Tim pengembang PHP merilis pembaruan keamanan darurat pada 21 Oktober 2026 untuk menambal dua kerentanan kritis yang berpotensi memungkinkan penyerang menjalankan kode dari jarak jauh tanpa perlu login ke server. Pembaruan ini menjadi perhatian penting bagi pemilik situs WordPress karena PHP merupakan salah satu komponen utama yang menjalankan platform tersebut.
Menurut pengumuman resmi PHP, kedua kerentanan tersebut memungkinkan terjadinya remote code execution (RCE), yaitu kondisi ketika penyerang dapat menjalankan kode pada server yang rentan. Detail teknis dan sejumlah proof of concept (PoC) juga mulai beredar ke publik, sehingga risiko eksploitasi perlu ditangani dengan serius.
Pengembang PHP telah merilis versi perbaikan untuk sejumlah cabang PHP yang masih didukung. Pemilik situs WordPress disarankan segera memeriksa versi PHP pada server mereka, melakukan pencadangan, dan memperbarui sistem melalui layanan hosting masing-masing.
Penting untuk dipahami bahwa memperbarui WordPress saja tidak akan memperbaiki kerentanan ini. Masalah tersebut berada pada PHP yang berjalan di server, sehingga pembaruan harus dilakukan melalui pengaturan hosting atau dengan bantuan penyedia layanan hosting.
Dua Kerentanan Kritis PHP Memungkinkan Serangan Tanpa Login
Berdasarkan peringatan keamanan yang diterbitkan PHP dan CERT-EU pada 21 Oktober 2026, dua kerentanan tersebut memiliki tingkat keparahan tinggi karena dapat membuka jalan bagi penyerang untuk menjalankan kode tanpa autentikasi.
Kedua kerentanan tersebut memiliki skor CVSS 9,2 dari skala 10, menurut CERT-EU. Artinya, organisasi dan pemilik situs yang menggunakan PHP perlu memprioritaskan penerapan pembaruan keamanan.
Berikut dua kerentanan yang telah diperbaiki:
- CVE-2026-109618: Kerentanan RCE yang berkaitan dengan korupsi memori saat PHP menangani kondisi out of memory (OOM). Dalam situasi tertentu, proses penanganan permintaan dapat meninggalkan data internal yang belum sepenuhnya diinisialisasi dan memicu kesalahan pengelolaan memori.
- CVE-2026-109619: Kerentanan RCE akibat status global internal yang masih tersisa setelah memori yang mendukungnya dibebaskan. Permintaan berikutnya yang ditangani oleh pekerja (worker) yang sama berpotensi menggunakan status tersebut sebelum proses inisialisasi normal selesai.
Kerentanan ini tidak hanya berdampak pada WordPress. Menurut PHP, instalasi yang melayani permintaan web, termasuk PHP-FPM, Apache dengan mod_php, PHP-CGI, FrankenPHP, dan LiteSpeed, turut berisiko.
Tim PHP juga menyoroti konfigurasi Apache dengan mod_php sebagai salah satu konfigurasi dengan risiko tertinggi. Eksploitasi yang telah didemonstrasikan menunjukkan bahwa permintaan tanpa autentikasi dapat memicu serangan sebelum kode aplikasi dijalankan.
Meski demikian, beredarnya PoC tidak dengan sendirinya membuktikan bahwa setiap situs yang menggunakan PHP telah diserang. Namun, situasi ini meningkatkan urgensi untuk memasang pembaruan sebelum celah dimanfaatkan oleh pihak yang tidak bertanggung jawab.
Daftar Versi PHP yang Sudah Mendapatkan Perbaikan
Pada 21 Oktober 2026, tim PHP merilis empat versi yang mencakup perbaikan untuk kedua kerentanan tersebut.
| Versi PHP | Versi perbaikan |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Jika situs menggunakan salah satu cabang di atas, pastikan versinya sudah mencapai versi perbaikan yang sesuai atau memperoleh pembaruan keamanan resmi yang setara dari penyedia distribusi yang digunakan.
Sementara itu, PHP 8.1 dan versi yang lebih lama telah berakhir masa dukungan regulernya dari proyek PHP. Cabang tersebut tidak lagi menerima pembaruan keamanan rutin dari proyek PHP, sehingga pemilik situs sebaiknya merencanakan migrasi ke versi yang masih didukung.
Beberapa penyedia hosting atau distribusi Linux mungkin menyediakan backport keamanan untuk versi tertentu yang sudah tidak didukung oleh proyek PHP. Jika kamu masih menggunakan versi lama, jangan berasumsi server sudah aman hanya karena penyedia hosting menyatakan sistemnya telah diperbarui. Mintalah konfirmasi mengenai penerapan perbaikan untuk CVE-2026-109618 dan CVE-2026-109619.
Informasi versi dan pembaruan dapat diperiksa melalui situs resmi PHP.
Cara Memeriksa dan Memperbarui PHP pada WordPress
Pemilik situs WordPress sebaiknya memeriksa versi PHP yang sedang berjalan sebelum melakukan perubahan. Prosesnya dapat dilakukan melalui dashboard WordPress dan panel administrasi hosting.
