Dberita.ID | Jakarta — Ancaman keamanan siber kembali menjadi perhatian setelah tim pengembang PHP merilis pembaruan keamanan untuk mengatasi dua kerentanan kritis yang berpotensi memungkinkan penyerang menjalankan kode berbahaya pada server tanpa autentikasi.
Dua kerentanan tersebut tercatat dengan nomor CVE-2026-109618 dan CVE-2026-109619, masing-masing berkaitan dengan masalah pengelolaan memori dan kondisi internal PHP yang dapat dimanfaatkan untuk menjalankan kode dari jarak jauh. Kedua kerentanan tersebut memiliki skor keparahan CVSS 4.0 sebesar 9,2 dari 10. Informasi ini tercantum dalam pengumuman keamanan resmi PHP tertanggal 21 Oktober 2026.
PHP merupakan bahasa pemrograman sisi server yang digunakan secara luas untuk membangun website dan aplikasi web, termasuk berbagai platform pengelolaan konten seperti WordPress. Karena itu, kerentanan pada komponen inti PHP menjadi persoalan penting bagi pemilik website, penyedia hosting, administrator server, serta organisasi yang mengandalkan layanan digital.
Pengumuman resmi PHP menyebutkan bahwa pembaruan keamanan telah tersedia dan pengguna dianjurkan segera melakukan pembaruan. Sementara itu, sejumlah lembaga keamanan siber internasional juga mengeluarkan peringatan agar organisasi segera mengidentifikasi sistem terdampak dan menerapkan perbaikan yang sesuai.
Bukan Sekadar Gangguan Website, Risiko Bisa Menjangkau Server dan Data
Kerentanan yang memungkinkan eksekusi kode jarak jauh atau remote code execution dapat memberikan kesempatan kepada penyerang untuk menjalankan instruksi berbahaya pada sistem yang rentan.
Jika serangan berhasil, dampaknya dapat berupa perubahan file, pemasangan malware, pengambilalihan sebagian atau seluruh fungsi server, serta akses tidak sah terhadap informasi yang dapat dijangkau oleh proses yang berhasil dieksploitasi.
Dalam kondisi tertentu, database yang menyimpan informasi pelanggan, data transaksi, kredensial, atau informasi internal organisasi juga dapat menghadapi risiko.
Meski demikian, kerentanan keamanan tidak otomatis berarti kebocoran data telah terjadi. Sampai terdapat bukti yang dapat diverifikasi, laporan mengenai insiden ini perlu dibedakan antara potensi eksploitasi, serangan yang sedang berlangsung, dan kebocoran data yang benar-benar telah dikonfirmasi.
Pada 22 Oktober 2026, NCSC Selandia Baru memperbarui peringatannya dengan menyebut adanya laporan eksploitasi aktif. Di sisi lain, Canadian Centre for Cyber Security menyatakan belum mengidentifikasi eksploitasi aktif dalam informasi yang mereka tinjau. Perbedaan tersebut menunjukkan pentingnya pemantauan berkelanjutan dan kehati-hatian dalam menilai cakupan serangan.
Alfarizi DMC: Pemilik Website Jangan Menunggu Sampai Terjadi Insiden
Alfarizi DMC, seorang IT Support, mengimbau pemilik website, pengelola media online, pelaku usaha digital, dan administrator server agar menjadikan pembaruan keamanan sebagai prioritas.
Menurut imbauan yang disiapkan untuk publikasi ini, pemeriksaan keamanan tidak seharusnya baru dilakukan setelah website mengalami error, file berubah tanpa izin, atau pengguna melaporkan dugaan kebocoran data.
Pengelola website perlu memahami bahwa keamanan sebuah layanan digital tidak hanya bergantung pada WordPress atau plugin keamanan, tetapi juga pada versi PHP, konfigurasi web server, sistem operasi, pengaturan akses, dan kualitas pengelolaan hosting.
Website yang masih dapat diakses secara normal pun belum tentu bebas dari risiko apabila komponen server yang digunakan belum memperoleh pembaruan keamanan.
Karena itu, Alfarizi DMC mengimbau administrator agar segera berkoordinasi dengan penyedia hosting, memeriksa versi PHP yang aktif, serta memastikan perbaikan keamanan diterapkan pada seluruh layanan yang terdampak.
Tujuh Imbauan untuk Pemilik Website dan Administrator Server
Untuk mengurangi risiko serangan, sejumlah langkah berikut perlu menjadi perhatian pengelola website.
1. Segera periksa versi PHP
Pemilik website dapat memeriksa versi PHP melalui cPanel, menu MultiPHP Manager, atau meminta informasi dari penyedia hosting. Jangan hanya memeriksa satu domain apabila akun hosting digunakan untuk menjalankan beberapa website.
