KALIMANTAN UTARA — Badan Siber dan Sandi Negara (BSSN) mengungkap dua kerentanan kritis PHP berkode CVE-2026-109618 dan CVE-2026-109619 yang bisa dieksploitasi untuk menjalankan kode berbahaya dari jarak jauh. Peringatan berlaku bagi seluruh pemilik dan pengelola website yang menjalankan PHP versi 8.2 hingga 8.5, dengan patch resmi sudah tersedia. Komdigi meminta pengelola sistem tidak menunda pembaruan karena perubahan konfigurasi saja tidak cukup menutup celah.
BSSN menyampaikan peringatan lewat akun resmi di platform X pada Kamis (22/10), disertai laporan Security Advisory yang menguraikan sifat kedua kerentanan. Serangan dapat dipicu tanpa autentikasi, sehingga server yang terekspos internet menjadi sasaran utama.
Apa yang Membuat Kedua Celah Berbahaya
CVE-2026-109618 muncul dari kesalahan PHP menangani kondisi out-of-memory (OOM), yaitu saat memori server tidak lagi mencukupi. Kesalahan pengelolaan memori itu terjadi ketika server memproses permintaan HTTP yang dikirim pengguna.
Lewat celah tersebut, penyerang dapat mengirim permintaan khusus ke server tanpa perlu login lebih dulu. Jika eksploitasi berhasil, peretas berpotensi menjalankan perintah atau kode berbahaya dari jarak jauh pada server yang terdampak.
Sementara CVE-2026-109619 bersarang di mekanisme pengelolaan memori PHP. Kerentanan ini aktif ketika PHP masih mencoba mengakses bagian memori yang sebenarnya sudah dilepaskan, sehingga mengganggu kerja server dan membuka jalan bagi eksekusi kode berbahaya tanpa autentikasi.
BSSN menegaskan keberhasilan eksploitasi tidak otomatis terjadi di semua instalasi. Hasilnya bergantung pada kondisi pemrosesan permintaan dan konfigurasi lingkungan PHP yang dipakai.
Versi PHP yang Terdampak
Laporan BSSN mencantumkan empat jalur versi yang berpotensi terdampak. Pemilik website perlu mencocokkannya dengan versi PHP yang berjalan di server masing-masing.
- PHP versi 8.5
- PHP versi 8.4
- PHP versi 8.3
- PHP versi 8.2
PHP 8.1 dan versi lebih lama juga berpotensi terdampak. Bedanya, jalur versi tersebut sudah berstatus end-of-life (EOL) atau tidak lagi menerima dukungan resmi, sehingga perbaikannya tidak lagi disediakan oleh pengelola PHP.
Langkah Mitigasi yang Diminta BSSN
BSSN menyusun tiga tindakan pengamanan yang bisa langsung dijalankan pengelola layanan web. Prioritas utamanya adalah memastikan pembaruan diterapkan pada seluruh runtime PHP yang digunakan.
- Memastikan pembaruan diterapkan pada seluruh runtime PHP yang digunakan oleh layanan web.
- Memperbarui versi PHP ke rilis yang telah diperbaiki: PHP 8.5.12, 8.4.27, 8.3.36, atau 8.2.35 sesuai jalur versi yang dipakai.
- Apabila pembaruan belum dapat dilakukan, membatasi akses jaringan ke sistem terdampak atau mengisolasi layanan yang terhubung ke internet hingga patch dapat diterapkan.
Komdigi: Konfigurasi Saja Tidak Cukup
Kementerian Komunikasi dan Digital (Komdigi) mengeluarkan imbauan terpisah pada hari yang sama. Pengelola sistem diminta memprioritaskan pembaruan pada instalasi PHP yang terdampak, bukan menundanya.
"Pengelola sistem diimbau memprioritaskan pembaruan pada instalasi PHP yang terdampak. Tindakan utama untuk menutup kedua kerentanan ini adalah memasang security update yang sesuai; perubahan konfigurasi saja tidak memberikan perlindungan menyeluruh," kata Komdigi dalam keterangannya, Kamis (22/10).
Mengapa Urusannya Mendesak
PHP masih menjadi tulang punggung sebagian besar situs web, termasuk platform e-commerce, sistem pemerintahan, dan aplikasi internal perusahaan di Indonesia. Celah yang bisa dieksploitasi tanpa autentikasi membuat permukaan serangan melebar ke seluruh layanan yang berjalan di atas runtime tersebut.
Bagi pelaku bisnis digital, risiko terbesarnya bukan hanya server yang tumbang. Data pelanggan, transaksi, dan kredensial yang tersimpan di aplikasi berbasis PHP ikut terancam jika eksekusi kode jarak jauh berhasil.
Pengelola website sebaiknya memeriksa versi PHP melalui panel hosting atau konfigurasi server, lalu menjadwalkan patch di luar jam sibuk. Untuk layanan yang belum bisa diperbarui segera, isolasi jaringan menjadi opsi sementara yang direkomendasikan BSSN.
