Celah Keamanan PHP Plesk: Yang Perlu Anda Lakukan Sekarang

Pada 21 Oktober 2026, proyek PHP merilis perbaikan untuk dua celah kritis di dalam PHP itu sendiri. Plesk memastikan bahwa semua versi PHP yang disertakan Plesk ikut terdampak, sehingga celah keamanan PHP Plesk ini penting bagi siapa pun yang menjalankan website di server Plesk. Kabar baiknya, perbaikan sudah tersedia untuk sebagian besar konfigurasi. Panduan ini menjelaskan masalahnya dengan bahasa sederhana, lalu menunjukkan cara memeriksa versi PHP dan memperbaruinya dengan tepat.

Poin Penting: Ringkasan Celah Keamanan PHP Plesk

Daftar isi

• Arti Remote Code Execution pada Celah Keamanan PHP Plesk
• Cara Mengatasi Celah Keamanan PHP Plesk
• Langkah 1: Cek Versi PHP di Plesk
• Langkah 2: Terapkan Update PHP
• Langkah 3: Update Panel Plesk Itu Sendiri
• Jika Anda Memakai PHP End-of-Life
• Solusi Celah Keamanan PHP Plesk untuk Setiap Kondisi Server
• Kebiasaan Keamanan Server Selain Update untuk Celah PHP Plesk
• Ada Pertanyaan tentang Celah Keamanan PHP Plesk? Hubungi Kami

Arti Remote Code Execution pada Celah Keamanan PHP Plesk

Remote code execution (RCE) berarti pihak luar bisa membuat server Anda menjalankan perintah yang tidak seharusnya dijalankan. Mereka melakukannya lewat internet, dan menurut proyek PHP, celah ini bisa dieksploitasi tanpa login. Bayangkan seorang tamu yang meminta brosur di meja resepsionis, tetapi justru masuk ke ruang kontrol gedung.

PHP menjalankan sebagian besar website bisnis, termasuk platform populer seperti WordPress. Karena itu, celah keamanan PHP Plesk ini perlu mendapat perhatian. Celah tersebut ada di PHP itu sendiri, bukan di kode website Anda. Akibatnya, sebuah website tetap bisa terdampak meski aplikasinya ditulis dengan baik. Proyek PHP menyatakan bahwa semua instalasi PHP yang melayani permintaan web berisiko. Plesk juga memastikan bahwa semua versi PHP yang disertakan Plesk terdampak.

Dalam kondisi terburuk, penyerang yang berhasil mengambil alih server bisa membuat website offline, mengubah isinya, atau mengakses data pelanggan di server. Itulah sebabnya kedua celah mendapat skor CVSS 9,2 dari 10, yang masuk kategori kritis.

Tetap tenang, tetapi bertindaklah segera. Perbaikan sudah tersedia untuk sebagian besar konfigurasi, dan langkah-langkah di bawah ini akan memandu Anda. Untuk kerentanan kritis ini, segera prioritaskan pembaruan tanpa menunggu jadwal pemeliharaan rutin. Proyek PHP menegaskan bahwa hanya update yang menjadi solusi menyeluruh. Mitigasi sementara hanya mengurangi sebagian jalur serangan dan tidak menggantikan patch.

Cara Mengatasi Celah Keamanan PHP Plesk

Perbaikan ini terdiri dari tiga pemeriksaan: versi PHP Anda, proses update, dan panel Plesk. Kerjakan secara berurutan, lalu pastikan hasil tiap langkah sebelum lanjut. Jika Anda menggunakan shared hosting atau tidak memiliki akses administrator server, hubungi penyedia hosting untuk memastikan pembaruan telah diterapkan.

Langkah 1: Cek Versi PHP di Plesk

Mulailah dari antarmuka Plesk:

1. Login ke Plesk.
2. Buka Tools & Settings > PHP Settings.
3. Lihat versi pada nama handler masing-masing.

Di server Linux, Anda juga bisa terhubung lewat SSH dan menjalankan perintah berikut. Ganti 8.3 dengan cabang yang ingin diperiksa:

/opt/plesk/php/8.3/bin/php -v

Untuk PHP 8.2 sampai 8.5, cocokkan versi patch Anda dengan tabel berikut. Tanggal build khususnya penting untuk paket backport Plesk Linux 7.4.33, 8.0.30, dan 8.1.34, karena nomor versinya tetap sama. Untuk paket dari sistem operasi atau vendor lain, gunakan advisori dan revisi paket dari vendor tersebut. Tanggal build yang baru saja bukan bukti bahwa server sudah ter-patch. Karena satu server bisa menjalankan beberapa versi PHP, periksa semua versi yang tercantum:

Langkah 2: Terapkan Update PHP

Plesk sudah membangun ulang paket PHP-nya dan mengirimkannya ke server Plesk. Untuk menginstalnya, ikuti panduan Plesk tentang cara menginstal update Plesk. Umumnya, Anda bisa menjalankan update dari Tools & Settings > Updates.

Sebelum mulai, buat backup atau snapshot agar Anda bisa kembali ke kondisi semula jika ada website yang bermasalah. Jika pembaruan belum tersedia di server Anda, segera hubungi penyedia hosting untuk memeriksa repository, dukungan sistem operasi, dan ketersediaan paket. Jangan menganggap server sudah terlindungi sebelum versi perbaikannya terverifikasi.

Setelah update, lakukan verifikasi berikut:

• Ulangi Langkah 1 untuk memastikan versi PHP yang baru.
• Restart layanan PHP yang relevan agar worker memakai paket baru.
• Verifikasi versi PHP yang benar-benar dipakai setiap website, serta versi panel Plesk.
• Uji website, login, dan fungsi penting aplikasi Anda.

