Pada Rabu 21 Oktober 2026 lalu, PHP merilis perbaikan darurat untuk dua celah keamanan kritis di sistem mereka. Kita tahu PHP adalah mesin di balik sebagian besar website termasuk semua situs berbasis WordPress. Bisa dipastikan sebagian besar situs media anggota AMSI akan terdampak.
Sesuai pengumuman tersebut, ada dua celah keamanan CVE-2026-109618 dan CVE-2026-109619 dengan skor kerentanan tinggi CVSS 9.2. Kedua celah ini memungkinkan pihak luar (unauthorized) mengambil alih server tanpa login (unauthenticated).
Untuk itu, proses pengkinian diperlukan untuk semua PHP yang digunakan berikut ini: PHP 8.5, versi yang lebih tua dari 8.5.12, PHP 8.4 versi yang lebih tua dari 8.4.27, PHP 8.3 versi yang lebih tua dari 8.3.36, PHP 8.2 versi yang lebih tua dari to 8.2.35, atau versi yang sudah tidak didukung (end-of-life branches) yaitu PHP 8.1 dan yang lebih tua.
Update ke PHP versi 8.5.12, 8.4.27, 8.3.36 atau 8.2.35 sesegera mungkin dari sini: https://www.php.net/downloads.php?source=Y
Untuk yang menggunakan PHP versi 8.1 atau yang lebih tua, dukungan terbatas hanya tersedia dengan melakukan patch melalui source code (source-backports) untuk versi
7.4 dari (https://github.com/php/php-src/tree/PHP-7.4-CVE-2026-109618-109619),
8.0 dari (https://github.com/php/php-src/tree/PHP-8.0-CVE-2026-109618-109619),
dan 8.1 (https://github.com/php/php-src/tree/PHP-8.1-CVE-2026-109618-109619).
Update ke versi yang direkomendasikan adalah satu-satunya solusi yang tersedia. Jika proses update belum bisa dilakukan, ada beberapa langkah pengaturan yang bisa dilakukan melalui file php.ini, tetapi ini tidak membuat instalasi PHP-nya aman. Ini hanya referensi tindakan yang perlu dilakukan bila belum dapat melakukan proses pengkinian (update): https://www.php.net/index.php#2026-10-21-5.
Mengingat tingkat ancaman yang tinggi, kami merekomendasikan semua anggota AMSI untuk memberikan perhatian penuh untuk melakukan langkah-langkah ini.
