Jakarta, Businessreview.id — Perusahaan dan pengelola layanan digital diminta segera memperbarui PHP dan Node.js setelah pengembang kedua platform tersebut merilis pembaruan untuk menutup sejumlah kerentanan keamanan serius pada 21 Oktober 2026.
Dua kerentanan pada PHP yang dikenal sebagai PHP2Shell, yaitu CVE-2026-109618 dan CVE-2026-109619, memperoleh skor CVSS 9,2 atau masuk kategori kritis. Celah tersebut berpotensi memungkinkan penyerang menjalankan kode berbahaya dari jarak jauh tanpa harus melakukan autentikasi terlebih dahulu.
Jika berhasil dieksploitasi, kerentanan itu dapat membuka akses terhadap server, mengubah konten situs, mencuri data sensitif, memasang perangkat lunak berbahaya, hingga mengganggu operasional layanan digital perusahaan.
Persoalan tersebut tidak hanya menimbulkan risiko teknis. Gangguan pada situs web, aplikasi, dan data pelanggan dapat berdampak terhadap operasional bisnis, reputasi perusahaan, serta kepercayaan pengguna.
Pembaruan menjadi Langkah Utama
Tim pengembang PHP telah menyediakan pembaruan keamanan melalui PHP 8.2.35, PHP 8.3.36, PHP 8.4.27, dan PHP 8.5.12. Pengguna versi terdampak dianjurkan segera beralih ke versi yang telah memperoleh perbaikan.
Pengembang PHP menegaskan tidak tersedia mitigasi yang sepenuhnya dapat menggantikan pembaruan. Oleh karena itu, peningkatan ke versi yang sudah ditambal menjadi pilihan paling aman. PHP 8.2 juga dijadwalkan mencapai akhir masa dukungan pada 31 Desember 2026.
Perusahaan yang masih menggunakan PHP 8.1 atau versi lebih lama perlu memberikan perhatian khusus karena versi tersebut tidak lagi memperoleh pembaruan keamanan reguler langsung dari proyek PHP. Pengelola sistem perlu memeriksa dukungan dari penyedia layanan atau merencanakan migrasi menuju versi yang masih didukung.
Direktur Utama PT Nusa Network Prakarsa Edward mengatakan kasus PHP2Shell memperlihatkan bahwa ancaman siber dapat berasal dari komponen teknologi yang selama ini digunakan untuk menjalankan kegiatan bisnis sehari-hari.
“Kasus PHP2Shell menjadi pengingat bahwa ancaman siber dapat muncul dari teknologi yang digunakan untuk menjalankan situs web dan aplikasi. Karena itu, perusahaan perlu memastikan sistemnya selalu mendapatkan pembaruan keamanan dan tidak mengabaikan potensi celah yang dapat dimanfaatkan oleh pihak yang tidak bertanggung jawab,” ujar Edward.
Menurut dia, perlindungan sistem tidak cukup dilakukan setelah serangan terjadi. Perusahaan perlu menjalankan pemeriksaan berkala, memantau aktivitas mencurigakan, dan menyiapkan prosedur penanganan insiden.
Pembaruan perangkat lunak juga belum tentu menyelesaikan seluruh persoalan apabila server sudah disusupi sebelum perbaikan diterapkan. Setelah memperbarui sistem, pengelola perlu memeriksa log akses, perubahan berkas, akun pengguna, koneksi keluar, dan aktivitas lain yang tidak dikenal.
Baca Juga: Surat Transaksi Saham RSIA Family Beredar, Kuasa Hukum Ajukan Keberatan
Node.js Juga Merilis Pembaruan Keamanan
Selain PHP, proyek Node.js merilis pembaruan untuk sejumlah kerentanan dengan tingkat keparahan tinggi, sedang, dan rendah.
Salah satu kerentanan dengan tingkat keparahan tinggi adalah CVE-2026-111497. Celah berupa out-of-bounds write pada Brotli decoder itu berpotensi memungkinkan terjadinya eksekusi kode jarak jauh.
