Poin utama. NCSC Inggris pada Rabu, 21 Oktober 2026 mengimbau organisasi segera memitigasi celah keamanan PHP kritis dengan kode CVE-2026-109618 dan CVE-2026-109619. Celah ini berpotensi memungkinkan eksekusi kode dari jarak jauh tanpa autentikasi, dan perbaikannya sudah tersedia.
Celah keamanan PHP kembali menjadi sorotan setelah National Cyber Security Centre atau NCSC, lembaga keamanan siber Inggris, menerbitkan peringatan pada Rabu, 21 Oktober 2026. Peringatan tersebut ditujukan bagi organisasi di Inggris, namun masalahnya menyangkut perangkat lunak yang dipakai secara global. PHP telah menerbitkan pembaruan keamanan untuk menutup celah kritis yang disebut dapat memungkinkan penyerang menjalankan perintah pada server web yang memakai PHP. NCSC mengategorikan pemberitahuan ini sebagai peringatan dan menyatakan akan terus memantau dampaknya bagi organisasi di Inggris. Bagi pengelola situs di Indonesia, isi peringatan ini tetap relevan karena PHP dipakai luas pada berbagai sistem.
Celah Keamanan PHP yang Diperingatkan NCSC
Menurut NCSC, masalah ini memungkinkan penyerang memicu kondisi kehabisan memori pada PHP yang berujung pada kerusakan memori. Pada kondisi tertentu, kerusakan tersebut dapat dimanfaatkan untuk mencapai eksekusi kode dari jarak jauh tanpa autentikasi. Artinya, penyerang berpotensi mengendalikan server tanpa perlu memiliki akun atau kata sandi. Celah ini telah diperbaiki oleh tim PHP melalui pembaruan keamanan terbaru. NCSC juga menjelaskan bahwa PHP berjalan di server web untuk menghasilkan konten halaman, berinteraksi dengan basis data, dan menangani logika aplikasi, serta dipakai pada berbagai produk lain.
Dua Kode CVE yang Disebut
NCSC menautkan peringatan ini ke dua kode kerentanan yang masing masing menjelaskan sisi berbeda dari masalah yang sama. Keduanya tercatat dalam advisori keamanan resmi proyek PHP.
- CVE-2026-109618 berkaitan dengan penanganan kehabisan memori yang dapat menghentikan PHP saat data internal permintaan baru terisi sebagian, sehingga proses pembersihan permintaan menganggap data yang tidak valid sebagai data yang valid
- CVE-2026-109619 berkaitan dengan kondisi internal milik permintaan yang masih tersisa setelah memori pendukungnya dibebaskan, sehingga permintaan berikutnya pada pekerja yang sama dapat memakai kondisi usang tersebut sebelum inisialisasi normal mengatur ulang
Dua deskripsi ini menunjukkan bahwa persoalannya terletak pada cara PHP mengelola memori saat menangani permintaan. Karena itu NCSC menekankan pentingnya pembaruan dan pemeriksaan menyeluruh, bukan sekadar menunggu tanda gangguan muncul. Penjelasan teknis lengkap tersedia pada advisori resmi proyek PHP bagi pihak yang membutuhkan rincian. Pembahasan di artikel ini sengaja dibatasi pada gambaran umum agar mudah dipahami pemilik situs maupun tim non teknis.
Siapa yang Terdampak
NCSC menyatakan organisasi yang memakai versi PHP apa pun terdampak, sehingga semua pihak sangat dianjurkan memperbarui ke versi terbaru yang sudah diperbaiki. Organisasi yang masih memakai versi lama dianjurkan beralih ke versi yang didukung penuh. NCSC juga mengingatkan agar pencarian sistem tidak dibatasi pada versi yang sudah usang, karena seluruh versi berpotensi terdampak. Produk dan layanan lain yang menyertakan PHP sebagai komponen ikut perlu diperhatikan, termasuk perangkat dan aplikasi pihak ketiga. Lembaga NCSC Belanda menerbitkan daftar inventaris produk perangkat lunak yang memiliki ketergantungan pada PHP dan berpotensi terdampak.
Langkah yang Dianjurkan NCSC
NCSC menyarankan organisasi mengikuti praktik terbaik dari pihak vendor dan menjalankan sejumlah langkah prioritas. Ringkasannya sebagai berikut.
- Mendata sistem berbasis PHP dengan memprioritaskan sistem yang terhubung ke internet
- Memantau pembaruan vendor termasuk untuk perangkat dan layanan yang menyertakan PHP
- Memperbarui PHP ke versi terbaru yang sudah diperbaiki
- Menerapkan langkah pengerasan tambahan yang diberikan tim PHP
- Memakai mitigasi sementara bila pembaruan belum bisa dilakukan
- Menonaktifkan sistem sementara bila mitigasi tidak dapat diterapkan dalam waktu singkat
NCSC menambahkan bahwa sistem yang tidak bisa segera diperbarui atau dinonaktifkan perlu diperiksa terhadap tanda penyusupan, termasuk pintu belakang yang mungkin dipasang penyerang. Bila organisasi tidak yakin mampu melakukannya sendiri, NCSC menyarankan bantuan penyedia respons insiden siber yang terakreditasi. Pemeriksaan ini penting karena sistem yang sudah disusupi tidak otomatis aman setelah pembaruan diterapkan. Organisasi di Inggris juga dapat memakai layanan Early Warning gratis dari NCSC untuk menerima pemberitahuan potensi ancaman pada jaringannya. Daftar di atas merupakan ringkasan anjuran NCSC, sehingga rincian pelaksanaannya tetap perlu mengikuti advisori resmi proyek PHP.
Dampak Celah Keamanan PHP bagi Situs di Indonesia
Peringatan NCSC memang ditujukan bagi organisasi di Inggris, tetapi PHP dipakai pada sistem di seluruh dunia, termasuk situs perusahaan, toko online, dan aplikasi internal di Indonesia. Karena NCSC menyebut semua versi PHP berpotensi terdampak, pemilik situs tidak cukup hanya memeriksa apakah versinya tergolong lama. Pengelola hosting dan tim teknis perlu memastikan server sudah memakai versi yang memuat perbaikan, serta memeriksa perangkat atau aplikasi pihak ketiga yang menyertakan PHP di dalamnya. Server yang dapat diakses dari internet menjadi prioritas karena paling mudah dijangkau penyerang.
Isu ini juga berkaitan dengan perlindungan data. Situs yang disusupi dapat menjadi pintu bocornya data pelanggan, seperti yang menjadi sorotan pada pengusutan dugaan jual beli data pribadi oleh Komdigi dan BSSN pada awal Oktober 2026. NCSC juga merujuk tulisan blognya tentang persiapan menghadapi gelombang pembaruan kerentanan, yang menggambarkan bahwa organisasi perlu siap menerapkan banyak perbaikan dalam waktu berdekatan. Informasi dalam artikel ini mengacu pada peringatan NCSC yang terbit pada 21 Oktober 2026 dan dapat diperbarui sewaktu waktu oleh lembaga terkait.
