KALIMANTAN TIMUR — Dua kerentanan kritis pada PHP, CVE-2026-109618 dan CVE-2026-109619, memaksa sejumlah organisasi menonaktifkan situs mereka karena berpotensi dieksploitasi untuk menjalankan kode dari jarak jauh. PHP Foundation merilis pembaruan PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 pada Rabu (21/10) setelah FBI mengeluarkan imbauan resmi. Celah yang tersembunyi lebih dari satu dekade ini ditemukan lewat bantuan kecerdasan buatan.
PHP menjadi fondasi bagi sebagian besar situs web dunia, termasuk WordPress, Drupal, Joomla, dan Magento. Kerentanan pada inti bahasa pemrograman open source berusia lebih dari 30 tahun itu membuat pengelola situs, terutama portal lembaga pemerintah yang menyimpan data sensitif, memilih mematikan layanannya sementara.
Apa Isi Celah CVE-2026-109618 dan CVE-2026-109619
Dua kode kerentanan itu memungkinkan pelaku kejahatan siber menjalankan kode dari jarak jauh di inti PHP. Dampaknya berpotensi membahayakan data sensitif hingga jaringan tempat server beroperasi.
Yang membuat temuan ini menonjol: celah tersebut tersembunyi selama lebih dari sepuluh tahun tanpa terdeteksi. Tim keamanan siber Calif menemukannya pada 1 Agustus dengan bantuan large language model, sementara Wiz memakai Wiz Atlas berbasis AI, Google Gemini 4 Argon, dan OpenAI GPT-5.6 Sol.
Metode penemuan itu sekaligus memberi peringatan baru. Teknik yang sama bisa dipakai peretas untuk mempercepat pencarian celah serupa di sistem lain.
Respons PHP Foundation dan Lembaga Keamanan
PHP Foundation mengeluarkan seruan pengamanan pada Rabu (21/10) dan menyediakan empat versi pembaruan sekaligus. Pengguna PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 diminta segera memperbarui instalasi masing-masing.
Pada hari yang sama, lembaga keamanan siber di berbagai negara mengimbau hal serupa. Jika pembaruan belum bisa dilakukan, opsi yang disarankan adalah menonaktifkan situs sementara sampai perbaikan selesai.
Panduan FBI untuk Pengelola Server
FBI mengunggah imbauan lewat akun X pada Rabu (21/10), meminta seluruh organisasi pemerintahan dan pengelola situs berbasis PHP mengambil langkah mitigasi. Prioritas utama diberikan pada sistem yang terhubung langsung ke internet.
- Jika pembaruan segera tidak memungkinkan, nonaktifkan sistem hingga masalah teratasi sepenuhnya.
- Perbarui instalasi PHP sesuai panduan php.net, lalu petakan lokasi PHP berjalan di server.
- Pantau aktivitas mencurigakan, termasuk proses PHP yang meluncurkan command shell atau mengunduh file tak terduga.
- Jika ada tanda pembobolan, isolasi sistem terdampak dan simpan log server web serta log PHP untuk pelaporan.
Mengapa Langkah Ini Penting bagi Pengguna Indonesia
Banyak situs layanan publik dan platform bisnis di Indonesia dibangun di atas CMS yang bergantung pada PHP. Pembaruan versi menjadi tindakan paling mendesak, terutama bagi server yang menghadap langsung ke internet.
Log server dan log PHP sebaiknya disimpan rapi sejak sekarang. Selain membantu investigasi jika terjadi insiden, data itu bisa menjadi bukti pelaporan ke otoritas keamanan siber.
Pengelola situs yang belum menerapkan patch berisiko menghadapi eksploitasi aktif. PHP Foundation dan FBI menempatkan pembaruan versi sebagai langkah pertama sebelum mitigasi lain dipertimbangkan.
