperoleh perbaikan keamanan.
Mengenal CVE-2026-109618 dan CVE-2026-109619
Celah keamanan dengan kode CVE-2026-109618 terjadi pada penanganan kondisi out-of-memory. Dalam kondisi tertentu, PHP dapat mengalami gangguan saat mengelola data internal. Permasalahan memori tersebut memungkinkan terjadinya memory corruption. Apabila berhasil dimanfaatkan, proses PHP dapat mengalami pengambilalihan dalam kondisi tertentu. Kelemahan pertama ini terjadi pada lapisan yang lebih mendasar daripada logika website. Karena itu, pembaruan aplikasi saja belum memberikan perlindungan menyeluruh.
Sementara itu, kelemahan muncul akibat penggunaan kembali informasi memori yang sudah tidak valid. Pada kondisi pemrosesan khusus, data internal yang seharusnya dibersihkan dapat tetap tersimpan. Keadaan ini berhubungan dengan penggunaan memori setelah dibebaskan. Jika kelemahan tersebut berhasil dipicu, informasi sensitif dari memori berpotensi terekspos. Sepasang kelemahan PHP ini berkaitan dengan kesalahan manajemen memori. Namun perlu diperhatikan, tingkat risiko nyata dapat dipengaruhi konfigurasi serta jalur serangan yang tersedia. Pemasangan versi PHP yang telah diperbaiki tetap menjadi langkah perlindungan paling penting.
Daftar PHP yang Harus Segera Diperbarui oleh Administrator
Proyek resmi PHP telah menyediakan pembaruan pada 21 Oktober 2026 untuk mengatasi masalah manajemen memori tersebut. Pembaruan yang tersedia meliputi PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35. Administrator yang masih menjalankan cabang PHP 8.5 harus memastikan sistem tidak lagi menggunakan 8.5.11 atau rilis rentan sebelumnya. Pada seri PHP yang berbeda, versi 8.4 harus diperbarui minimal ke 8.4.27 sesuai konfigurasi runtime masing-masing. Pembaruan ini mengatasi celah eksekusi kode yang ditemukan. Dengan mempertimbangkan potensi serangan, administrator dianjurkan segera melakukan peningkatan versi.
Permasalahan menjadi lebih penting bagi server yang menggunakan PHP versi lama. Versi PHP 8.1 dan sebelumnya tidak lagi menerima perbaikan keamanan resmi dari proyek PHP. Dengan kata lain, pengelola website harus meningkatkan runtime ke versi yang didukung. Selain itu, PHP 8.2 memiliki batas dukungan keamanan hingga akhir tahun 2026. Untuk menghindari masalah berikutnya, organisasi perlu menyusun rencana migrasi jangka panjang. Namun dalam pelaksanaannya, perubahan versi perlu disertai evaluasi perangkat lunak agar proses migrasi berlangsung dengan risiko operasional minimal.
Langkah Mengetahui PHP yang Digunakan Server Hosting
Apabila situs menggunakan CMS WordPress, informasi runtime tersedia pada halaman administrasi. Untuk memulai pemeriksaan, akses panel administrasi situs. Kemudian, akses menu pengelolaan Tools, kemudian pilih Kesehatan Situs. Dalam tab Informasi, temukan kategori Server untuk melihat versi PHP yang digunakan. Jika hasilnya menunjukkan versi rentan, pengelola perlu segera melakukan pembaruan. Pemeriksaan ini membantu menentukan tindakan yang diperlukan.
Di luar dashboard CMS, pengelola dapat meninjau konfigurasi PHP dari control panel. Dalam lingkungan hosting berbasis cPanel, menu MultiPHP Manager dapat digunakan apabila penyedia hosting mengaktifkan fitur tersebut. Untuk server yang dikelola sendiri, pemeriksaan dapat dilakukan melalui terminal. Instruksi terminal php -v memberikan detail instalasi PHP yang dipanggil terminal. Namun perlu diketahui, konfigurasi aplikasi web mungkin menggunakan instalasi PHP yang berbeda. Sebagai langkah validasi, informasi PHP-FPM atau modul web server harus diverifikasi. Melalui pemeriksaan menyeluruh, risiko salah mengidentifikasi lingkungan PHP dapat dikurangi.
