Korea Selatan Mendesak Pembaruan PHP setelah Dua Celah Picu Respons Keamanan Internasional

Perbaikan darurat menargetkan dua kelemahan pada perangkat lunak web yang banyak digunakan

Badan Internet dan Keamanan Korea Selatan (KISA) mendesak operator situs web untuk memperbarui PHP pada 21 Oktober 2026, setelah dua celah keamanan ditemukan pada perangkat lunak yang digunakan untuk menjalankan halaman login, layanan belanja, dan forum diskusi. Risiko yang dilaporkan mencakup kemungkinan penyerang menjalankan kode di server tanpa harus login terlebih dahulu.

KISA mengidentifikasi kerentanan tersebut sebagai CVE-2026-109618, yang melibatkan penanganan kondisi pengecualian yang tidak tepat, dan CVE-2026-109619, yang melibatkan penggunaan memori setelah dilepaskan. Ambang pembaruan yang ditetapkan mencakup empat cabang rilis PHP: 8.2.35, 8.3.36, 8.4.27, dan 8.5.12.

Kementerian Sains dan TIK Korea Selatan serta KISA kemudian mengirimkan imbauan keamanan pada malam 21 Oktober kepada perusahaan dan institusi dalam jaringan keamanan siber nasional. Otoritas pemerintah menjelaskan langkah tersebut pada 22 Oktober. Bantuan darurat untuk membantu usaha kecil memasang tambalan keamanan sedang dipertimbangkan.

Kelemahan yang secara kolektif disebut PHP2Shell itu memicu respons internasional. Sejumlah institusi pemerintah di Belanda dan Finlandia dilaporkan menangguhkan situs web sebagai langkah pencegahan, sementara otoritas keamanan siber di Eropa, Jepang, dan Australia mendesak pembaruan. Badan-badan AS juga dilaporkan menyarankan agar sistem terdampak dinonaktifkan sementara jika penambalan segera tidak memungkinkan.

Versi PHP mana yang perlu diperhatikan?

Imbauan KISA menetapkan versi minimum yang berbeda untuk setiap cabang PHP terdampak. Cabang adalah kelompok rilis: misalnya, situs web yang menggunakan PHP 8.3 memerlukan rilis yang telah diperbaiki dalam kelompok tersebut atau versi lebih baru yang masih didukung.

• PHP 8.2: perbarui versi yang lebih lama dari 8.2.35.
• PHP 8.3: perbarui versi yang lebih lama dari 8.3.36.
• PHP 8.4: perbarui versi yang lebih lama dari 8.4.27.
• PHP 8.5: perbarui versi yang lebih lama dari 8.5.12.

KISA juga memperingatkan bahwa PHP 8.1 dan versi sebelumnya telah mencapai akhir dukungan keamanan resmi. Operator yang menggunakan rilis tersebut disarankan beralih ke versi yang masih didukung, alih-alih tetap menggunakan perangkat lunak yang pemeliharaan keamanan resminya telah berakhir.

Bagi pemilik usaha, langkah awal yang praktis adalah memeriksa versi PHP yang berjalan di server situs web. Perusahaan hosting mungkin mengelola perangkat lunak tersebut, atau tanggung jawabnya bisa berada pada tim teknologi internal. Memperbarui browser di laptop berarti mengubah bagian sistem yang berbeda.

Dampak yang dapat ditimbulkan kedua celah

CVE-2026-109618 berkaitan dengan kondisi pengecualian, yaitu situasi ketika perangkat lunak menghadapi sesuatu di luar operasi normalnya. Program perlu menangani situasi tersebut dengan aman. Kegagalan dalam penanganan itu dapat membuat perangkat lunak berperilaku di luar semestinya.

CVE-2026-109619 dijelaskan sebagai kerentanan penggunaan setelah memori dibebaskan. Perangkat lunak untuk sementara mencadangkan area memori komputer dan melepaskannya setelah tidak lagi digunakan. Jenis celah ini terjadi ketika program kemudian mencoba menggunakan area yang sudah dilepaskan, sehingga berpotensi mengakses data yang telah berubah atau milik proses lain.

Bahaya yang dilaporkan adalah eksekusi kode jarak jauh tanpa autentikasi. Sederhananya, seseorang dari luar situs web berpotensi membuat servernya menjalankan perintah tanpa memberikan nama pengguna atau kata sandi yang valid. Serangan yang berhasil dapat mengekspos informasi, memasang perangkat lunak berbahaya, atau mengganggu layanan.

Konfigurasi server dan kondisi permintaan yang diperlukan untuk mengeksploitasi masing-masing kelemahan tidak dijelaskan secara spesifik dalam pengumuman yang disampaikan kepada publik. Karena itu, operator perlu memeriksa versi perangkat lunak yang terdampak dan memperoleh panduan teknis untuk instalasi mereka sendiri.

