Deskripsi: Panduan pemula tentang kerja PHP, perbedaan dengan SQL, risiko serangan server, cara mengecek versi dan memasang perbaikan.
Apakah internet akan mati tepat waktu?
Muncul peringatan: PHP memiliki dua celah keamanan parah dan perbaikan akan diterbitkan pada 21 Oktober. Apakah internet tiba-tiba berhenti berfungsi pada jam tertentu?
21 Oktober 2026 pukul 14.00 UTC (21.00 WIB) adalah jadwal rilis perbaikan, bukan jadwal dimulainya serangan. Pengelola situs yang menggunakan PHP perlu bersiap. Pengunjung biasa harus mewaspadai pesan penipuan yang menggunakan kabar ini.
PHP itu apa? Bayangkan ruang belakang toko online
PHP adalah bahasa pemrograman yang berjalan di server web. Saat pembeli menekan Beli, program dapat memeriksa sesi login, melihat stok dan harga, mencatat pesanan, lalu mengirim hasil ke layar. WordPress, toko online, dan portal kantor banyak memakainya. Pembayaran bisa diproses penyedia terpisah. PHP adalah pekerja di balik layar.
Bisakah F12 menampilkan kode PHP?
Alat pengembang di browser menampilkan HTML (susunan halaman), CSS (tampilan), dan JavaScript (interaksi). PHP berjalan di server sehingga browser biasanya hanya menerima hasilnya. Yang terlihat hidangan, bukan resep di dapur.
Di Chrome tekan F12 → Network → muat ulang → pilih dokumen utama → Headers. X-Powered-By: PHP/... atau alamat .php bisa menjadi petunjuk, tetapi dapat disembunyikan. F12 tidak dapat memastikan ada atau tidaknya kerentanan.
| Teknologi | Tugas utama |
|---|---|
| HTML / CSS | Struktur / tampilan halaman |
| JavaScript | Interaksi browser dan juga program server |
| PHP | Login, pengambilan data, pencatatan di server |
| Python / Java / Go | Bahasa lain untuk aplikasi backend |
| SQL | Mengambil dan mengubah isi database |
| P2P | Cara perangkat saling terhubung, bukan bahasa |
SQL sering dipakai oleh PHP, bukan pengganti langsung PHP.
Apa yang sudah dikonfirmasi?
PHP adalah bahasa yang menjalankan aplikasi di server, termasuk WordPress. Pada 20 Oktober, tim keamanan PHP mengumumkan dua kerentanan kritis, masing-masing mendapat nilai 9,2 dari 10 menurut CVSS v4.0. Perbaikan bisa diterbitkan lebih awal jika diperlukan.
Saat laporan ini diperiksa sebelum rilis, PHP belum mengumumkan daftar pasti versi terdampak, nomor versi yang diperbaiki, maupun rincian teknisnya. Laporan luar mengenai eksekusi kode jarak jauh dan nomor identifikasi tidak boleh dianggap sebagai konfirmasi resmi PHP. Lembaga Jepang IPA juga menyatakan belum memastikan adanya serangan menggunakan kedua celah ini pada waktu peringatannya diterbitkan.
Nilai 9,2 adalah tingkat keparahan, bukan peluang 92% situs akan diretas malam ini. Keamanan server bukan undian hadiah gim.
Melewati login dan menjalankan perintah server itu berbeda
Bypass autentikasi berarti lolos dari pemeriksaan identitas. Eksekusi kode jarak jauh berarti memaksa server menjalankan instruksi yang seharusnya tidak diizinkan. Peringatan pihak luar membahas kemungkinan serangan tanpa login, tetapi pengumuman awal PHP belum memaparkan syarat teknis dan versi terdampak secara pasti.
Jika berhasil, penyerang mungkin dapat memakai izin proses PHP untuk membaca berkas, mengubah artikel, atau mengakses database tanpa melalui halaman admin. Data pelanggan, harga, dan persetujuan kantor juga bisa terdampak. Dampak sebenarnya tergantung hak akses dan pemisahan sistem.
Tentukan prioritas berdasarkan kondisi nyata
| Kondisi | Prioritas | Alasan dan langkah |
|---|---|---|
| Publik + belum ditambal + banyak data pribadi | Paling mendesak | Bisa diakses dari luar, kerugian besar: tambal, batasi akses, simpan log |
| Publik + belum ditambal + database kantor terhubung | Paling mendesak | Situs publik dapat menjadi jalan ke data internal: batasi izin dan perbarui |
| Publik + belum ditambal + sedikit data rahasia | Tinggi | Situs dapat dirusak atau dijadikan batu loncatan: segera perbarui |
| Hanya jaringan kantor + belum ditambal + data penting | Tinggi | Komputer internal yang terinfeksi/VPN dapat menjangkaunya: perbarui dan cek akses |
| Internal + belum ditambal + sedikit data | Sedang–tinggi | Risiko merambat ke sistem lain: batasi jaringan dan tambal |
| Sudah ditambal + data penting | Tetap selidiki | Penyusupan mungkin terjadi sebelum perbaikan |
| Tidak memakai PHP | Tidak terdampak langsung | Periksa layanan pendukung |
Paparan internet, hak proses PHP, data penting, hubungan dengan server lain, dan status tambalan dapat memperbesar bahaya secara bersamaan.
