Berita viral hari ini datang dari dunia keamanan siber. Tim riset Wiz Research mengungkap dua kerentanan kritis di inti bahasa pemrograman PHP, bahasa yang menjalankan sekitar 70 persen situs web dunia, termasuk WordPress, Drupal, Joomla, dan MediaWiki yang menjadi mesin Wikipedia. Kerentanan berskor hingga CVSS 9,2 itu memungkinkan penyerang tanpa autentikasi mengeksekusi kode dari jarak jauh atau membaca memori proses server yang bisa memuat kata sandi, token, dan kunci API. PHP merilis patch pada 21 Oktober 2026 setelah proses pengungkapan terkoordinasi lintas industri.
Berita Viral: Dua Celah Kritis di Inti PHP
Dua kerentanan itu terdaftar sebagai CVE-2026-109618 dan CVE-2026-109619. Keduanya berasal dari keputusan arsitektur lama di mesin inti PHP, bukan dari kesalahan kode aplikasi yang dibangun di atasnya. Artinya, sebuah situs bisa tetap rentan walau kode aplikasinya sendiri ditulis dengan hati-hati.
CVE-2026-109618 menyerang alur penanganan kehabisan memori. Ketika sebuah permintaan melampaui batas memori, PHP bisa berhenti di tengah proses dan meninggalkan data permintaan yang baru terisi sebagian. Permintaan berikutnya berpotensi memperlakukan data tidak valid itu sebagai data sah.
CVE-2026-109619 berkaitan dengan status internal yang bertahan setelah memorinya dibebaskan. Pekerja PHP yang sama bisa memakai status basi itu sebelum proses inisialisasi normal mengembalikannya ke kondisi bersih. Wiz mendemonstrasikan eksekusi kode jarak jauh tanpa autentikasi pada WordPress, Drupal, dan Joomla, seperti dipaparkan dalam laporan PHP2Shell.
Iklan
Paviliun Akademika: punya kost tanpa repot kelola
Paviliun Akademika menghadirkan pilihan investasi kost terkelola di Akademika Townhouse, Gowa. Unit disiapkan untuk disewakan, dengan pengelolaan kawasan yang ditangani pemilik proyek.
Apa yang Ditemukan Wiz Research
Wiz Research memaparkan temuan ini pada 21 Oktober 2026 dan menyebutnya sebagai salah satu kerentanan paling parah yang pernah ditemukan di PHP. Mereka bahkan menilainya sebagai salah satu yang paling serius dalam sejarah perangkat lunak. Akar masalahnya sudah ada selama puluhan tahun tanpa terdeteksi.
Selain eksekusi kode, kedua celah itu membuka jalur pengungkapan memori bergaya Heartbleed. Jalur tersebut bisa menampilkan kata sandi, token autentikasi, kunci API, dan sertifikat milik permintaan lain atau milik server itu sendiri. Data sensitif itu bisa dipanen tanpa jejak yang mudah dilacak.
Hampir semua versi PHP satu dekade terakhir terdampak setidaknya oleh salah satu celah, mundur sampai versi 5.4. Rincian teknis dan versi perbaikannya dirangkum dalam penjelasan Sansec serta laporan Help Net Security.
Siapa yang Paling Berisiko
Setiap instalasi PHP yang melayani permintaan web masuk kategori terdampak. Itu mencakup PHP-FPM, Apache dengan mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Analis keamanan menyebut konfigurasi mod_php menghadapi risiko paling besar.
Yang membuat situasi ini berat, serangan bisa berjalan sebelum kode aplikasi apa pun dieksekusi. Satu permintaan tanpa autentikasi sudah cukup untuk memicu kerentanan pada kondisi tertentu. Pengelola situs tidak bisa bersandar pada pengaman aplikasi saja.
Riset keamanan juga mencatat masih banyak instalasi tertanam yang kemungkinan tidak akan pernah ditambal. Aplikasi lama yang tak lagi dirawat, plugin usang, dan server pribadi di kantor kecil adalah kelompok yang paling sulit dijangkau. Ekor panjang insiden dari kasus seperti ini biasanya berlangsung bertahun-tahun.
Versi PHP yang Wajib Segera Diperbarui
PHP sudah menerbitkan patch darurat lewat beberapa versi rilis. Perbaikannya ada di PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. Semua pengguna PHP diminta memperbarui sesegera mungkin.
Distribusi Linux dan vendor dukungan jangka panjang menerima patch lebih dulu sebelum rilis publik. Karena itu, administrator disarankan memeriksa paket dari vendor masing-masing. PHP 8.1 dan versi sebelumnya sudah tidak lagi didukung proyek PHP.
Pengguna repositori pihak ketiga yang dikelola sukarela diminta beralih ke paket distribusi resmi atau membangun PHP dari kode sumber. Langkah itu memastikan mereka bisa menambal celah tanpa menunggu pihak lain. Bagi yang tidak bisa segera menambal, badan siber Inggris menyarankan mempertimbangkan menonaktifkan sementara sistemnya.
