Kerentanan PHP terbaru menjadi perhatian pemilik website setelah proyek PHP menerbitkan pembaruan keamanan pada 21 Oktober 2026. Pembaruan tersebut memperbaiki dua celah kritis, yaitu CVE-2026-109618 dan CVE-2026-109619, yang dapat memungkinkan eksekusi kode jarak jauh tanpa autentikasi.
Bagi pengguna WordPress, pemeriksaan perlu mencakup perangkat lunak PHP pada hosting. WordPress juga telah menerbitkan pemberitahuan resmi yang meminta pemilik situs segera memastikan instalasi PHP mendapatkan pembaruan.
Oleh karena itu, penting untuk mengetahui versi yang digunakan, patch yang tersedia, dan langkah pembaruannya. Berikut penjelasan yang dapat digunakan sebagai panduan awal.
Kerentanan PHP Terbaru pada Oktober 2026
Dua celah yang diumumkan berkaitan dengan pengelolaan memori dan keadaan internal PHP. Dampaknya dapat berupa remote code execution atau RCE, yaitu kemampuan menjalankan kode dari jarak jauh.
Pada eksploitasi yang dikonfirmasi, kode berjalan dengan hak akses akun pekerja web. Dengan demikian, dampak terhadap file dan data juga bergantung pada izin yang dimiliki proses tersebut.
CVE-2026-109618: Kesalahan Penanganan Memori
Celah pertama berkaitan dengan kondisi kehabisan memori atau out-of-memory. Dalam keadaan tertentu, PHP dapat menghentikan proses ketika data internal permintaan belum selesai disiapkan.
Selanjutnya, proses pembersihan permintaan dapat memperlakukan data yang tidak valid seolah-olah masih dapat digunakan. Kondisi tersebut dapat berujung pada eksekusi kode jarak jauh.
Advisory resmi mengonfirmasi eksploitasi pada Apache dengan mod_php. Namun, risiko pada lingkungan lain tetap perlu diperiksa berdasarkan konfigurasi dan cara aplikasi berjalan.
CVE-2026-109619: Data Internal Lama Masih Digunakan
Celah kedua melibatkan keadaan internal yang masih tersimpan setelah memori pendukungnya dibebaskan. Ketika proses pekerja yang sama menangani permintaan berikutnya, PHP dapat mengakses kembali keadaan yang sudah tidak valid.
Masalah ini termasuk penggunaan memori setelah dibebaskan atau use-after-free. Dalam kondisi tertentu, dampaknya dapat mencapai eksekusi kode jarak jauh.
Selain itu, jalur pemicunya dapat berbeda menurut aplikasi, ekstensi, dan konfigurasi server. Karena itu, satu perubahan konfigurasi tidak dapat dianggap menutup seluruh kemungkinan eksploitasi.
Server dan Website yang Berisiko
PHP menyatakan bahwa instalasi yang melayani permintaan web perlu mendapat perhatian, termasuk:
- PHP-FPM.
- Apache dengan mod_php.
- php-cgi.
- FrankenPHP.
- LiteSpeed.
Menurut advisory, risiko tertinggi berada pada mod_php. Pada lingkungan tersebut, serangan yang telah didemonstrasikan dapat terjadi sebelum kode aplikasi mulai berjalan.
Karena itu, pemilik situs perlu memeriksa lingkungan hosting meskipun halaman website masih terlihat normal. Pemeriksaan versi dan status patch memberikan informasi yang lebih berguna daripada sekadar memastikan halaman dapat dibuka.
Namun, keberadaan versi rentan belum membuktikan bahwa situs sudah diretas. Penentuan insiden memerlukan pemeriksaan tambahan terhadap log, perubahan file, dan aktivitas akun.
Versi Perbaikan untuk Kerentanan PHP Terbaru
Berikut versi resmi yang memuat perbaikan untuk kedua celah tersebut:
| Cabang PHP | Versi yang memuat perbaikan |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Gunakan versi tersebut atau rilis lebih baru yang memuat perbaikannya. Nomor cabang saja, seperti “PHP 8.4”, belum cukup untuk memastikan status patch.
Selain itu, beberapa distribusi Linux dan penyedia dukungan jangka panjang menyediakan backport, yaitu penerapan perbaikan pada paket versi lama. Oleh karena itu, mintalah konfirmasi bahwa paket hosting sudah menangani kedua nomor CVE, bukan hanya mengandalkan nomor versi yang terlihat.
Cara Memeriksa Versi di WordPress
Pengguna WordPress dapat memeriksa versi PHP melalui dashboard:
- Masuk ke halaman administrasi WordPress.
- Buka Peralatan atau Tools.
- Pilih Kesehatan Situs atau Site Health.
- Selanjutnya, buka tab Informasi atau Info.
