Tim pengembang PHP merilis pembaruan keamanan darurat pada 21 Oktober 2026 untuk memperbaiki dua kerentanan kritis yang dapat memungkinkan eksekusi kode jarak jauh tanpa autentikasi. Kerentanan tersebut tercatat sebagai CVE-2026-109618 dan CVE-2026-109619.
Risiko ini terutama berkaitan dengan instalasi PHP yang melayani permintaan web. Jika dieksploitasi, celah tersebut berpotensi memberi penyerang kemampuan menjalankan kode pada server tanpa harus memiliki akun atau melakukan autentikasi terlebih dahulu. PHP memberikan skor CVSS v4.0 sebesar 9,2 untuk masing-masing kerentanan.
Pengelola server, penyedia layanan hosting, dan administrator situs yang menggunakan PHP diminta segera memasang versi yang telah diperbaiki. Pengembang PHP menyatakan tidak ada mitigasi lengkap yang dapat menggantikan pembaruan perangkat lunak.
Versi PHP yang sudah diperbaiki
Pembaruan keamanan mencakup sejumlah cabang PHP yang masih digunakan. Pengguna perlu menyesuaikan pembaruan dengan versi utama yang berjalan pada server mereka.
- PHP 8.5: perbarui ke versi 8.5.12.
- PHP 8.4: perbarui ke versi 8.4.27.
- PHP 8.3: perbarui ke versi 8.3.36.
- PHP 8.2: perbarui ke versi 8.2.35.
Nomor versi tersebut menjadi acuan penting bagi administrator ketika memeriksa status sistem. Pembaruan sebaiknya dilakukan melalui saluran distribusi resmi, panel hosting, atau mekanisme pengelolaan paket yang digunakan organisasi.
Mengapa pembaruan ini mendesak
Skor CVSS v4.0 sebesar 9,2 menempatkan kedua celah dalam kategori kritis. Faktor yang memperbesar risikonya adalah kemungkinan eksekusi kode jarak jauh tanpa autentikasi pada instalasi PHP yang menerima lalu lintas web.
Server web biasanya memproses permintaan dari pengguna atau sistem lain secara terus-menerus. Karena itu, kerentanan pada komponen yang menangani permintaan tersebut dapat berdampak lebih luas daripada masalah yang hanya bisa diakses dari jaringan internal atau oleh pengguna yang sudah masuk ke sistem.
Informasi tentang kerentanan juga beredar sebelum waktu rilis resmi. Kondisi tersebut mendorong sejumlah operator situs melakukan penanganan darurat, termasuk operator beberapa situs pemerintah di Eropa, sebagaimana diberitakan Reuters. Beredarnya informasi lebih awal membuat organisasi perlu mempercepat pemeriksaan aset dan koordinasi dengan penyedia hosting.
Dampak bagi situs WordPress
WordPress sendiri tidak selalu menentukan versi PHP yang aktif pada sebuah server. Versi tersebut biasanya dikelola oleh penyedia hosting, administrator server, atau tim teknologi informasi organisasi. Oleh sebab itu, pemilik situs WordPress perlu memastikan bahwa lingkungan servernya telah menggunakan salah satu versi PHP yang mendapatkan perbaikan.
Administrator dapat memulai dengan mencatat versi PHP yang digunakan pada setiap server dan situs, kemudian mencocokkannya dengan daftar versi yang telah diperbaiki. Pemeriksaan juga perlu mencakup lingkungan produksi, pengujian, staging, serta server yang mungkin tidak tercatat dalam inventaris utama.
Setelah pembaruan diterapkan, pengelola situs perlu memastikan layanan web, aplikasi, dan integrasi penting tetap berjalan normal. Pemeriksaan log dan pemantauan aktivitas server juga dapat membantu tim mengenali perilaku tidak biasa setelah perubahan dilakukan.
Langkah pemeriksaan untuk administrator
- Inventarisasi seluruh server dan layanan yang menjalankan PHP.
- Periksa versi PHP aktif, termasuk pada akun hosting dan lingkungan pengujian.
- Pasang versi perbaikan yang sesuai dengan cabang PHP yang digunakan.
- Uji fungsi situs, aplikasi, dan layanan yang bergantung pada PHP.
- Catat waktu pembaruan dan lanjutkan pemantauan terhadap log serta aktivitas server.
Langkah tersebut tidak menggantikan prosedur respons insiden. Jika organisasi menemukan indikasi akses tidak sah, perubahan berkas yang tidak dikenal, atau aktivitas server yang mencurigakan, tim terkait perlu mengikuti rencana penanganan insiden yang berlaku.
Peran AI dalam penemuan kerentanan
Sejumlah laporan mengaitkan proses penemuan dua kerentanan ini dengan penggunaan model kecerdasan buatan dalam audit kode oleh beberapa tim keamanan. AI dapat membantu peneliti meninjau kode dalam jumlah besar, menemukan pola yang tidak biasa, dan memprioritaskan bagian yang memerlukan pemeriksaan lebih lanjut.
Namun, informasi yang tersedia tidak mendukung kesimpulan bahwa AI secara tunggal menemukan atau mengeksploitasi kedua celah tersebut. Rilis resmi PHP berfokus pada dampak teknis, identifier CVE, tingkat keparahan, dan versi yang telah diperbaiki. Validasi, analisis, dan proses penanganan kerentanan tetap melibatkan tim keamanan serta pengembang perangkat lunak.
Dengan demikian, peran AI sebaiknya dipahami sebagai bagian dari proses audit kode, bukan pengganti penelitian keamanan dan verifikasi manusia. Bagi pengguna PHP, aspek terpenting dari kabar ini tetap sama: dua kerentanan kritis telah diumumkan dan pembaruan sudah tersedia.
Prioritas bagi penyedia hosting
Penyedia hosting memiliki tanggung jawab penting karena satu platform dapat menampung banyak situs pelanggan. Mereka perlu mengidentifikasi server yang menjalankan versi terdampak, menerapkan pembaruan sesuai prosedur, dan menyampaikan informasi yang jelas kepada pelanggan jika terdapat kebutuhan tindakan dari sisi pengguna.
Pengelola situs yang tidak memiliki akses administratif ke server sebaiknya menghubungi penyedia hosting untuk menanyakan versi PHP aktif dan status pembaruan. Jangan menganggap pembaruan WordPress, tema, atau plugin secara otomatis memperbarui PHP pada tingkat server.
Kesimpulan
Pembaruan darurat PHP pada 21 Oktober 2026 memperbaiki CVE-2026-109618 dan CVE-2026-109619, dua kerentanan dengan skor CVSS v4.0 9,2 yang dapat memungkinkan eksekusi kode jarak jauh tanpa autentikasi. Versi perbaikan tersedia untuk PHP 8.2 hingga 8.5.
Administrator server dan pemilik situs, termasuk pengguna WordPress, perlu memeriksa versi PHP yang berjalan dan segera memasang pembaruan yang sesuai. Pembahasan mengenai bantuan AI dalam audit kode menjadi konteks penting, tetapi tidak mengubah tindakan utama yang diperlukan: memperbarui sistem dan memantau lingkungan server setelah patch diterapkan.
