KALIMANTAN TIMUR — Dua kerentanan kritis pada PHP, CVE-2026-109618 dan CVE-2026-109619, memaksa sejumlah organisasi menonaktifkan situs mereka karena berpotensi dieksploitasi untuk menjalankan kode dari jarak jauh. PHP Foundation merilis pembaruan PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 pada Rabu (21/10) setelah FBI mengeluarkan imbauan resmi. Celah yang tersembunyi lebih dari satu dekade ini ditemukan lewat bantuan kecerdasan buatan.
PHP menjadi fondasi bagi sebagian besar situs web dunia, termasuk WordPress, Drupal, Joomla, dan Magento. Kerentanan pada inti bahasa pemrograman open source berusia lebih dari 30 tahun itu membuat pengelola situs, terutama portal lembaga pemerintah yang menyimpan data sensitif, memilih mematikan layanannya sementara.
Dua kode kerentanan itu memungkinkan pelaku kejahatan siber menjalankan kode dari jarak jauh di inti PHP. Dampaknya berpotensi membahayakan data sensitif hingga jaringan tempat server beroperasi.
Yang membuat temuan ini menonjol: celah tersebut tersembunyi selama lebih dari sepuluh tahun tanpa terdeteksi. Tim keamanan siber Calif menemukannya pada 1 Agustus dengan bantuan large language model, sementara Wiz memakai Wiz Atlas berbasis AI, Google Gemini 4 Argon, dan OpenAI GPT-5.6 Sol.
Metode penemuan itu sekaligus memberi peringatan baru. Teknik yang sama bisa dipakai peretas untuk mempercepat pencarian celah serupa di sistem lain.
PHP Foundation mengeluarkan seruan pengamanan pada Rabu (21/10) dan menyediakan empat versi pembaruan sekaligus. Pengguna PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35 diminta segera memperbarui instalasi masing-masing.
Pada hari yang sama, lembaga keamanan siber di berbagai negara mengimbau hal serupa. Jika pembaruan belum bisa dilakukan, opsi yang disarankan adalah menonaktifkan situs sementara sampai perbaikan selesai.
FBI mengunggah imbauan lewat akun X pada Rabu (21/10), meminta seluruh organisasi pemerintahan dan pengelola situs berbasis PHP mengambil langkah mitigasi. Prioritas utama diberikan pada sistem yang terhubung langsung ke internet.
Banyak situs layanan publik dan platform bisnis di Indonesia dibangun di atas CMS yang bergantung pada PHP. Pembaruan versi menjadi tindakan paling mendesak, terutama bagi server yang menghadap langsung ke internet.
Log server dan log PHP sebaiknya disimpan rapi sejak sekarang. Selain membantu investigasi jika terjadi insiden, data itu bisa menjadi bukti pelaporan ke otoritas keamanan siber.
Pengelola situs yang belum menerapkan patch berisiko menghadapi eksploitasi aktif. PHP Foundation dan FBI menempatkan pembaruan versi sebagai langkah pertama sebelum mitigasi lain dipertimbangkan.