- Buka bagian Server, kemudian cari Versi PHP.
Informasi tersebut juga sering tersedia pada panel hosting. Jika hasilnya belum jelas, hubungi penyedia layanan untuk memastikan versi yang melayani website.
Catat nomor versi lengkap sebelum mengajukan pertanyaan. Sebagai contoh, informasi “PHP 8.4.26” lebih membantu proses pemeriksaan dibandingkan hanya menyebut “PHP 8.4”.
Langkah Mengatasi Kerentanan PHP Terbaru
Perbaikan utama adalah memasang pembaruan PHP yang sesuai. Agar prosesnya lebih terarah, lakukan langkah berikut bersama administrator atau penyedia hosting.
- Siapkan cadangan. Simpan file website dan basis data, lalu pastikan tersedia cara untuk memulihkannya.
- Periksa kompatibilitas. Tinjau kebutuhan WordPress, tema, dan plugin, terutama jika akan berpindah cabang PHP.
- Minta pemasangan patch. Sebutkan CVE-2026-109618 dan CVE-2026-109619 agar permintaan perbaikan jelas.
- Pastikan pembaruan sudah aktif. Minta administrator memastikan proses PHP yang melayani situs menggunakan paket hasil pembaruan.
- Uji fungsi penting. Setelah itu, periksa login, formulir, unggahan media, dan transaksi jika website memiliki toko online.
Dokumentasi WordPress menyarankan pencadangan dan pemeriksaan kompatibilitas sebelum pembaruan. Pengaturan versi PHP sendiri berada pada tingkat server atau layanan hosting.
Selanjutnya, simpan konfirmasi dari penyedia hosting sebagai catatan pemeliharaan. Cantumkan tanggal pembaruan, paket yang digunakan, dan hasil pemeriksaan fungsi utama.
Mengapa Firewall Saja Belum Cukup?
Firewall dapat menjadi lapisan perlindungan tambahan. Namun, tim PHP menegaskan bahwa pembaruan yang memuat patch merupakan mitigasi lengkap untuk celah yang diumumkan.
Beberapa penyesuaian konfigurasi hanya mengurangi jalur serangan tertentu. Oleh karena itu, keberadaan firewall atau plugin keamanan tidak dapat dijadikan alasan untuk menunda pemasangan patch.
Untuk pengguna hosting bersama, mintalah penyedia layanan menjelaskan dua hal: perlindungan sementara yang diterapkan dan status pembaruan PHP. Dengan begitu, tindak lanjutnya dapat dipantau secara konkret.
Status Dukungan PHP 8.2 dan Versi Lama
PHP 8.2 masih menerima dukungan keamanan upstream sampai 31 Desember 2026. Sementara itu, jadwal dukungan keamanan cabang berikutnya adalah:
| Cabang | Akhir dukungan keamanan |
|---|---|
| PHP 8.2 | 31 Desember 2026 |
| PHP 8.3 | 31 Desember 2027 |
| PHP 8.4 | 31 Desember 2028 |
| PHP 8.5 | 31 Desember 2029 |
Karena masa dukungan PHP 8.2 mendekati akhir, pemilik website sebaiknya mulai merencanakan perpindahan ke cabang yang masih didukung dan kompatibel dengan aplikasinya.
Namun, rencana migrasi tidak perlu menunda pemasangan patch pada cabang yang sedang digunakan. Tangani pembaruan keamanan terlebih dahulu, kemudian jadwalkan perpindahan cabang dengan pengujian yang sesuai.
Pertanyaan Umum tentang Kerentanan PHP Terbaru
Apakah memperbarui WordPress sudah menyelesaikannya?
Perbaikan untuk kedua celah ini berada pada perangkat lunak PHP. WordPress menyatakan bahwa tidak ada pembaruan WordPress khusus yang diperlukan atau direncanakan untuk memperbaiki masalah tersebut.
Oleh karena itu, pastikan penyedia hosting memperbarui PHP meskipun WordPress, tema, dan plugin sudah menggunakan versi terbaru.
Bagaimana jika hosting belum menyediakan patch?
Hubungi dukungan hosting dan minta jadwal pemasangan serta konfirmasi penanganan kedua CVE. Selanjutnya, tanyakan perlindungan sementara yang mereka terapkan.
Untuk sistem dengan PHP sebelum 8.2 yang dikelola sendiri dan belum dapat diperbarui, WordPress menyarankan mempertimbangkan penghentian layanan sementara sampai perbaikan dapat dilakukan. Keputusan ini perlu dikoordinasikan dengan administrator agar dampak operasionalnya dapat dikelola.
Informasi diperiksa pada 22 Oktober 2026. Ikuti pembaruan advisory PHP dan pemberitahuan penyedia hosting untuk mengetahui perkembangan berikutnya.
