Bikin Tumbang Situs, BSSN Peringatkan Dampak Celah Keamanan PHP

Badan Siber dan Sandi Negara (BSSN) memperingatkan pemilik dan pengelola website terkait dampak dua celah keamanan kritis pada PHP.

Dalam unggahan di platform X, BSSN meminta pemilik serta pengelola website untuk bertindak dan mengambil alih pengamanan guna mengurangi risiko serangan siber.

"Terdapat dua kerentanan krisis PHP CVE-2026-109618 dan CVE-2026-109619, pemilik dan pengelola website perlu bertindak," tulis BSSN dalam cuitannya di X, Kamis (22/10).

Celah keamanan yang teridentifikasi dengan kode CVE-2026-109618 dan CVE-2026-109619 ini berpotensi dimanfaatkan oleh penyerang untuk menjalankan kode berbahaya dari jarak jauh (remote code execution/RCE).

Lihat Juga : Bagaimana Celah Keamanan PHP Buat Lumpuh Situs di Berbagai Negara?

Berdasarkan laporan Security Advisory yang diterbitkan oleh BSSN pada Kamis (22/10), lembaga menungkap celah keamanan CVE-2026-109618 terjadi ketika PHP mengalami masalah dalam penanganan out-of-memory (OOM) atau memori komputer tidak lagi mencukupi.

Kondisi ini dapat menyebabkan kesalahan dalam pengelolaan memori saat server memproses permintaan HTTP yang dikirimkan oleh pengguna.

Melalui celah ini, peretas dapat mengirimkan permintaan khusus ke server tanpa perlu masuk atau melakukan autentikasi terlebih dahulu.

Jika serangan berhasil, peretas berpotensi menjalankan perintah atau kode berbahaya dari jarak jauh pada server yang terdampak.

Sementara itu, celah CVE-2026-109619 ditemukan pada mekanisme pengelolaan memori PHP. Kerentanan ini terjadi ketika PHP masih mencoba mengakses bagian memori yang sebenarnya sudah tidak digunakan dan telah dilepaskan.

Lihat Juga : AI Temukan Celah PHP, Situs Pemerintah Eropa Ramai-ramai Offline

Kesalahan ini dapat menggangu kerja server dan membuka peluang bagi peretas untuk menjalankan kode berbahaya dan membuka peluang bagi peretas untuk menjalankan kode berbahaya dari jarak jauh tanpa perlu melakukan autentikasi.

Meski demikian, BSSN menyebut keberhasilan eksploitasi bergantung pada kondisi pemrosesan permintaan dan konfigurasi lingkungan PHP.

BSSN turut mengungkap versi PHP yang terdampak seperti berikut:

• PHP versi 8.5
• PHP versi 8.4
• PHP versi 8.3
• PHP versi 8.2

PHP versi 8.1 dan lebih lama yang berpotensi terdampak, serta telah berstatus end-of-life (EOL) atau tidak lagi mendapat dukungan resmi.

Lebih lanjut, BSSN turut mengungkap langkah mitigasi untuk menangani kasus tersebut, di antaranya sebagai berikut.

1. Memastikan pembaruan diterapkan pada seluruh runtime PHP yang digunakan oleh layanan web.
2. Perbarui versi PHP ke yang telah diperbaiki seperti PHP 8.5.12/8.4.27/8.3.36/8.2.35 sesuai jalur versi.
3. Apabila pembaruan belum dapat dilakukan, membatasi akses jaringan ke sistem terdampak atau mengisolasi layanan yang terhubung ke internet hingga patch dapat diterapkan.

Dalam pernyataan berbeda, Kementerian Komunikasi dan Digital (Komdigi) mengimbau para pemilik dan pengelola website untuk tidak menunda pembaruan PHP.

Komdigi menyebut pengelola sistem perlu memprioritaskan pembaruan pada instalasi PHP yang terdampak.

"Pengelola sistem diimbau memprioritaskan pembaruan pada instalasi PHP yang terdampak. Tindakan utama untuk menutup kedua kerentanan ini adalah memasang security update yang sesuai; perubahan konfigurasi saja tidak memberikan perlindungan menyeluruh," kata Komdigi dalam keterangannya, Kamis (22/10).