1. Periksa Versi PHP yang Digunakan
Masuk ke dashboard WordPress, kemudian buka menu Tools → Site Health → Info → Server. Pada bagian tersebut, kamu dapat melihat versi PHP yang digunakan situs.
Catat versi yang tertera dan cocokkan dengan daftar versi yang telah diperbaiki. Jika versinya lebih lama daripada versi perbaikan yang sesuai, segera hubungi penyedia hosting atau lakukan pembaruan melalui panel hosting apabila fitur tersebut tersedia.
Perlu diperhatikan bahwa versi PHP yang terlihat dalam laporan server seharusnya benar-benar mencerminkan lingkungan PHP yang melayani situs, bukan sekadar versi yang digunakan untuk CLI atau proses lain.
2. Cadangkan Situs Sebelum Memperbarui
Sebelum mengganti versi PHP, buat cadangan berkas situs dan database WordPress. Simpan salinan tersebut di lokasi terpisah agar bisa digunakan apabila pembaruan menyebabkan gangguan kompatibilitas.
Langkah ini penting karena tema, plugin, atau kode kustom tertentu mungkin tidak kompatibel dengan versi PHP yang baru. Dengan memiliki cadangan, kamu dapat memulihkan situs apabila muncul masalah selama proses migrasi.
3. Perbarui PHP Melalui Panel Hosting
Banyak penyedia hosting menyediakan menu untuk memilih versi PHP yang digunakan situs. Lokasi pengaturannya berbeda-beda, tetapi biasanya tersedia pada menu konfigurasi PHP atau pengaturan situs.
Pilih versi perbaikan yang sesuai dengan lingkungan hosting dan kebutuhan kompatibilitas situs. Setelah pembaruan, periksa kembali halaman utama, dashboard administrator, plugin penting, formulir, serta fitur transaksi apabila situs memiliki toko daring.
Jika pengaturan versi PHP tidak tersedia atau kamu tidak yakin versi mana yang harus dipilih, hubungi tim dukungan hosting dan minta mereka menerapkan pembaruan keamanan yang sesuai.
4. Periksa Apakah Situs Menunjukkan Tanda-Tanda Peretasan
Memasang pembaruan dapat menutup jalur serangan yang diketahui, tetapi tidak otomatis menghapus akses atau program berbahaya yang mungkin sudah terpasang sebelumnya.
Setelah server diperbarui, periksa apakah terdapat akun administrator yang tidak dikenal, berkas yang berubah tanpa alasan jelas, plugin mencurigakan, atau aktivitas login yang tidak wajar. Periksa pula log server dan catatan keamanan apabila tersedia.
Jika ditemukan indikasi kompromi, lakukan investigasi dan pembersihan secara menyeluruh. Mengganti kata sandi administrator dan kredensial penting lainnya juga perlu dipertimbangkan sebagai bagian dari proses pemulihan.
Apa yang Harus Dilakukan Jika Hosting Belum Menyediakan Pembaruan?
Tidak semua pengguna WordPress memiliki akses langsung untuk mengelola versi PHP. Pada layanan hosting terkelola, pembaruan komponen server biasanya ditangani oleh penyedia layanan.
Jika versi perbaikan belum tersedia, segera hubungi penyedia hosting dan minta konfirmasi mengenai mitigasi untuk kedua kerentanan tersebut. Tanyakan juga apakah pembaruan sudah diterapkan pada seluruh lingkungan PHP yang menjalankan situs.
Untuk server yang dikelola sendiri dan belum dapat segera diperbaiki, CERT-EU menyarankan agar aplikasi yang terhubung langsung ke internet dipisahkan dari jaringan publik sampai pembaruan diterapkan dan diverifikasi. Penghentian sementara akses publik dapat menjadi langkah darurat apabila risiko tidak dapat dikurangi dengan cara lain.
Jangan mengandalkan pembaruan plugin, tema, atau WordPress core sebagai pengganti pembaruan PHP. Ketiganya merupakan komponen berbeda dengan tanggung jawab keamanan yang tidak sama.
Pembaruan PHP Menjadi Prioritas Keamanan Situs WordPress
Dua kerentanan kritis yang diumumkan pada 21 Oktober 2026 memperlihatkan pentingnya menjaga komponen server tetap diperbarui. Karena serangan berpotensi dilakukan tanpa login dan PoC sudah mulai beredar, pemilik situs sebaiknya tidak menunda pemeriksaan versi PHP.
Langkah paling penting adalah mengetahui versi yang sedang digunakan, menerapkan versi perbaikan yang sesuai, menguji kompatibilitas situs, serta memeriksa kemungkinan aktivitas mencurigakan setelah pembaruan.
Bagi pengguna yang tidak mengelola server secara langsung, penyedia hosting menjadi pihak utama yang perlu dihubungi. Sementara itu, pemilik server mandiri harus memprioritaskan perbaikan dan membatasi paparan ke internet jika sistem belum dapat diamankan.
Dengan menerapkan pembaruan yang tepat dan memeriksa kondisi situs setelahnya, pemilik WordPress dapat mengurangi risiko eksploitasi terhadap dua kerentanan PHP tersebut.