Kerentanan lain mencakup pemotongan nama domain yang mengandung karakter NUL serta kelemahan validasi nama host dalam sertifikat TLS. Versi Node.js 22.x, 24.x, dan 26.x terdampak dalam cakupan yang berbeda.
Versi yang telah memperoleh perbaikan adalah Node.js 22.23.4, Node.js 24.22.1, dan Node.js 26.12.1. Proyek Node.js menetapkan tingkat keparahan tertinggi dalam rangkaian pembaruan tersebut sebagai kategori high.
Baca Juga: Samsung Galaxy Tab S12 Series Resmi Dijual di Indonesia, Harga Mulai Rp21,9 Juta
Dewaweb Lakukan Penambalan Server
Menanggapi kerentanan tersebut, Dewaweb menyatakan tim administrator tingkat lanjut atau L3 Admin sedang melakukan patching keamanan pada infrastruktur cloud server, DewaVPS, Dewacloud, dan server pelanggan yang berada dalam layanan pengelolaan perusahaan.
Dewaweb juga memantau pengumuman dan pembaruan dari PHP, Node.js, CloudLinux, serta sejumlah vendor terkait. Pelanggan yang menggunakan PHP atau Node.js disarankan memeriksa versi yang digunakan dan melakukan pembaruan secepatnya.
Bagi pengguna cloud hosting Dewaweb, versi PHP dapat diperiksa melalui menu Select PHP Version pada bagian Software di cPanel. Pengguna Node.js dapat membuka menu Setup Node.js App, memilih aplikasi, mengganti versi yang digunakan, lalu menjalankan ulang aplikasi.
Perusahaan mengingatkan pelanggan untuk melakukan pencadangan data serta memeriksa kompatibilitas aplikasi, plugin, dan dependensi sebelum mengubah versi. Pembaruan yang dilakukan tanpa pengujian dapat menyebabkan situs atau aplikasi berhenti berfungsi apabila masih bergantung pada komponen lama.
Baca Juga: Samsung Innovation Campus Pilih 6.000 Peserta untuk Pelatihan Coding
Apabila versi perbaikan belum tersedia di cPanel, pelanggan disarankan menghubungi layanan dukungan untuk memastikan status pembaruan paket keamanan pada server.
Untuk pelanggan DewaVPS, pembaruan PHP dan Node.js harus dilakukan pada server masing-masing. Sementara pada layanan Dewacloud, perusahaan menyatakan masih melakukan pengujian paket terbaru sebelum menyediakan pembaruan melalui dasbor.
Selama menunggu pembaruan, Dewaweb menyarankan pelanggan Dewacloud menggunakan perlindungan tambahan, antara lain mengamankan domain melalui Cloudflare dan mengaktifkan managed web application firewall rules. Namun, perlindungan WAF harus dipahami sebagai lapisan tambahan, bukan pengganti pembaruan versi.
Perusahaan Perlu Memeriksa Kemungkinan Kompromi
Langkah paling mendesak bagi perusahaan adalah memetakan seluruh situs dan aplikasi yang menggunakan PHP atau Node.js, lalu memeriksa apakah versinya termasuk dalam kelompok terdampak.
Baca Juga: Toyota bZ4X Touring Diuji di Medan Off-Road, Tenaganya Tembus 280 kW
Prioritas tidak cukup berhenti pada server yang menghadap langsung ke internet. Aplikasi internal, panel administrasi, sistem uji coba, dan layanan lama yang masih aktif juga dapat menjadi pintu masuk serangan apabila tidak diperbarui.
Perusahaan selanjutnya perlu memastikan pencadangan data dapat dipulihkan, meninjau hak akses pengguna, mengganti kredensial apabila ditemukan indikasi penyusupan, serta melakukan pemeriksaan terhadap komponen aplikasi dan dependensi pihak ketiga.
Kasus PHP2Shell menegaskan bahwa penggunaan layanan digital membawa kewajiban pemeliharaan berkelanjutan. Menunda pembaruan karena khawatir terhadap kompatibilitas dapat mempertahankan risiko keamanan, sedangkan memperbarui sistem tanpa pencadangan dan pengujian dapat mengganggu operasional. (*)
