BULATAN TIMES – Tim pengembang PHP merilis pembaruan keamanan darurat pada Rabu (21/10/2026) untuk menutup dua kerentanan kritis yang dapat membuka peluang pengambilalihan server. Celah tersebut berpotensi memungkinkan penyerang menjalankan kode dari jarak jauh tanpa perlu masuk menggunakan akun yang sah.
Kedua kerentanan tercatat sebagai CVE-2026-109618 dan CVE-2026-109619, masing-masing dengan skor CVSS 9,2 dari skala 10. CVSS merupakan sistem penilaian tingkat keparahan celah keamanan perangkat lunak.
PHP merupakan bahasa pemrograman yang banyak digunakan untuk menjalankan situs web dan aplikasi. Karena kelemahan ditemukan pada komponen inti PHP, pengelola server perlu memperbarui perangkat lunak tersebut, bukan hanya aplikasi atau plugin yang terpasang di atasnya.
Apa Bahaya Dua Kerentanan PHP Ini?
Mengutip laman resmi PHP, kedua celah berkaitan dengan cara mesin PHP mengelola memori dan menangani kondisi kesalahan saat memproses permintaan dari pengguna.
CVE-2026-109618 muncul ketika PHP mengalami kondisi kehabisan memori pada saat tertentu. Penanganan data internal yang belum selesai dapat menyebabkan kerusakan memori dan membuka jalan bagi eksekusi kode berbahaya.
Sementara itu, CVE-2026-109619 berkaitan dengan informasi internal yang tertinggal setelah sebuah permintaan mengalami kesalahan fatal. Ketika proses server dipakai kembali untuk melayani permintaan berikutnya, data yang seharusnya sudah dibersihkan dapat digunakan secara tidak semestinya.
Keduanya termasuk kategori kerentanan yang dapat mengakibatkan remote code execution atau RCE. Istilah ini berarti penyerang berpotensi menjalankan perintah pada sistem yang rentan tanpa harus memiliki akses fisik ke server.
The PHP Foundation menyatakan bahwa eksploitasi berhasil didemonstrasikan pada konfigurasi Apache dengan modul PHP atau mod_php. Pengujian juga membuktikan kemungkinan eksekusi kode melalui jalur aplikasi tertentu yang menggunakan PHP-FPM.
Meski demikian, keberhasilan eksploitasi bergantung pada kondisi sistem. Keberadaan versi PHP yang rentan tidak dengan sendirinya membuktikan bahwa sebuah situs telah disusupi.
Versi PHP yang Sudah Mendapat Patch Keamanan
Tim PHP menerbitkan empat versi perbaikan pada 21 Oktober 2026, yaitu:
- PHP 8.5: perbarui ke 8.5.12.
- PHP 8.4: perbarui ke 8.4.27.
- PHP 8.3: perbarui ke 8.3.36.
- PHP 8.2: perbarui ke 8.2.35.
Pembaruan tersebut ditujukan untuk menutup kedua kerentanan kritis yang baru diungkap.
Pengguna PHP 8.1 dan versi lebih lama menghadapi tantangan tambahan karena cabang tersebut tidak lagi menerima pembaruan keamanan reguler langsung dari proyek PHP.
Sejumlah penyedia sistem operasi dan layanan dukungan jangka panjang dapat menyediakan perbaikan yang diterapkan kembali ke versi lama. Karena itu, nomor versi PHP saja belum cukup untuk menilai keamanan paket yang telah dimodifikasi oleh vendor.
Pengelola server perlu memastikan status patch melalui penyedia sistem operasi, panel hosting, atau layanan PHP yang digunakan.
Baca Juga: Alat Penyadap Ditemukan di Ruang Rapat Pimpinan OpenAI, Insinyur Ditangkap
Server WordPress dan Aplikasi Web Juga Perlu Diperiksa
Dampak kerentanan ini perlu diperhatikan oleh pengelola situs yang menggunakan PHP, termasuk situs berbasis WordPress, Drupal, dan Joomla.
Risiko utamanya berada pada mesin PHP yang menjalankan aplikasi tersebut. Karena itu, pembaruan WordPress, tema, atau plugin tidak otomatis menutup celah apabila versi PHP di server masih rentan.
Tim PHP memasukkan PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed sebagai lingkungan yang perlu diperhatikan.
Risiko dinilai paling tinggi pada konfigurasi mod_php karena eksploitasi telah didemonstrasikan melalui permintaan tanpa autentikasi, bahkan sebelum kode aplikasi dijalankan.
Namun, tingkat risiko setiap server tetap bergantung pada konfigurasi dan perangkat lunak yang digunakan.
Bagi pemilik situs dengan layanan shared hosting atau server yang dikelola pihak ketiga, langkah penting adalah meminta konfirmasi penyedia hosting mengenai versi PHP serta status perbaikan keamanan yang telah dipasang.
Apa yang Harus Dilakukan Pengelola Server?
Pengembang PHP menegaskan bahwa pembaruan merupakan langkah utama untuk menutup kedua celah tersebut secara menyeluruh.
Pengelola server sebaiknya terlebih dahulu mengidentifikasi seluruh aplikasi dan layanan yang menjalankan PHP, termasuk lingkungan produksi, server pengujian, dan layanan yang dapat diakses dari internet.
Setelah itu, administrator perlu memasang paket PHP yang telah diperbaiki melalui kanal resmi sesuai sistem operasinya. Pembaruan sebaiknya disertai pengujian kompatibilitas aplikasi dan pemeriksaan bahwa proses PHP yang berjalan benar-benar menggunakan versi yang telah diperbarui.
Untuk server yang belum dapat diperbarui, CERT-EU menyarankan pengurangan paparan akses, termasuk mempertimbangkan isolasi sementara layanan yang dapat dijangkau dari internet.
Langkah pembatasan tersebut hanya mengurangi risiko dan bukan pengganti patch.
Penyedia panel hosting cPanel juga telah menyiapkan pembaruan untuk sejumlah versi PHP lama melalui paket EasyApache4. Pemilik server yang menggunakan panel tersebut dapat memeriksa ketersediaan paket dari penyedianya.
Mengapa Peringatan PHP Ini Mendapat Perhatian Internasional?
Peringatan keamanan siber ini mendapat perhatian sejumlah lembaga, termasuk ENISA, CERT-EU, dan Canadian Centre for Cyber Security.
The PHP Foundation menjelaskan bahwa salah satu persoalan pengelolaan memori di balik kerentanan tersebut telah diketahui sejak 2024. Namun, jalur eksploitasi dengan dampak serius baru diperjelas melalui penelitian keamanan berikutnya pada 2026.
Yayasan tersebut mengakui bahwa keterbatasan sumber daya dan proses pengambilan keputusan turut memperlambat penyelesaian masalah.
Setelah dampaknya dipastikan, tim keamanan PHP menyiapkan perbaikan dan mempercepat jadwal rilis menyusul beredarnya informasi mengenai kedua CVE pada 20 Oktober.
Baca Juga: Nvidia Jajaki Investasi Rp. 81 Triliun di Batam, Pemerintah Sebut Belum Final
PHP 8.2 juga dijadwalkan mencapai akhir masa dukungan pada 31 Desember 2026. Pengguna versi tersebut masih mendapatkan patch untuk dua celah terbaru, tetapi perlu menyiapkan migrasi ke cabang PHP yang memiliki masa dukungan lebih panjang.