Mengapa WordPress membuat masalah ini relevan bagi usaha biasa

PHP berjalan di server situs web, bukan di ponsel atau komputer pengunjung. Saat pelanggan meminta riwayat pesanan, program PHP dapat mengambil catatan terkait dari basis data dan menyiapkan halaman untuk dikirim kembali ke browser. Sistem login, kolom komentar, dan forum pesan dapat bekerja dengan cara serupa.

WordPress, perangkat untuk membuat dan mengelola situs web, juga berjalan menggunakan PHP. Hal ini membuat respons keamanan tersebut relevan bagi blog, situs perusahaan, dan toko online yang pemiliknya mungkin jarang berhubungan langsung dengan bahasa pemrograman yang mendasarinya.

Data yang dikaitkan dengan layanan pengukuran teknologi web W3Techs menunjukkan PHP digunakan oleh sekitar 75% situs web yang bahasa pemrograman servernya dapat diidentifikasi. WordPress digunakan oleh sekitar 43% dari seluruh situs web. Angka PHP memakai kelompok pengukuran yang lebih terbatas daripada angka WordPress: situs web dengan bahasa server yang dapat diidentifikasi, bukan semua situs web.

Angka-angka tersebut menjelaskan luasnya respons ini. Banyak situs web yang dikelola secara independen bergantung pada perangkat lunak dasar yang sama, sehingga satu upaya perbaikan dapat melibatkan institusi publik, perusahaan besar, dan usaha kecil secara bersamaan.

Korea Selatan menjangkau perusahaan melalui dua jalur keamanan

Kementerian Sains dan TIK serta KISA mengarahkan imbauan pada 21 Oktober kepada anggota C-TAS, sistem untuk menganalisis dan berbagi informasi ancaman siber, serta perusahaan yang diwajibkan menunjuk pejabat keamanan informasi utama atau CISO.

C-TAS memiliki sekitar 5.900 perusahaan dan institusi peserta. Sekitar 30.000 perusahaan diwajibkan berdasarkan undang-undang jaringan informasi dan komunikasi Korea Selatan untuk menunjuk CISO dan melaporkannya kepada kementerian. CISO adalah pejabat senior yang bertanggung jawab atas keamanan informasi organisasi.

Kedua angka tersebut menggambarkan kelompok penerima imbauan yang berbeda, meski sebagian anggotanya mungkin tumpang tindih. Pemerintah juga menggunakan portal keamanan siber publik KISA, yang dikenal sebagai Boho Nara, untuk merekomendasikan pembaruan keamanan dan pemasangan tambalan.

Usaha kecil menghadapi kendala praktis terkait tenaga kerja: sebagian tidak memiliki karyawan yang mampu mengidentifikasi instalasi terdampak, mengatur pembaruan, dan memastikan situs web tetap berfungsi setelahnya. Seorang pejabat kementerian mengatakan pemerintah telah lebih dulu menyebarkan panduan keamanan dan sedang mempertimbangkan bantuan penambalan darurat. Belum ada tanggal peluncuran atau ketentuan kelayakan yang diumumkan.

Perkembangan respons

Rangkaian peristiwa yang dilaporkan bermula dari audit keamanan eksternal pada 2024 dan berujung pada percepatan rilis perbaikan pada Oktober 2026. Tanggal-tanggal pentingnya adalah:

• 2024: Audit eksternal dilaporkan menemukan indikasi sejumlah cacat. Perbedaan pendapat internal dan kekhawatiran mengenai kompatibilitas dengan perangkat lunak yang ada disebut sebagai alasan pengembangan tambalan tidak dilanjutkan saat itu.
• 21 Oktober 2026: Pengembang PHP dilaporkan merilis perbaikan untuk dua kerentanan, dan KISA mengeluarkan imbauan pembaruan.
• Malam 21 Oktober: Otoritas Korea Selatan mengirimkan imbauan keamanan melalui jalur perusahaan dan institusi.
• 22 Oktober: Otoritas Korea Selatan menjelaskan langkah tersebut. Tanggal ini juga merupakan jadwal awal rilis tambalan.

Tambalan dilaporkan dimajukan satu hari setelah informasi tentang kerentanan bocor. Upaya serangan juga dilaporkan telah terdeteksi sebelum perbaikan diumumkan, sehingga operator semakin didesak untuk segera bertindak.

Penjelasan mengenai audit 2024 itu juga menyoroti tantangan pemeliharaan. Perubahan pada perangkat lunak bersama dapat memengaruhi aplikasi yang dibuat berdasarkan perilaku perangkat lunak tersebut sebelumnya. Kekhawatiran soal kompatibilitas dapat mempersulit koordinasi perbaikan, terutama ketika sebuah bahasa pemrograman mendukung banyak situs web dan pengaturan hosting yang berbeda.

Penemuan dengan AI dan riset keamanan independen

Perusahaan keamanan siber Calif dilaporkan mengidentifikasi kerentanan tersebut menggunakan model OpenAI yang disebut GPT-5.6 Sol. Cacat itu disebut luput teridentifikasi selama lebih dari satu dekade.

