PHP dan Node.js: Celah Menjalankan Kode dari Jarak Jauh

Pada 21 Oktober 2026, tim PHP dan tim Node.js sama-sama merilis pembaruan keamanan darurat. Kedua rilis menutup celah dengan jenis yang paling ditakuti di dunia keamanan: celah yang memungkinkan orang lain menjalankan kode di server Anda dari jarak jauh, istilah teknisnya remote code execution (RCE). Di PHP ada dua celah seperti ini, keduanya berstatus kritis. Di Node.js ada satu, berstatus "high".

Kalau website, toko online, atau aplikasi perusahaan Anda berjalan di atas PHP atau Node.js, artikel ini menjelaskan apa artinya bagi bisnis Anda, versi mana yang aman, dan apa yang perlu Anda minta ke tim IT atau penyedia hosting hari ini.

Apa artinya "menjalankan kode dari jarak jauh" bagi bisnis Anda

Bayangkan server website Anda sebagai kantor. Celah biasa mungkin membuat orang bisa mengintip lewat jendela. Celah RCE membuat orang bisa masuk dan memakai komputer di dalam kantor itu, tanpa kunci dan tanpa login, cukup dengan mengirim permintaan ke website Anda lewat internet.

Kalau celah seperti ini berhasil dipakai, penyerang bisa melakukan apa saja yang bisa dilakukan website Anda di server. Contohnya mengganti isi halaman, menyisipkan tautan spam atau program jahat untuk pengunjung, membaca data yang tersimpan, seperti pesan dari formulir kontak dan pengaturan database, atau memakai server Anda untuk menyerang pihak lain. Akibatnya bukan hanya teknis: website bisa diblokir browser, hilang dari Google, dan kepercayaan pelanggan turun.

Karena itu, celah RCE selalu masuk prioritas tertinggi. Serangan semacam ini biasanya dijalankan otomatis oleh program yang memindai ribuan website sekaligus. Website dipilih bukan karena besar atau kecilnya, melainkan karena belum diperbarui.

Dua celah kritis di PHP

Tim PHP merilis versi 8.5.12, 8.4.27, 8.3.36, dan 8.2.35, dan meminta semua pengguna PHP segera memperbarui. Kedua celah diberi nilai CVSS 9.2 dari 10, kategori kritis:

• CVE-2026-109618: muncul saat PHP kehabisan memori di awal memproses permintaan. Menurut advisori resmi, celah ini sudah terbukti bisa dipakai untuk menjalankan kode dari jarak jauh tanpa login di server Apache dengan mod_php, pada pengaturan bawaan.
• CVE-2026-109619: data dari satu permintaan tertinggal dan terbaca oleh permintaan berikutnya di proses yang sama. Akibatnya bisa berupa kebocoran isi memori sampai menjalankan kode dari jarak jauh.

Yang terdampak adalah semua versi PHP di bawah 8.2.35, 8.3.36, 8.4.27, dan 8.5.12. Advisori menyebut Apache mod_php sebagai yang paling jelas terdampak. PHP-FPM, yang banyak dipakai bersama Nginx, juga dinilai rentan dalam kondisi tertentu. Tim PHP menegaskan tidak ada cara pengamanan yang lengkap selain memperbarui.

Satu catatan penting: PHP 8.2 berhenti mendapat perbaikan keamanan pada 31 Desember 2026. Kalau website Anda masih di PHP 8.2 atau lebih lama, rencanakan pindah ke versi yang lebih baru.

Celah RCE di Node.js

Node.js merilis versi 22.23.4, 24.22.1, dan 26.12.1. Celah yang paling serius adalah CVE-2026-111497, di bagian yang membuka data terkompresi Brotli. Menurut tim Node.js, celah ini bisa memungkinkan eksekusi kode dari jarak jauh. Tingkatnya "high", satu tingkat di bawah kritis, tapi tetap harus segera ditutup. Celah ini ada di ketiga seri yang masih didukung: 22, 24, dan 26.

Rilis yang sama menutup sembilan celah lain, tiga di antaranya juga "high": dua soal pemeriksaan sertifikat TLS dan satu soal fungsi dns.resolve. Sisanya medium dan low. Komponen bawaan seperti OpenSSL, c-ares, dan Undici juga ikut diperbarui. Tim Node.js mengingatkan bahwa versi yang sudah habis masa dukungannya (End-of-Life) selalu terdampak setiap ada rilis keamanan.

Apakah website saya terdampak?

Banyak website perusahaan di Indonesia memakai PHP tanpa pemiliknya sadar. WordPress, misalnya, berjalan di atas PHP, begitu juga banyak CMS lain dan sebagian besar hosting biasa berbasis cPanel. Node.js lebih sering dipakai untuk aplikasi web, API, dan toko online yang dibuat khusus.

Tanyakan ke penyedia hosting atau developer Anda: "Website kami jalan di PHP atau Node.js, dan versi berapa?" Kalau tidak ada yang bisa menjawab dengan pasti, itu sendiri tanda bahwa perawatan website perlu dibenahi.

Apa yang perlu Anda lakukan hari ini

1. Pastikan versinya. Minta tim IT atau penyedia hosting menyebutkan versi PHP dan Node.js yang dipakai website dan aplikasi Anda.
2. Perbarui ke versi aman. PHP: 8.5.12, 8.4.27, 8.3.36, atau 8.2.35, sesuai seri yang dipakai. Node.js: 22.23.4, 24.22.1, atau 26.12.1.
3. Restart layanan. Setelah pembaruan, PHP-FPM, Apache, atau proses Node.js perlu dijalankan ulang agar versi baru benar-benar dipakai.
4. Minta bukti. Minta tangkapan layar atau keterangan versi setelah pembaruan, jangan hanya "sudah, Pak".
5. Periksa tanda serangan. Kalau website sempat berperilaku aneh, ikuti langkah di artikel kami tentang 24 jam pertama setelah website diretas.

Kalau pembaruan PHP belum bisa dipasang hari ini, advisori untuk CVE-2026-109619 menyebut dua langkah sementara: mematikan fitur session.upload_progress kalau tidak dipakai, dan untuk PHP 8.5, mengatur fatal_error_backtraces=0, lalu menjalankan ulang PHP. Ini hanya mengurangi risiko, tidak menutup celah.

Di hosting bersama (shared hosting), Anda biasanya tidak bisa memperbarui PHP sendiri. Hubungi penyedia hosting dan tanyakan kapan server mereka diperbarui.

Bagaimana Digimasi membantu

Celah seperti ini akan selalu muncul. Yang membedakan website yang aman adalah seberapa cepat pembaruan dipasang, dan siapa yang bertanggung jawab memasangnya. Daftar periksa di artikel keamanan website perusahaan bisa jadi titik awal.

Website yang kami bangun berjalan di Cloudflare Workers, bukan di server PHP atau Node.js yang perlu Anda rawat sendiri. Pembaruan platform dilakukan oleh kami dan Cloudflare, tanpa tugas tambahan di sisi Anda.

Kalau website atau aplikasi Anda saat ini dibuat dengan PHP atau Node.js, kami bisa membantu memeriksa versinya dan mengujinya lewat layanan pentest. Ceritakan kondisi website Anda di halaman kontak, dan kami bantu tentukan langkah berikutnya.