DRADIO.ID – Ancaman keamanan siber membayangi jutaan situs web setelah dua kerentanan kritis ditemukan pada PHP, bahasa pemrograman yang digunakan untuk menjalankan berbagai situs dan aplikasi di internet.
Badan penegak hukum dan keamanan siber Amerika Serikat, termasuk Federal Bureau of Investigation (FBI) dan Cybersecurity and Infrastructure Security Agency (CISA), mendesak organisasi yang terdampak segera memperbarui sistem mereka untuk mencegah potensi serangan peretas.
Kedua celah keamanan tersebut memiliki skor tingkat keparahan 9,2 dari 10 berdasarkan Common Vulnerability Scoring System (CVSS) versi 4.0. Jika berhasil dieksploitasi, kerentanan ini dapat memungkinkan penyerang menjalankan kode berbahaya dari jarak jauh tanpa harus melewati proses autentikasi.
PHP merupakan salah satu teknologi utama dalam pengembangan web, termasuk pada sistem pengelolaan konten WordPress. Karena penggunaannya yang luas, kerentanan tersebut berpotensi mengancam berbagai layanan daring apabila pengelola server tidak segera memasang pembaruan keamanan.
Dikutip dari laporan detikINET, Kamis (22/10), pengembang PHP telah merilis pembaruan untuk menutup kedua celah tersebut. Pengguna diminta segera memperbarui instalasi PHP yang terdampak.
Berdasarkan pengumuman resmi tim pengembang PHP pada 21 Oktober 2026, dua kerentanan tersebut terdaftar dengan kode CVE-2026-109618 dan CVE-2026-109619.
Keduanya memungkinkan terjadinya remote code execution (RCE), yakni kondisi ketika penyerang dapat menjalankan kode pada sistem sasaran dari jarak jauh tanpa autentikasi.
Tim PHP menegaskan bahwa tidak tersedia mitigasi sementara yang sepenuhnya menuntaskan risiko. Karena itu, pemasangan pembaruan keamanan menjadi langkah utama untuk melindungi sistem yang terdampak.
Pembaruan keamanan telah dirilis untuk sejumlah versi PHP, yakni PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, dan PHP 8.2.35.
Pengelola website perlu memeriksa versi PHP yang digunakan dan memastikan pembaruan sesuai dengan lingkungan server masing-masing.
Ancaman ini tidak hanya berkaitan dengan website yang dikembangkan secara mandiri. Sistem yang menjalankan PHP melalui PHP-FPM, Apache dengan mod_php, PHP-CGI, FrankenPHP, maupun LiteSpeed juga termasuk dalam cakupan instalasi yang perlu diperiksa.
Ancaman tersebut semakin menjadi perhatian setelah Amazon Threat Intelligence mendeteksi upaya eksploitasi pada 17 Oktober 2026, beberapa hari sebelum pembaruan keamanan PHP tersedia untuk publik.
Laporan The Verge pada 22 Oktober menyebutkan bahwa Amazon mendeteksi percobaan eksploitasi melalui sistem pemantauan yang sengaja digunakan untuk menarik aktivitas berbahaya.
Temuan tersebut mengindikasikan bahwa pihak yang tidak bertanggung jawab mungkin telah mengetahui cara mengeksploitasi celah sebelum pengumuman resmi pengembang.
Meski demikian, deteksi percobaan serangan tidak otomatis berarti server korban telah berhasil ditembus. Pengelola sistem tetap perlu memeriksa log aktivitas dan indikator kompromi untuk memastikan apakah terdapat tanda-tanda pembobolan.
Tim pengembang PHP sebelumnya mengungkapkan bahwa persoalan tersebut telah dipertimbangkan sejak 2024. Namun, upaya mencari solusi menghadapi berbagai kendala teknis dan proses perbaikannya berlangsung dalam beberapa tahap.
Pada 2026, proyek PHP kemudian dilibatkan dalam program Patch the Planet milik OpenAI untuk membantu mengidentifikasi dan menangani kerentanan keamanan.
Dalam pengumuman pada 21 Oktober 2026, OpenAI menyatakan model kecerdasan buatannya membantu menemukan celah tersebut. Penyedia keamanan siber Wiz juga melakukan penemuan dan pelaporan secara independen. Perbaikan akhirnya dikoordinasikan bersama pengelola PHP dan sejumlah mitra keamanan.
Pengelola server dan website disarankan segera melakukan pemeriksaan terhadap versi PHP yang digunakan, memasang pembaruan resmi, serta memastikan sistem pendukung tetap kompatibel setelah pembaruan.
Selain itu, pemeriksaan log server perlu dilakukan untuk menemukan aktivitas mencurigakan, terutama sejak 17 Oktober 2026, ketika upaya eksploitasi mulai terdeteksi oleh Amazon Threat Intelligence.
Apabila pembaruan belum dapat dilakukan, pengelola perlu berkoordinasi dengan penyedia hosting atau tim keamanan untuk menerapkan langkah mitigasi yang sesuai. Sistem yang berisiko tinggi dapat memerlukan pembatasan akses atau penghentian sementara layanan hingga penanganan memadai dilakukan.
Namun, langkah sementara tidak boleh dianggap sebagai pengganti pembaruan keamanan. Tim PHP menegaskan bahwa pemasangan versi yang telah diperbaiki merupakan cara utama untuk menutup kerentanan tersebut.
Kasus ini sekaligus menjadi pengingat bahwa keamanan website tidak cukup dijaga melalui kata sandi yang kuat atau pembaruan aplikasi secara berkala saja. Komponen dasar yang menjalankan website juga harus terus dipantau dan diperbarui, terutama ketika kerentanan kritis telah diumumkan secara terbuka.(ADR)
