BSSN Peringatkan Dua Celah Kritis PHP, Pengelola Website Diminta Segera Perbarui Sistem

Webekspres – Badan Siber dan Sandi Negara (BSSN) mengingatkan pemilik serta pengelola website di Indonesia untuk meningkatkan kewaspadaan terhadap dua kerentanan kritis pada bahasa pemrograman PHP. Celah keamanan tersebut berpotensi dimanfaatkan pelaku kejahatan siber untuk mengganggu layanan hingga mengambil alih server yang rentan.

Peringatan itu disampaikan BSSN pada Kamis (22/10/2026), menyusul pengumuman pembaruan keamanan darurat oleh tim pengembang PHP sehari sebelumnya.

Dua kerentanan yang menjadi perhatian memiliki kode CVE-2026-109618 dan CVE-2026-109619. Keduanya termasuk dalam kelompok kerentanan yang dikenal sebagai PHP2Shell.

Menurut laporan CNN Indonesia, BSSN meminta pengelola website segera melakukan langkah mitigasi untuk mengurangi risiko serangan terhadap sistem yang belum mendapatkan pembaruan.

BSSN Ungkap Ancaman Dua Kerentanan PHP

BSSN menjelaskan bahwa kedua celah keamanan tersebut berpotensi menimbulkan ancaman remote code execution (RCE), yaitu kondisi ketika penyerang dapat menjalankan kode dari jarak jauh pada server yang memiliki kerentanan.

Ancaman ini tergolong serius karena dalam kondisi tertentu dapat dimanfaatkan tanpa memerlukan akses login ke aplikasi.

Kerentanan pertama, CVE-2026-109618, berkaitan dengan kesalahan penanganan kondisi out-of-memory (OOM), yakni ketika sistem tidak memiliki cukup memori untuk menjalankan suatu proses.

Kesalahan tersebut dapat mengganggu pengelolaan data internal PHP dan menimbulkan risiko keamanan saat server memproses permintaan.

Sementara itu, CVE-2026-109619 berkaitan dengan masalah pengelolaan memori ketika sistem masih menggunakan referensi terhadap data yang sudah tidak berlaku.

Kondisi ini dikenal sebagai use-after-free dan dapat mengakibatkan gangguan pada proses PHP serta membuka peluang penyalahgunaan sistem.

Meski demikian, BSSN mengingatkan bahwa keberhasilan serangan bergantung pada konfigurasi dan kondisi sistem yang digunakan.

Dengan demikian, keberadaan kerentanan tidak otomatis berarti seluruh website berbasis PHP telah mengalami peretasan.

Website dengan PHP Versi Lama Berisiko Terdampak

PHP merupakan salah satu bahasa pemrograman yang banyak digunakan untuk membangun situs dan aplikasi web.

Berbagai platform populer, termasuk WordPress, Drupal, Joomla, serta Magento, menggunakan PHP sebagai bagian dari teknologi pendukungnya.

Luasnya penggunaan PHP membuat kerentanan pada komponen dasarnya menjadi perhatian pengelola layanan digital di berbagai negara.

Berdasarkan informasi yang disampaikan BSSN, sejumlah cabang PHP yang berpotensi terdampak meliputi PHP 8.2, 8.3, 8.4, dan 8.5 sebelum memperoleh pembaruan keamanan terkait.

PHP 8.1 dan versi yang lebih lama juga membutuhkan perhatian karena sudah berada di luar masa dukungan rutin pengembang.

Pengelola website perlu memastikan versi PHP yang digunakan telah memperoleh perbaikan keamanan, termasuk apabila perangkat lunaknya disediakan melalui layanan hosting atau paket dari vendor tertentu.

Empat Versi PHP Sudah Mendapat Pembaruan Keamanan

Untuk menangani kedua kerentanan tersebut, tim pengembang PHP merilis pembaruan pada 21 Oktober 2026.

Berikut versi awal yang telah memperoleh perbaikan keamanan:

Pemilik website disarankan menggunakan versi yang sudah ditambal atau versi lebih baru yang tetap memperoleh dukungan keamanan.

Untuk instalasi PHP yang menggunakan paket dari distribusi sistem operasi tertentu, pengelola juga perlu memeriksa advisori keamanan penyedia karena perbaikan dapat diberikan melalui pembaruan khusus.

Sementara itu, pengguna PHP yang sudah tidak didukung dianjurkan mempersiapkan migrasi ke versi yang masih mendapatkan pemeliharaan keamanan.

BSSN Imbau Pengelola Website Segera Lakukan Mitigasi

BSSN menyampaikan sejumlah langkah pencegahan yang dapat dilakukan untuk mengurangi risiko penyalahgunaan kedua celah tersebut.

Pengelola diminta memastikan pembaruan telah diterapkan pada seluruh instalasi PHP yang digunakan oleh layanan website.

Pemeriksaan tidak cukup dilakukan pada satu server saja, terutama apabila sistem menggunakan beberapa lingkungan aplikasi atau layanan hosting yang berbeda.

Sistem yang terhubung langsung dengan jaringan internet perlu menjadi prioritas dalam proses pemeriksaan dan pembaruan.

Apabila pembaruan belum dapat dilakukan, pengelola dapat mempertimbangkan pembatasan akses jaringan atau penghentian sementara layanan terdampak sampai perbaikan tersedia dan diterapkan.

Langkah tersebut bertujuan mengurangi risiko selama proses penanganan keamanan berlangsung.

Namun, pembatasan akses maupun perubahan konfigurasi bukan pengganti pembaruan keamanan resmi.

Komdigi Tekankan Pentingnya Pembaruan PHP

Kementerian Komunikasi dan Digital (Komdigi) juga mengingatkan pengelola sistem agar tidak menunda penerapan pembaruan keamanan.

Melalui peringatan yang diterbitkan Komdigi-CSIRT pada 22 Oktober 2026, kedua kerentanan PHP2Shell dinyatakan memiliki tingkat keparahan kritis dengan skor CVSS versi 4.0 sebesar 9,2.

Komdigi menjelaskan bahwa masalah tersebut terjadi pada komponen PHP sehingga pengelola harus memastikan sistem yang menjalankan PHP telah memperoleh perbaikan yang sesuai.

Instalasi yang masih menggunakan versi rentan dianjurkan segera diperbarui, termasuk sistem yang digunakan untuk menyediakan layanan kepada masyarakat.

Komdigi juga menegaskan bahwa perubahan konfigurasi saja tidak memberikan perlindungan menyeluruh terhadap kedua kerentanan tersebut.

Pemilik Website Diminta Tidak Mengabaikan Keamanan Server

Peringatan BSSN dan Komdigi menjadi pengingat bahwa keamanan sebuah website tidak hanya bergantung pada perlindungan akun administrator ataupun pembaruan aplikasi.

Komponen dasar seperti PHP, server, dan sistem pendukung lainnya juga perlu diperiksa secara berkala.

Bagi pemilik website perusahaan, toko online, maupun portal berita, langkah pencegahan dapat dimulai dengan memastikan status pembaruan PHP kepada tim teknis atau penyedia hosting.

Pemeriksaan rutin, pencadangan data, serta koordinasi dengan pengelola infrastruktur dapat membantu mengurangi risiko gangguan layanan dan kehilangan data.

Dengan penerapan pembaruan yang tepat, pengelola website diharapkan mampu menjaga keamanan sistem serta melindungi layanan digital yang digunakan masyarakat.