Badan Siber dan Sandi Negara (BSSN) memperingatkan pemilik dan pengelola website terkait dampak dua celah keamanan kritis pada PHP. Melalui unggahan di platform X pada Kamis (22/10), BSSN meminta pihak pengelola untuk segera bertindak dan mengambil alih pengamanan guna mengurangi risiko serangan siber.
Dampak Kerentanan Kritis PHP
Celah keamanan yang teridentifikasi dengan kode CVE-2026-109618 dan CVE-2026-109619 ini berpotensi dimanfaatkan oleh penyerang untuk menjalankan kode berbahaya dari jarak jauh atau remote code execution (RCE).
Berdasarkan laporan Security Advisory BSSN yang diterbitkan pada Kamis (22/10), celah CVE-2026-109618 terjadi ketika PHP mengalami masalah dalam penanganan out-of-memory (OOM) atau saat memori komputer tidak lagi mencukupi. Kondisi tersebut dapat memicu kesalahan dalam pengelolaan memori ketika server memproses permintaan HTTP dari pengguna.
Melalui celah ini, peretas dapat mengirimkan permintaan khusus ke server tanpa perlu masuk atau melakukan autentikasi terlebih dahulu. Apabila serangan berhasil, peretas berpotensi menjalankan perintah atau kode berbahaya dari jarak jauh pada server yang terdampak.
Sementara itu, celah CVE-2026-109619 ditemukan pada mekanisme pengelolaan memori PHP saat program masih mencoba mengakses bagian memori yang sebenarnya sudah tidak digunakan dan telah dilepaskan. Kesalahan ini dapat mengganggu kerja server dan membuka peluang bagi peretas untuk menjalankan kode berbahaya dari jarak jauh tanpa autentikasi. Kendati demikian, BSSN menyatakan keberhasilan eksploitasi bergantung pada kondisi pemrosesan permintaan serta konfigurasi lingkungan PHP.
Versi Terdampak dan Langkah Mitigasi
BSSN mengungkapkan sejumlah versi PHP yang terdampak, yaitu PHP versi 8.5, PHP versi 8.4, PHP versi 8.3, PHP versi 8.2, serta PHP versi 8.1 dan yang lebih lama yang berpotensi terdampak serta telah berstatus end-of-life (EOL) atau tidak lagi mendapat dukungan resmi.
Lebih lanjut, BSSN memaparkan langkah mitigasi untuk menangani kasus tersebut, di antaranya memastikan pembaruan diterapkan pada seluruh runtime PHP yang digunakan oleh layanan web. Pengelola juga diminta memperbarui versi PHP ke versi yang telah diperbaiki seperti PHP 8.5.12, 8.4.27, 8.3.36, atau 8.2.35 sesuai jalur versi masing-masing.
Apabila pembaruan belum dapat dilakukan, pengelola disarankan untuk membatasi akses jaringan ke sistem terdampak atau mengisolasi layanan yang terhubung ke internet sampai patch dapat diterapkan. Dalam pernyataan berbeda, Kementerian Komunikasi dan Digital (Komdigi) mengimbau para pemilik dan pengelola website untuk tidak menunda pembaruan PHP.
Komdigi menyebut pengelola sistem perlu memprioritaskan pembaruan pada instalasi PHP yang terdampak sebagai langkah utama menutup kedua kerentanan tersebut. “Pengelola sistem diimbau memprioritaskan pembaruan pada instalasi PHP yang terdampak. Tindakan utama untuk menutup kedua kerentanan ini adalah memasang security update yang sesuai; perubahan konfigurasi saja tidak memberikan perlindungan menyeluruh,” ujar Komdigi dalam keterangannya, Kamis (22/10).
