Celah Kritis PHP Oktober 2026: Dampak dan Cara Mengamankan Website

Dua celah keamanan kritis pada PHP menjadi perhatian bagi pemilik website dan pengelola server. CERT-EU menerbitkan advisori 2026-018 mengenai CVE-2026-109618 dan CVE-2026-109619, yang dikaitkan dengan risiko remote code execution atau eksekusi kode dari jarak jauh. Keduanya memiliki skor CVSS v4.0 sebesar 9,2, dengan kategori kritis. [1][2]

Pembaruan penting: pengumuman resmi PHP pada 21 Oktober 2026 sudah mencantumkan rilis perbaikan. Pemilik website perlu memastikan pembaruan diterapkan pada PHP yang benar-benar digunakan untuk melayani website. [2]

Apa yang Terjadi pada PHP?

PHP merupakan komponen yang menjalankan kode aplikasi di server. Karena itu, pembaruan PHP perlu diperhatikan secara terpisah dari pembaruan CMS, plugin, tema, maupun framework.

Advisori resmi menjelaskan dua masalah berikut:

CVE-2026-109618 — masalah penanganan kehabisan memori. Dalam kondisi tertentu, kegagalan alokasi memori membuat data internal permintaan berada dalam keadaan tidak valid. Proses pembersihan permintaan kemudian dapat mengakses data tersebut dan membuka jalur eksekusi kode. [3]
CVE-2026-109619 — penggunaan kembali keadaan internal yang sudah tidak valid. Sebuah proses PHP dapat mempertahankan referensi ke memori dari permintaan sebelumnya yang telah dibebaskan. Permintaan berikutnya pada proses yang sama dapat mengakses referensi tersebut sebelum inisialisasi normal selesai. [4]

PHP menyebut instalasi yang melayani permintaan web perlu diperhatikan, termasuk PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, dan LiteSpeed. Tingkat keterpaparan serta jalur eksploitasi bergantung pada lingkungan dan konfigurasi; bukti eksploitasi paling kuat yang dijelaskan pengembang melibatkan mod_php. [2]

Apa Dampaknya bagi Website?

Eksekusi kode dari jarak jauh berarti penyerang berpotensi menjalankan kode pada lingkungan yang rentan. Dampak lanjutannya dapat mencakup perubahan berkas website atau akses terhadap data yang bisa dijangkau proses PHP. Cakupannya bergantung pada izin proses dan isolasi server; keberhasilan eksploitasi tidak otomatis berarti akses root.

Website berbasis PHP, termasuk yang menggunakan WordPress atau Laravel, perlu memasukkan pemeriksaan runtime PHP dalam penanganannya. Ini merupakan implikasi penggunaan PHP, bukan pernyataan bahwa setiap website dengan aplikasi tersebut sudah berhasil dieksploitasi.

Versi PHP Mana yang Sudah Mendapat Perbaikan?

Berikut rilis perbaikan yang tercantum dalam pengumuman resmi PHP. [2]

Cabang PHP	Rilis perbaikan	Dukungan keamanan proyek PHP hingga
PHP 8.2	8.2.35	31 Desember 2026
PHP 8.3	8.3.36	31 Desember 2027
PHP 8.4	8.4.27	31 Desember 2028
PHP 8.5	8.5.12	31 Desember 2029

Jadwal dukungan di atas mengacu pada proyek PHP. [5]

Paket Patch cPanel dan CloudLinux EasyApache 4

Selain rilis resmi PHP, cPanel dan CloudLinux menyediakan paket perbaikan, termasuk untuk sejumlah cabang lama. Daftar berikut adalah versi paket yang dicantumkan cPanel per 22 Oktober 2026. Kolomnya perlu dibaca sesuai asal repositori paket. [10]

