Dua Celah Rentan PHP Incar Situs Indonesia

Dua Celah Rentan PHP Incar Situs Indonesia – Pengelola situs web dan aplikasi berbasis PHP di Indonesia perlu meningkatkan kewaspadaan menyusul pengumuman dua kerentanan keamanan kritis, yaitu CVE-2026-109618 dan CVE-2026-109619.

Kedua celah tersebut berpotensi memungkinkan penyerang menjalankan kode berbahaya dari jarak jauh tanpa harus melewati proses autentikasi, sehingga berisiko mengancam keamanan server yang menggunakan versi dan konfigurasi rentan.

Ancaman ini patut mendapat perhatian karena PHP masih menjadi salah satu teknologi utama dalam pengembangan web. Data WMTips yang diperbarui pada September 2026 menunjukkan bahwa PHP terdeteksi pada sekitar 59,2% situs web Indonesia yang dianalisis.

Angka ini menggambarkan luasnya penggunaan PHP dalam ekosistem situs web Indonesia, meskipun tidak berarti seluruh situs tersebut terdampak oleh kedua kerentanan.

PHP merilis pembaruan keamanan pada 21 Oktober 2026 untuk mengatasi kedua celah tersebut. Masing-masing kerentanan memperoleh skor CVSS 4.0 sebesar 9,2.

Karena masalah berada pada runtime PHP, pemeriksaan tidak cukup dilakukan hanya pada kode aplikasi, CMS, atau plugin. Pengelola juga perlu memastikan bahwa runtime PHP yang benar-benar digunakan server telah diperbarui ke versi yang aman.

Deteksi CSIRT Radar

Informasi terkait kedua CVE tersebut juga telah muncul di CSIRT Radar pada 22 Oktober 2026 pukul 10.40 WIB. Kemunculan ini menjadi pengingat bagi pengelola sistem untuk memeriksa apakah infrastruktur mereka menggunakan versi PHP yang terdampak.

Namun, kemunculan CVE di radar tidak dengan sendirinya membuktikan bahwa eksploitasi sedang berlangsung atau bahwa server tertentu telah disusupi.

Dalam kondisi tertentu, eksploitasi dapat membuka peluang bagi penyerang untuk mengambil alih proses server dan mengakses sumber daya yang tersedia bagi proses tersebut. Dampak akhirnya bergantung pada konfigurasi server, hak akses, dan sistem yang terdampak.

Versi PHP yang Perlu Segera Diperiksa

Pengelola sistem perlu memeriksa apakah instalasi mereka termasuk versi terdampak dan menerapkan versi perbaikan yang sesuai.

Cabang PHP	Versi perbaikan
PHP 8.2 PHP 8.3 PHP 8.4 PHP 8.5	8.2.35 8.3.36 8.4.27 8.5.12

Administrator perlu memastikan bahwa server benar-benar menjalankan versi yang telah diperbaiki. Untuk sistem yang dikelola melalui penyedia hosting, container, atau distribusi pihak ketiga, periksa pula ketersediaan pembaruan dari penyedia masing-masing.

Catatan: Angka penggunaan PHP di Indonesia di atas merupakan statistik situs web yang dianalisis WMTips, bukan persentase seluruh programmer atau seluruh proyek pengembangan web di Indonesia. Statistik tersebut juga tidak menunjukkan berapa banyak situs yang rentan terhadap CVE-2026-109618 dan CVE-2026-109619.

Yang Harus Dilakukan Pengelola Website

Mengingat potensi dampak yang ditimbulkan oleh CVE-2026-109618 dan CVE-2026-109619, pengelola website dan administrator server perlu segera mengambil langkah mitigasi untuk mengurangi risiko eksploitasi. Sebaga berikut:

1. Segera perbarui PHP ke versi yang telah diperbaiki

Periksa versi PHP yang aktif dan lakukan pembaruan sesuai cabang yang digunakan. Berdasarkan informasi yang Anda berikan, versi perbaikannya adalah PHP 8.2.35, 8.3.36, 8.4.27, dan 8.5.12. Pastikan kembali nomor versi tersebut melalui pengumuman resmi PHP sebelum publikasi.

2. Periksa seluruh server dan aplikasi

Jangan hanya memeriksa satu situs. Identifikasi semua instalasi PHP yang digunakan pada server produksi, server pengujian, container, CMS, dan aplikasi lainnya. Perhatikan pula kemungkinan adanya runtime PHP terpisah dari versi yang ditampilkan oleh perintah php -v.

3. Prioritaskan sistem yang terpapar internet

Identifikasi server yang menerima permintaan dari jaringan publik. Periksa konfigurasi PHP, termasuk cara PHP dijalankan oleh web server. Sistem yang memiliki konfigurasi rentan perlu diprioritaskan berdasarkan tingkat paparan dan dampaknya.

4. Periksa indikasi kompromi

Setelah pembaruan dilakukan, tinjau log web server, proses yang berjalan, akun yang tidak dikenal, perubahan berkas, dan koneksi jaringan yang tidak biasa. Pembaruan menutup kerentanan, tetapi tidak otomatis membersihkan sistem yang mungkin telah disusupi sebelumnya.

5. Batasi paparan jika patch belum dapat diterapkan

Jika pembaruan belum memungkinkan, pertimbangkan untuk sementara membatasi akses ke layanan yang rentan atau mengisolasi sistem dari jaringan publik.

Konsultasikan dengan tim keamanan atau penyedia hosting. Web Application Firewall (WAF) dapat menjadi lapisan tambahan jika aturan yang sesuai tersedia, tetapi tidak menggantikan pembaruan PHP.

Baca artikel lainnya: