KALIMANTAN UTARA — Badan Siber dan Sandi Negara (BSSN) mengungkap dua kerentanan kritis PHP berkode CVE-2026-109618 dan CVE-2026-109619 yang bisa dieksploitasi untuk menjalankan kode berbahaya dari jarak jauh. Peringatan berlaku bagi seluruh pemilik dan pengelola website yang menjalankan PHP versi 8.2 hingga 8.5, dengan patch resmi sudah tersedia. Komdigi meminta pengelola sistem tidak menunda pembaruan karena perubahan konfigurasi saja tidak cukup menutup celah.
BSSN menyampaikan peringatan lewat akun resmi di platform X pada Kamis (22/10), disertai laporan Security Advisory yang menguraikan sifat kedua kerentanan. Serangan dapat dipicu tanpa autentikasi, sehingga server yang terekspos internet menjadi sasaran utama.
CVE-2026-109618 muncul dari kesalahan PHP menangani kondisi out-of-memory (OOM), yaitu saat memori server tidak lagi mencukupi. Kesalahan pengelolaan memori itu terjadi ketika server memproses permintaan HTTP yang dikirim pengguna.
Lewat celah tersebut, penyerang dapat mengirim permintaan khusus ke server tanpa perlu login lebih dulu. Jika eksploitasi berhasil, peretas berpotensi menjalankan perintah atau kode berbahaya dari jarak jauh pada server yang terdampak.
Sementara CVE-2026-109619 bersarang di mekanisme pengelolaan memori PHP. Kerentanan ini aktif ketika PHP masih mencoba mengakses bagian memori yang sebenarnya sudah dilepaskan, sehingga mengganggu kerja server dan membuka jalan bagi eksekusi kode berbahaya tanpa autentikasi.
BSSN menegaskan keberhasilan eksploitasi tidak otomatis terjadi di semua instalasi. Hasilnya bergantung pada kondisi pemrosesan permintaan dan konfigurasi lingkungan PHP yang dipakai.
Laporan BSSN mencantumkan empat jalur versi yang berpotensi terdampak. Pemilik website perlu mencocokkannya dengan versi PHP yang berjalan di server masing-masing.
PHP 8.1 dan versi lebih lama juga berpotensi terdampak. Bedanya, jalur versi tersebut sudah berstatus end-of-life (EOL) atau tidak lagi menerima dukungan resmi, sehingga perbaikannya tidak lagi disediakan oleh pengelola PHP.
BSSN menyusun tiga tindakan pengamanan yang bisa langsung dijalankan pengelola layanan web. Prioritas utamanya adalah memastikan pembaruan diterapkan pada seluruh runtime PHP yang digunakan.
Kementerian Komunikasi dan Digital (Komdigi) mengeluarkan imbauan terpisah pada hari yang sama. Pengelola sistem diminta memprioritaskan pembaruan pada instalasi PHP yang terdampak, bukan menundanya.
"Pengelola sistem diimbau memprioritaskan pembaruan pada instalasi PHP yang terdampak. Tindakan utama untuk menutup kedua kerentanan ini adalah memasang security update yang sesuai; perubahan konfigurasi saja tidak memberikan perlindungan menyeluruh," kata Komdigi dalam keterangannya, Kamis (22/10).
PHP masih menjadi tulang punggung sebagian besar situs web, termasuk platform e-commerce, sistem pemerintahan, dan aplikasi internal perusahaan di Indonesia. Celah yang bisa dieksploitasi tanpa autentikasi membuat permukaan serangan melebar ke seluruh layanan yang berjalan di atas runtime tersebut.
Bagi pelaku bisnis digital, risiko terbesarnya bukan hanya server yang tumbang. Data pelanggan, transaksi, dan kredensial yang tersimpan di aplikasi berbasis PHP ikut terancam jika eksekusi kode jarak jauh berhasil.
Pengelola website sebaiknya memeriksa versi PHP melalui panel hosting atau konfigurasi server, lalu menjadwalkan patch di luar jam sibuk. Untuk layanan yang belum bisa diperbarui segera, isolasi jaringan menjadi opsi sementara yang direkomendasikan BSSN.