Perusahaan keamanan siber Wiz, yang terafiliasi dengan Google, dilaporkan menemukan dan mengajukan kedua kerentanan tersebut secara independen. Salah satu pendiri Wiz, Ami Luttwak, menyebutnya sebagai kerentanan paling serius yang ditemukan menggunakan AI dan mengatakan kompleksitasnya akan membuat penemuan tersebut sangat sulit tanpa AI.

OpenAI mengatakan telah menghabiskan dua bulan sebelumnya untuk mengoordinasikan para peneliti dan perusahaan keamanan siber guna mendukung respons tersebut. OpenAI juga memperkirakan penemuan serupa dengan AI akan meningkat tajam dalam beberapa bulan berikutnya.

Pekerjaan mendesak bagi operator situs web tetap konkret: mengidentifikasi perangkat lunak yang terpasang, menerapkan perbaikan yang sesuai, dan menjaga layanan tetap berfungsi. Penggunaan AI dalam penemuan ini menambah satu aspek lain pada cerita tersebut, di samping riset independen, koordinasi pengembang, dan distribusi tambalan.

Mengapa sejumlah otoritas menyarankan situs dinonaktifkan sementara

Badan Keamanan Nasional AS dilaporkan mendesak organisasi yang menggunakan PHP untuk segera memperbarui perangkat lunak, dengan memperingatkan bahwa eksploitasi dapat memberi penyerang akses ke sistem berkas atau basis data server. Badan itu menyarankan agar sistem terdampak dinonaktifkan sementara hingga kelemahan diperbaiki jika pembaruan segera tidak memungkinkan.

FBI dilaporkan mengeluarkan imbauan serupa, dengan memperingatkan risiko eksekusi kode jarak jauh serta kemungkinan terbukanya informasi dan jaringan sensitif. Sejumlah institusi pemerintah Belanda dan Finlandia menangguhkan situs web sebagai langkah pencegahan.

Menonaktifkan situs web menimbulkan dampak langsung: pengunjung tidak dapat mengakses layanan yang disediakan. Bagi toko, hal itu bisa berarti penjualan terhenti; bagi institusi publik, informasi atau formulir daring tidak dapat diakses. Rekomendasi tersebut mencerminkan seriusnya risiko membiarkan server yang rentan tetap terhubung ke internet sambil menunggu perbaikan.

Cloudflare mengatakan sedang memperbarui langkah perlindungannya agar sesuai dengan jalur serangan. Operator situs web tetap disarankan memasang perbaikan PHP untuk memperbarui perangkat lunak dasar ke versi yang ditetapkan dalam respons keamanan tersebut.

Langkah yang perlu dilakukan operator sekarang

Operator situs web perlu memastikan siapa yang mengendalikan instalasi PHP mereka dan membandingkan versinya dengan ambang yang ditetapkan KISA. Organisasi yang menggunakan penyedia hosting perlu meminta penyedia tersebut memastikan versi server dan pengaturan pembaruannya. Tim yang mengelola server sendiri perlu menangani perubahan itu secara langsung.

Perusahaan yang menjalankan WordPress perlu menyertakan runtime PHP dalam pemeriksaan tersebut, bersama pemeliharaan situs web rutin mereka. PHP merupakan lapisan perangkat lunak terpisah di bawah sistem manajemen konten, sehingga hanya mengetahui versi WordPress membuat sebagian instalasi belum diperiksa.

Operator yang menggunakan PHP 8.1 atau versi sebelumnya perlu beralih ke rilis yang masih didukung. Mereka yang sudah menggunakan cabang terdampak memerlukan versi terkait yang telah diperbaiki atau rilis lebih baru yang sesuai dan masih didukung. Menguji fungsi penting seperti login pelanggan, pengambilan pesanan, dan pembayaran dapat membantu menemukan masalah layanan selama pembaruan.

Poin Utama

• KISA mengeluarkan imbauan pembaruan keamanan PHP pada 21 Oktober 2026, dengan mengidentifikasi CVE-2026-109618 dan CVE-2026-109619.
• Ambang pembaruan yang ditetapkan adalah PHP 8.2.35, 8.3.36, 8.4.27, dan 8.5.12.
• KISA menyarankan pengguna PHP 8.1 dan versi sebelumnya beralih ke versi yang masih didukung.
• Risiko yang dilaporkan mencakup kemungkinan penyerang menjalankan kode dari jarak jauh tanpa login.
• Korea Selatan menghubungi anggota jaringan keamanan dan perusahaan yang diwajibkan menunjuk CISO.
• Bantuan penambalan darurat bagi usaha kecil di Korea Selatan sedang dipertimbangkan.
• Otoritas internasional mendesak pembaruan, dan sejumlah pihak menyarankan penonaktifan sementara jika penambalan segera tidak memungkinkan.