Jika Anda memasang PHP dari sistem operasi atau vendor lain, bukan dari Plesk, cek paket yang sudah diperbaiki di vendor tersebut. Proyek PHP menyebut bahwa distribusi Linux dan vendor LTS sudah menerima perbaikannya lebih awal.

Jika Anda belum bisa update hari ini, proyek PHP menerbitkan pengaturan konfigurasi sementara di advisorinya. Pengaturan itu mengurangi paparan, tetapi tidak membuat server aman. Anggap sebagai langkah jangka pendek saja, dan baca advisori PHP sebelum mengubah apa pun.

Langkah 3: Update Panel Plesk Itu Sendiri

Panel Plesk berjalan di atas mesin PHP-nya sendiri, bernama sw-engine. Plesk memperbaikinya secara terpisah dari versi PHP yang dipakai website Anda, jadi update PHP saja belum cukup.

Perbaikan mesin PHP internal panel Plesk (sw-engine) tersedia pada Plesk Obsidian 18.0.80 Update 11 dan 18.0.81 Update 4. Pengguna cabang 18.0.80 dapat menerapkan Update 11 tanpa harus berpindah ke cabang 18.0.81.

Pertama, cek versi Plesk yang Anda gunakan, lalu terapkan update yang sesuai. Selain itu, membatasi akses panel hanya untuk alamat IP tepercaya adalah langkah pencegahan yang masuk akal.

Jika Anda Memakai PHP End-of-Life (7.4, 8.0, atau 8.1)

Proyek PHP tidak lagi memperbarui PHP 8.1 dan yang lebih lama. Meski begitu, mereka merilis backport sumber minimal untuk 7.4, 8.0, dan 8.1, dan sebagian vendor menawarkan perbaikan sendiri.

Di Plesk untuk Linux, Plesk membangun ulang versi-versi ini pada 21 Oktober 2026. Nomor versinya tetap sama (7.4.33, 8.0.30, dan 8.1.34), jadi periksa tanggal build-nya. Build bertanggal 21 Oktober 2026 sudah memuat perbaikan. Untuk Windows, Plesk hanya mencantumkan perbaikan bagi PHP 8.2 sampai 8.5. Untuk versi yang lebih lama seperti 5.6, 7.2, dan 7.3, Plesk merekomendasikan TuxCare Extended Lifecycle Support untuk PHP. Konfirmasikan ketersediaan dan cakupan patch ke TuxCare, karena rekomendasi layanan tidak otomatis menjamin seluruh versi dan platform sudah mendapat patch.

Perbaikan ini adalah jaring pengaman, bukan rencana jangka panjang. Jadwalkan perpindahan ke versi yang masih didukung, dan uji aplikasi Anda di salinan staging terlebih dahulu. PHP 8.2 sendiri berakhir masa dukungannya pada 31 Desember 2026, jadi pilih PHP 8.3 atau yang lebih baru.

Solusi Celah Keamanan PHP Plesk untuk Setiap Kondisi Server

Cara mengatasi celah keamanan PHP Plesk bergantung pada kondisi server Anda. Advisori Plesk mencantumkan solusi untuk tiap kondisi, jadi temukan situasi Anda di bawah ini.

Plesk menyatakan akan memperbarui advisorinya seiring munculnya versi perbaikan dan langkah mitigasi baru. Kami akan menyesuaikan artikel ini.

Kebiasaan Keamanan Server Selain Update untuk Celah PHP Plesk

Update menutup celah ini, dan beberapa kebiasaan rutin membantu menghadapi celah berikutnya. Ini adalah praktik umum yang baik, bukan bagian dari advisori Plesk:

• Update secara terjadwal. Siapkan jadwal rutin untuk memeriksa update PHP, Plesk, platform website, dan plugin Anda. Untuk celah kritis seperti ini, jangan menunggu jadwal itu: terapkan segera.
• Tinggalkan software end-of-life. Rencanakan upgrade sebelum masa dukungan berakhir. PHP 8.2, misalnya, berakhir masa dukungannya pada 31 Desember 2026.
• Backup rutin, dan uji pemulihannya. Backup baru berguna jika Anda tahu backup itu berfungsi. Pelajari Cloud Backup Cloudmatika.
• Batasi akses. Izinkan panel Plesk dan SSH hanya dari alamat IP tepercaya, serta gunakan kata sandi yang kuat dan unik dengan autentikasi dua faktor.
• Hapus yang tidak dipakai. Hapus website, plugin, dan versi PHP yang tidak digunakan agar yang perlu dilindungi semakin sedikit.
• Ikuti advisori resmi. Pantau halaman keamanan Plesk dan PHP, lalu bertindak saat ada pemberitahuan kritis.

Ada Pertanyaan tentang Celah Keamanan PHP Plesk? Hubungi Kami

Belum yakin versi PHP apa yang berjalan di server Anda, atau butuh bantuan menyusun rencana update? Kirim pertanyaan singkat dan tim kami akan menghubungi Anda. Cloudmatika menyediakan layanan managed service yang dapat membantu menangani isu seperti ini dengan cepat. Kami juga bisa membahas kondisi server dan urutan langkah yang paling aman. Hubungi kami untuk bantuan segera disini

Sumber

• Plesk: Vulnerability CVE-2026-109618 and CVE-2026-109619, Remote code execution in PHP shipped with Plesk (diperbarui terakhir 22 Oktober 2026)
• PHP.net: Security advisory, critical remote code execution vulnerabilities, update now (21 Oktober 2026)