Ancaman Nyata Dua Kerentanan Kritis PHP dan Langkah Penanganannya

Komunitas pengembang PHP baru saja meluncurkan pembaruan keamanan darurat setelah menemukan dua celah keamanan serius, yaitu CVE-2026-109618 dan CVE-2026-109619. Celah ini berpotensi membahayakan integritas ribuan server web di seluruh dunia jika pengelola server membiarkan instalasi mereka berjalan tanpa patch perbaikan.

Bahasa pemrograman PHP masih menggerakkan sebagian besar infrastruktur web modern, mulai dari blog pribadi, platform toko daring, hingga sistem korporat berskala besar. Oleh sebab itu, celah keamanan pada inti runtime PHP selalu mengundang perhatian para penyerang siber yang secara aktif mencari target empuk di internet.

Melalui artikel ini, Anda dapat memahami secara rinci apa implikasi dari kedua celah tersebut, daftar versi rilis resmi yang sudah mendapatkan perbaikan, serta risiko berbahaya jika Anda masih mempertahankan versi lama yang telah masuk masa kedaluwarsa.

Mengenal Celah CVE-2026-109618 dan CVE-2026-109619

Dua kerentanan ini menyasar pustaka dan modul pemrosesan internal PHP. Tim riset keamanan menemukan bahwa penyerang dapat memanipulasi input tertentu guna memicu kegagalan sistematis di sisi server:

• CVE-2026-109618: Kerentanan ini berkaitan dengan ketidaksempurnaan validasi memori pada proses penanganan data masuk. Penyerang yang mengirimkan muatan (payload) berbahaya secara khusus dapat mengeksploitasi kelemahan alokasi memori ini. Dampak terburuknya, pelaku dapat mengacaukan stabilitas proses PHP-FPM, mencuri data sensitif dari memori server, hingga mengeksekusi kode dari jarak jauh tanpa autentikasi sah.
• CVE-2026-109619: Celah ini melibatkan kesalahan logika pemrosesan saat sistem menangani data bertipe khusus atau string terkompresi. Celah ini memfasilitasi penyerang untuk memicu kondisi denial-of-service (pembengkakan konsumsi sumber daya CPU dan RAM secara tiba-tiba) atau memanipulasi alur eksekusi aplikasi web hingga terjadi kebocoran informasi kredensial.

Serangan terhadap kerentanan inti semacam ini tidak memerlukan akses akun administrator ke dashboard web. Penyerang cukup menembakkan permintaan HTTP yang membawa eksploit langsung ke port web server Anda.

Daftar Versi Perbaikan Resmi dari Proyek PHP

Untuk menanggulangi ancaman tersebut, tim pengembang inti proyek PHP bergerak cepat dengan merilis versi perbaikan resmi. Administrator server harus segera memeriksa versi PHP yang aktif di lingkungan produksi dan memperbaruinya ke rilis minimum berikut:

Jika server Anda saat ini menjalankan salah satu cabang di atas tetapi berada di bawah nomor sub-versi yang tertera pada tabel, Anda wajib menjalankan proses pembaruan paket sistem sekarang juga.

Risiko Fatal Menggunakan PHP 8.1 ke Bawah (End-of-Life)

Situasi jauh lebih berbahaya membayangi para pemilik server yang masih mempertahankan PHP 8.1 atau versi yang lebih lawas (seperti PHP 8.0, 7.4, 7.x, hingga 5.x).

Proyek PHP resmi telah menghentikan dukungan penuh (End-of-Life / EOL) untuk cabang PHP 8.1 ke bawah. Artinya:

• Proyek PHP tidak lagi merilis patch keamanan untuk menutup celah CVE-2026-109618 dan CVE-2026-109619 pada versi tersebut.
• Server Anda akan selamanya membiarkan celah tersebut menganga lebar dan mudah terdeteksi oleh pemindai bot otomatis.
• Penggunaan modul pihak ketiga pada sistem usang memperbesar kemungkinan infeksi malware atau injeksi skrip jahat lintas situs.

Mengabaikan status EOL sama saja membiarkan pintu rumah terbuka tanpa kunci di tengah lalu lintas jalan raya yang ramai.

Langkah Mitigasi Nyata untuk Mengamankan Server

Segera amankan infrastruktur web Anda dengan langkah-langkah praktis berikut:

1. Periksa Versi PHP yang Sedang Berjalan Buka terminal server Anda dan jalankan perintah:

Bash

php -v

Jika Anda menggunakan web server seperti Nginx atau Apache bersama PHP-FPM, pastikan modul FPM yang terhubung juga mengindikasikan nomor rilis yang aman.

2. Jalankan Pembaruan Repositori Paket Perbarui paket repositori sistem operasi Anda (misalnya Ubuntu atau Debian):

Bash

sudo apt update && sudo apt --only-upgrade install php*-cli php*-fpm

Setelah proses instalasi selesai, muat ulang layanan PHP-FPM dan web server agar binary baru aktif secara sempurna:

Bash

sudo systemctl restart php*-fpm
sudo systemctl reload nginx # atau apache2

3. Rencanakan Migrasi Kode jika Masih Menggunakan PHP EOL Bagi aplikasi yang masih terjebak di PHP 8.1 ke bawah, lakukan audit kompatibilitas kode menggunakan perkakas seperti PHP_CodeSniffer atau Rector. Pindahkan basis kode Anda secara bertahap ke cabang aktif (minimal PHP 8.2 atau lebih tinggi) agar sistem Anda selalu menerima patch keamanan resmi di masa mendatang.

4. Pasang Web Application Firewall (WAF) Sembari menyiapkan proses pembaruan, aktifkan WAF di tingkat jaringan atau server untuk memblokir pola permintaan mencurigakan yang mencoba mengeksploitasi kelemahan CVE-2026-109618 dan CVE-2026-109619.

Tindakan proaktif dalam menerapkan patch keamanan ini menjadi penentu utama dalam menjaga data pengguna, reputasi bisnis, dan stabilitas server web Anda dari ancaman peretasan siber.