Cabang PHP	Paket cPanel EasyApache 4	Paket CloudLinux EasyApache 4
5.2	—	5.2.17-27
5.3	—	5.3.29-29
5.4	—	5.4.45-82
5.5	—	5.5.38-64
5.6	—	5.6.40-25
7.0	—	7.0.33-29
7.1	—	7.1.33-20
7.2	—	7.2.34-12
7.3	—	7.3.33-15
7.4	7.4.33-19	7.4.33-18
8.0	8.0.30-12	8.0.30-11
8.1	8.1.34-5	8.1.34-4
8.2	8.2.35	8.2.34-2
8.3	8.3.36	8.3.35-2
8.4	8.4.27	8.4.26-2
8.5	8.5.12	8.5.11-2

Tanda “—” berarti tidak tercantum dalam daftar paket cPanel tersebut. Untuk PHP sebelum 7.4, cPanel mengarahkan penggunaan TuxCare Extended Lifecycle Support (ELS). [10]

CloudLinux melakukan backport, yaitu memasukkan perbaikan keamanan ke paket yang mempertahankan nomor versi PHP sebelumnya. Karena itu, paket seperti CloudLinux ea-php84 8.4.26-2 dapat sudah memuat perbaikan meskipun nomor versi PHP-nya lebih rendah daripada rilis resmi 8.4.27. Status perbaikan paket harus dibaca bersama nomor rilis dan changelog vendor. [9][10]

Paket CloudLinux alt-php dan PHP Bawaan Sistem

CloudLinux juga melaporkan patch alt-php berikut sudah tersedia di kanal stable per pembaruan 22 Oktober 2026. [9]

Lingkungan	Cabang alt-php yang mendapat patch
CloudLinux 7, 8, dan 9	5.2–5.6, 7.0–7.4, 8.0–8.5
CloudLinux 10	5.2–5.6, 7.0–7.4, 8.0–8.5
CloudLinux untuk Ubuntu 22.04	5.2, 5.6, 7.0–7.4, 8.0–8.5
CloudLinux 6	Ketersediaan belum dikonfirmasi

Untuk PHP bawaan sistem dari repositori CloudLinux, paket perbaikan tersedia di stable untuk PHP 8.2 dan 8.3 pada CloudLinux 9, serta PHP 8.2 pada CloudLinux 8. Versi lainnya masih didistribusikan bertahap. Paket ini berbeda dari alt-php dan ea-php. [9]

Ketersediaan patch vendor untuk PHP lama tidak mengubah status EOL cabang tersebut pada proyek PHP. Pengguna tetap dianjurkan beralih ke cabang PHP yang masih didukung dan kompatibel dengan aplikasinya. Daftar di atas menunjukkan ketersediaan paket dari vendor; pemasangannya pada server merupakan langkah terpisah.

Pengguna Shared Hosting AnymHost: Beralih ke PHP Terbaru

Layanan shared hosting AnymHost menggunakan Imunify360 WAF dan LiteSpeed, dengan ruleset Imunify360 yang telah diperbarui ke versi terbaru. Pengelolaan WAF dan pembaruan paket PHP di server dilakukan oleh AnymHost. WAF menjadi lapisan keamanan tambahan, sementara pembaruan PHP tetap diperlukan untuk memperbaiki kerentanan pada runtime. [2][7]

Bagi pengguna yang masih memakai PHP versi lama, langkah utama adalah beralih ke versi PHP stabil terbaru yang tersedia di panel dan kompatibel dengan website. Prioritaskan PHP 8.5 jika aplikasi mendukungnya, atau PHP 8.4 apabila itu yang sesuai dengan kebutuhan aplikasi dan tersedia pada layanan Anda. Kedua cabang ini memiliki masa dukungan keamanan yang lebih panjang daripada PHP 8.2 dan 8.3. [5]

Mengapa Perlu Meninggalkan PHP yang Sudah EOL?