Cara memeriksa server sendiri
Urutannya: lokasi penggunaan PHP → versi PHP yang benar-benar melayani situs → versi terdampak resmi → status pemasangan tambalan.
Di WordPress buka Tools → Site Health → Info → Server. Pembaruan WordPress dan plugin berbeda dari pembaruan PHP. Penyewa hosting perlu membaca pemberitahuan penyedia. Pengelola server dapat memeriksa php -v, tetapi itu versi terminal dan mungkin berbeda dari versi web; cek juga PHP-FPM, container, dan paket sistem operasi. Jangan mencoba menyerang server milik orang lain.
Apakah memperbarui WordPress saja cukup?
Memperbarui WordPress atau plugin belum tentu memperbarui PHP yang berjalan di server. Periksa Tools → Site Health → Info → Server untuk melihat versi PHP. Pengguna hosting sebaiknya mengecek pengumuman penyedia; pengelola server sendiri perlu mendata penggunaan PHP, menyiapkan cadangan, pemulihan, dan orang yang bertanggung jawab.
Setelah perbaikan dirilis, cocokkan versi yang terdampak, ikuti petunjuk resmi, lalu uji login, penerbitan artikel, dan formulir. Mengubah server aktif tanpa pemeriksaan adalah perjudian yang mahal.
Apa yang harus dilakukan sebelum dan setelah perbaikan?
Daftar semua layanan PHP, penanggung jawab, cadangan data dan cara memulihkannya. Saat versi resmi tersedia, ikuti petunjuk PHP atau vendor, perbarui PHP yang sedang melayani situs, mulai ulang layanan jika perlu, lalu uji login, posting, formulir, pesanan dan koneksi layanan lain.
Jika tidak bisa segera memperbarui, kurangi akses publik, batasi hak database, dan gunakan firewall web sebagai pelindung tambahan. Mengubah satu setelan unggahan saja tidak menjamin kedua celah teratasi. Jika risikonya sangat besar, pertimbangkan menghentikan atau memisahkan layanan sementara.
Jika ada dugaan penyusupan, simpan log dan bukti; periksa akun, berkas, dan koneksi mencurigakan dengan bantuan ahli. Memperbaiki kunci tidak otomatis mengembalikan daftar pelanggan yang sudah dicuri. AI dapat mempercepat pemindaian, tetapi pengumuman celah bukan bukti kebocoran massal.
Kalau situs tidak memakai PHP?
Situs statis atau layanan JavaScript/TypeScript yang tidak menjalankan PHP sama sekali tidak langsung terdampak celah pada PHP itu sendiri. Namun perangkat, panel pengelolaan, atau layanan lain mungkin tetap memakai PHP. Menggunakan Cloudflare tidak membuktikan bahwa server asal sudah diperbaiki.
Pertanyaan pertama: PHP ada di mana, siapa yang memperbarui, dan bagaimana hasilnya diperiksa?
Apa yang harus dilakukan pengunjung?
Pengunjung tidak bisa memperbaiki server orang lain. Bila menerima pesan “verifikasi keamanan mendesak”, buka langsung aplikasi atau situs resmi yang biasa digunakan, bukan tautan dalam pesan.
Pertanyaan singkat
Haruskah pindah dari PHP ke Python? Biasanya perbaikan resmi PHP jauh lebih tepat daripada menulis ulang seluruh aplikasi.
Apakah semua pengguna harus mengganti kata sandi? Tidak hanya karena berita ini. Jika ada laporan kebocoran nyata, periksa lewat situs resmi.
Apakah Cloudflare sudah cukup? Tidak. Perlindungan tambahan tidak membuktikan server sudah ditambal.
Apakah nilai 9,2 berarti peluang diretas 92%? Tidak. Itu penilaian tingkat keparahan.
Apa internet akan meledak pukul 21.00?
Bukan jam ledakan, melainkan jadwal datangnya suku cadang untuk perbaikan. Setelah itu masih harus dipasang. Informasi diperiksa 21 Oktober 2026 sekitar 10.47 UTC, sebelum rilis. Cek situs resmi PHP untuk detail versi akhirnya.
- PHP Security Team, 2026-10-20: https://www.php.net/archive/2026.php#2026-10-20-1
- IPA, 2026-10-21: https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html
- WordPress documentation: https://wordpress.org/documentation/article/site-health-screen/
- Cloudflare Workers languages: https://developers.cloudflare.com/workers/languages/
- PHP manual, basic web execution: https://www.php.net/manual/en/tutorial.firstpage.php
- Chrome DevTools, Network requests and response headers: https://developer.chrome.com/docs/devtools/network/reference
- CERT-EU Security Advisory 2026-018, 2026-10-20/21: https://cert.europa.eu/publications/security-advisories/2026-018/
- PHP official support periods: https://www.php.net/supported-versions.php