2. Terapkan pembaruan keamanan resmi
Untuk cabang PHP yang disebut dalam pengumuman resmi, versi perbaikannya meliputi PHP 8.2.35, 8.3.36, 8.4.27, dan 8.5.12. Pengelola harus memastikan versi tersebut sesuai dengan cabang yang digunakan dan memperhatikan panduan resmi untuk versi lain.
Pembaruan PHP pada server produksi sebaiknya dilakukan setelah pemeriksaan kompatibilitas dan persiapan pemulihan. Jika pembaruan tidak tersedia melalui panel hosting, segera hubungi administrator server atau penyedia hosting.
3. Periksa seluruh komponen website
Selain PHP, lakukan pembaruan WordPress Core, tema, plugin, dan komponen server lainnya. Hapus komponen yang tidak lagi digunakan serta hindari perangkat lunak dari sumber yang tidak dapat dipercaya.
4. Amankan akun dan kredensial
Gunakan kata sandi unik, aktifkan autentikasi dua faktor jika tersedia, tinjau akun administrator, dan cabut akses yang tidak lagi diperlukan. Jika terdapat dugaan kompromi, ubah kredensial dari perangkat yang aman.
5. Pastikan tersedia cadangan data
Lakukan pencadangan database dan file website secara berkala ke lokasi terpisah. Pastikan cadangan tidak dapat diubah atau dihapus dengan mudah oleh pihak yang berhasil memperoleh akses ke server utama.
6. Audit log dan file yang mencurigakan
Periksa log akses web server, log PHP, aktivitas login, perubahan file, akun baru yang tidak dikenal, dan koneksi keluar yang tidak wajar. Jika ditemukan indikator serangan, simpan bukti sebelum melakukan pembersihan agar proses investigasi tidak kehilangan informasi penting.
7. Lakukan penanganan insiden secara terukur
Jika terdapat indikasi kuat bahwa server telah diretas, jangan hanya memperbarui PHP lalu menganggap masalah selesai. Batasi akses yang berisiko, libatkan penyedia hosting atau tenaga keamanan siber, identifikasi kemungkinan akses tidak sah, dan pulihkan sistem dari sumber yang bersih setelah penyebabnya ditangani.
Pengelola WordPress dan Media Online Perlu Meningkatkan Kewaspadaan
Website berita, portal informasi, toko daring, situs organisasi, dan layanan publik yang menggunakan PHP perlu mendapat perhatian khusus karena sering menyimpan data pengguna dan menyediakan layanan yang dapat diakses dari internet.
Bagi pengelola WordPress, penting untuk memahami bahwa memperbarui plugin saja tidak otomatis memperbaiki kerentanan pada PHP yang berjalan di tingkat server.
Begitu pula, penggunaan plugin keamanan atau firewall bukan pengganti pembaruan perangkat lunak. Perlindungan tambahan dapat membantu mengurangi risiko, tetapi pengelola tetap perlu menerapkan perbaikan resmi dan memeriksa apakah sistem pernah mengalami kompromi.
Apabila website mengalami error 500, timeout, redirect mencurigakan, atau perubahan file tanpa izin, gejala tersebut harus diselidiki. Namun, gejala itu tidak boleh langsung dinyatakan sebagai akibat kerentanan PHP tanpa pemeriksaan teknis.
Jika kebocoran data pribadi telah terkonfirmasi, pengelola wajib menilai dampaknya dan menjalankan kewajiban penanganan serta pemberitahuan sesuai peraturan perlindungan data yang berlaku.
Keamanan Digital Merupakan Tanggung Jawab Bersama
Peristiwa ini menjadi pengingat bahwa pembaruan keamanan bukan pekerjaan administratif yang dapat terus ditunda. Kerentanan pada perangkat lunak yang digunakan secara luas dapat menimbulkan risiko bagi banyak organisasi, terutama apabila sistem yang terpapar internet tidak segera diperbarui.
Alfarizi DMC mengimbau seluruh pemilik website dan administrator server untuk meningkatkan kewaspadaan, memverifikasi informasi dari sumber resmi, serta tidak menyebarkan klaim kebocoran data yang belum terbukti.
Jangan panik, tetapi jangan menunda tindakan. Periksa sistem yang digunakan, terapkan pembaruan keamanan yang sesuai, siapkan cadangan yang aman, dan lakukan audit apabila terdapat indikasi aktivitas tidak sah.
Keamanan website yang baik tidak hanya ditentukan oleh seberapa cepat sebuah situs dibangun, tetapi juga oleh seberapa konsisten sistem tersebut dipelihara dan dilindungi.
Sumber rujukan: PHP.net, Security advisory: Critical remote code execution vulnerabilities, update now, 21 Oktober 2026; NCSC Selandia Baru, pembaruan peringatan 22 Oktober 2026; dan Canadian Centre for Cyber Security, Advisory AL26-026, 21 Oktober 2026.
Editor: Reza Fahlevi
Sumber: https://www.php.net/archive/2026.php?utm_source=chatgpt.com