Ancaman Remote Code Execution bagi Server yang Belum Diperbarui
Ancaman terbesar yang perlu diperhatikan adalah kemungkinan eksekusi kode jarak jauh tanpa autentikasi. Dalam pengelolaan keamanan server, kelemahan semacam ini memungkinkan eksekusi kode tanpa autentikasi. Jika penyerang mampu memanfaatkan celah, server berpotensi kehilangan integritas. Akibat yang mungkin terjadi mencakup akses terhadap informasi sensitif. Dalam lingkungan perdagangan elektronik, ancamannya perlu ditangani dengan serius karena aplikasi menangani data pengguna dan transaksi. Meski demikian, indikasi kompromi tetap memerlukan pemeriksaan tersendiri.
Kerentanan ini tidak hanya relevan untuk WordPress karena beragam sistem web memanfaatkan mesin PHP yang sama. Website Drupal serta platform web khusus perusahaan memerlukan peninjauan keamanan pada lingkungan server. Untuk konfigurasi web server, berbagai mode integrasi PHP dengan web server harus dievaluasi sesuai versi yang digunakan. Dalam informasi keamanan resmi, pengembang PHP menekankan perhatian utama terhadap lingkungan mod_php karena eksploitasi telah didemonstrasikan sebelum kode aplikasi berjalan. Dengan kondisi tersebut, pembaruan runtime menjadi tindakan utama.
Langkah Mendesak Mengamankan Website dari Celah PHP
Langkah utama yang direkomendasikan adalah meningkatkan instalasi ke versi keamanan terbaru. Untuk mempersiapkan perubahan server, administrator sebaiknya membuat cadangan website. Cadangan tersebut membantu proses pemulihan apabila terjadi gangguan. Setelah persiapan selesai, pasang versi runtime yang telah diperbaiki menggunakan prosedur terpercaya. Untuk pengguna penyedia hosting yang mengatur PHP, minta konfirmasi mengenai versi PHP aktif. Ketika instalasi selesai, periksa kembali runtime yang melayani permintaan web. Pengujian fungsi website juga perlu dilakukan secara menyeluruh.
Jika patch tidak dapat segera dipasang, organisasi sebaiknya melakukan mitigasi risiko tambahan. Penerapan aturan WAF mendukung pembatasan trafik berbahaya tertentu, tetapi tidak dapat dianggap menutup seluruh kelemahan. Jika aplikasi penting belum dapat diperbaiki, pembatasan akses jaringan perlu dipertimbangkan sampai server berhasil menggunakan versi aman. Untuk meningkatkan pengawasan, pengelola dapat mengevaluasi catatan permintaan dan kesalahan sistem. Langkah investigasi ini mendukung identifikasi indikasi kompromi. Meski beberapa mitigasi tersedia, pembaruan PHP tetap menjadi tindakan paling efektif.
Rangkuman Ancaman PHP dan Langkah Perlindungan Website
Ditemukannya CVE-2026-109618 dan CVE-2026-109619 menunjukkan perlunya pemeliharaan sistem secara berkelanjutan. Kerentanan pada runtime PHP tersebut tergolong kritis dengan penilaian 9,2 dan menimbulkan ancaman serius terhadap server yang rentan. Versi PHP yang telah memperoleh perbaikan resmi menjadi langkah utama untuk menutup kelemahan tersebut. Di samping meningkatkan versi PHP, pengujian aplikasi dan pengawasan aktivitas memperkuat proses pemeliharaan website. Dalam perkembangan TEKNOLOGI keamanan siber, pembaruan rutin menjadi bagian penting dari tanggung jawab pengelola. Apakah website Anda sudah menggunakan PHP versi terbaru? Silakan bagikan pengalaman Anda mengenai pembaruan PHP.