End of Life atau EOL berarti sebuah cabang PHP sudah berakhir masa dukungannya dari proyek PHP. PHP 8.1 dan versi lebih lama, termasuk seluruh PHP 7.x dan 5.x, sudah berada dalam kategori ini. Dukungan tambahan dari vendor tertentu dapat berbeda, tetapi pengguna tetap dianjurkan merencanakan migrasi ke cabang yang masih didukung. [2][5]

Website yang masih berjalan normal belum tentu menggunakan versi PHP yang masih didukung. Jadikan pemeriksaan versi PHP sebagai bagian dari pemeliharaan website, bersama pembaruan CMS, plugin, dan tema. PHP 8.2 juga mendekati akhir dukungan keamanan pada 31 Desember 2026, sehingga pengguna sebaiknya mulai menyiapkan migrasi. [5]

Cara Mengubah Versi PHP di Hosting AnymHost

Ikuti panduan Cara Mengubah Versi PHP pada Hosting AnymHost. Secara ringkas, langkahnya adalah sebagai berikut. [8]

Siapkan backup berkas dan database, lalu periksa dukungan versi PHP pada dokumentasi aplikasi, plugin, dan tema yang digunakan.
Masuk ke cPanel dan buka menu MultiPHP Manager.
Pilih domain yang akan diperbarui, lalu pilih versi PHP stabil terbaru yang tersedia dan didukung aplikasi.
Klik Apply untuk menerapkan perubahan.
Uji fungsi utama website, termasuk login, formulir, unggah berkas, transaksi, dan pekerjaan terjadwal.

Periksa setiap domain dan subdomain karena pengaturan versi PHP dapat berbeda. Pilihan pada MultiPHP Manager bergantung pada versi yang terpasang dan tersedia untuk akun Anda. [6]

Jika aplikasi belum kompatibel dengan PHP terbaru, perbarui komponen aplikasi atau koordinasikan penyesuaian kode dengan pengembang. Pemilihan cabang PHP oleh pengguna melengkapi pembaruan paket PHP yang dikelola di sisi server.

Langkah untuk Pengelola VPS dan Dedicated Server

Untuk server yang dikelola sendiri, gunakan daftar kerja berikut:

Inventarisasi semua instalasi PHP, termasuk versi yang dipakai domain berbeda, container, dan layanan terpisah.
Cocokkan paket terpasang dengan advisori keamanan distribusi atau vendor yang digunakan.
Terapkan pembaruan melalui mekanisme resmi lingkungan tersebut.
Mulai ulang proses PHP yang relevan sesuai petunjuk paket agar kode perbaikan digunakan.
Verifikasi versi runtime web dan uji aplikasi setelah pembaruan.

Perintah php -v dapat membantu memeriksa PHP CLI. Namun, jangan menjadikannya satu-satunya bukti bahwa PHP yang melayani website sudah diperbarui, terutama pada server dengan beberapa instalasi PHP.

Bagaimana Jika Pembaruan Belum Bisa Diterapkan?

CERT-EU menyarankan pertimbangan isolasi aplikasi yang menghadap internet apabila perbaikan belum dapat dilakukan. Keputusan ini perlu disesuaikan dengan kebutuhan layanan dan paparan sistem. [1]

Pengembang PHP menegaskan bahwa perubahan konfigurasi hanya mengurangi jalur serangan tertentu dan tidak menggantikan pembaruan. Proteksi WAF yang memblokir pola eksploit tertentu juga merupakan mitigasi sementara, bukan perbaikan kode PHP. [2][7]

Untuk website penting, siapkan jendela pemeliharaan dan koordinasikan penanganan dengan pengelola server. Hindari menyalin pengaturan mitigasi tanpa memahami dampaknya terhadap kapasitas dan perilaku aplikasi.

Referensi

AnymHost

Tim Konten AnymHost

Tim content creator AnymHost yang menulis panduan, tutorial, dan tips seputar web hosting, VPS, domain, dan pengelolaan website. Punya pertanyaan atau butuh bantuan? Tim support kami siap membantu 24/7.

Hubungi Kami