Langsung ke konten
Tema baru Gaudeamus, tema OJS pertama dari Publiora. Lihat bedanya →Plugin baru Scopora, cek kesiapan menuju Scopus: Rp749.000 sampai 31 Desember. Lihat →
Publiora
Masuk

Celah keamanan PHP Oktober 2026: dampaknya bagi jurnal OJS

22 Oktober 20266 menit baca

Pada 21 Oktober 2026, tim PHP merilis pembaruan keamanan untuk dua celah yang dinilai kritis, CVE-2026-109618 dan CVE-2026-109619. PHP adalah bahasa pemrograman yang menjalankan OJS, jadi hampir setiap jurnal OJS di dunia ikut terdampak, apa pun plugin atau tema yang dipakai.

Ringkasnya: plugin dan tema Publiora tidak perlu diperbarui karena celahnya ada di PHP, bukan di kode kami. Yang perlu diperbarui adalah PHP di server tempat jurnal Anda berjalan. Halaman ini menjelaskan apa yang terjadi, apa yang sudah kami lakukan, dan apa yang perlu Anda lakukan.

Apa yang terjadi

Kedua celah ini ada di inti PHP, di bagian yang mengelola memori saat memproses permintaan dari pengunjung. Dalam kondisi tertentu, data dari satu permintaan bisa tertinggal atau rusak, lalu dipakai oleh permintaan berikutnya.

Orang yang berniat jahat bisa memanfaatkan celah ini tanpa login. Cukup dengan mengirim permintaan khusus ke situs, mereka berpotensi menjalankan perintah di server atau membaca isi memori server. Skor keparahannya 9,2 dari 10.

Celah ini bekerja sebelum OJS mulai berjalan. Karena itu, pengaturan OJS, plugin keamanan, atau tema apa pun tidak bisa menutupnya. Satu-satunya perbaikan yang lengkap adalah memperbarui PHP.

Versi PHP yang terdampak

Semua versi PHP dari 5.4 sampai 8.5.11 terdampak. Versi yang sudah aman:

PHP 8.1 ke bawah sudah tidak didukung lagi oleh tim PHP dan tidak mendapat perbaikan resmi. Beberapa penyedia paket Linux dan hosting merilis tambalan sendiri untuk versi lama, tetapi cara paling aman tetap pindah ke PHP 8.2 atau lebih baru.

  • PHP 8.5.12 atau lebih baru
  • PHP 8.4.27 atau lebih baru
  • PHP 8.3.36 atau lebih baru
  • PHP 8.2.35 atau lebih baru

Yang sudah dilakukan Publiora

Pada 22 Oktober 2026, sehari setelah perbaikan dirilis, kami memperbarui PHP di server store.publiora.id, layanan Orbitra, dan situs demo kami ke versi yang sudah ditambal. Setelah itu kami memeriksa ulang bahwa toko dan situs demo berjalan normal.

Kami juga memeriksa kode semua plugin dan tema Publiora. Tidak ada yang perlu diubah. Plugin dan tema yang sudah terpasang tetap berjalan seperti biasa di versi PHP yang sudah ditambal, dan Anda tidak perlu mengunduh ulang paket apa pun.

Yang perlu Anda lakukan

Server jurnal Anda dikelola oleh Anda, tim IT kampus, atau penyedia hosting, bukan oleh Publiora. Jadi langkah ini perlu dilakukan di sisi Anda.

  • Cek versi PHP jurnal Anda. Login sebagai Administrator, buka Administration, lalu System Information. Versi PHP tertulis di sana.
  • Kalau versinya lebih rendah dari daftar versi aman di atas, minta pengelola server atau penyedia hosting memperbaruinya. Sebutkan nomor CVE-2026-109618 dan CVE-2026-109619 supaya permintaan Anda langsung dipahami.
  • Kalau jurnal masih memakai PHP 8.1 atau lebih lama, rencanakan pindah ke PHP 8.2 atau lebih baru. OJS 3.3, 3.4, dan 3.5 versi terbaru sudah berjalan di PHP 8.2.
  • Setelah pembaruan selesai, buka beranda jurnal, satu halaman artikel, dan halaman login untuk memastikan semuanya normal.

Catatan untuk OJS 3.5 di PHP 8.4.27

PHP 8.4.27 membawa satu perubahan kecil pada cara PHP mencocokkan kode bahasa. Perubahan ini membuat OJS 3.5 gagal menentukan bahasa, sehingga halaman jurnal menampilkan error 500. Pesan error di log kadang menyebut tema atau plugin, padahal penyebabnya ada di OJS. OJS 3.3 dan 3.4 tidak terdampak, begitu pula PHP 8.2 dan 8.3.

Ciri-cirinya, log error PHP memuat pesan berikut:

Locale::setDefault(): Argument #1 ($locale) must be of type string, null given

Perbaikannya satu baris di file OJS lib/pkp/classes/i18n/Locale.php, sekitar baris 163. Langkah lengkapnya ada di Panduan Update bagian Pertanyaan Umum (store.publiora.id/panduan-update). Jangan menurunkan versi PHP untuk mengatasi error ini, karena versi lama masih membawa celah keamanan di atas.

Bagaimana kalau server belum bisa langsung diperbarui

Tim PHP menyebut beberapa pengaturan server yang mengurangi risiko sambil menunggu pembaruan, misalnya membatasi ukuran unggahan dan mematikan fitur pemantauan progres unggah. Pengaturan ini hanya penahan sementara dan bisa memengaruhi fitur unggah naskah di OJS, jadi serahkan keputusannya kepada pengelola server Anda. Tetap jadwalkan pembaruan PHP secepatnya.

Pertanyaan yang sering muncul

Apakah plugin atau tema Publiora yang saya pakai rentan?

Tidak. Celahnya ada di PHP sendiri dan berlaku untuk semua aplikasi PHP. Plugin dan tema kami tidak perlu diperbarui untuk celah ini.

Apakah data saya di Store aman?

Server Store sudah kami perbarui ke versi PHP yang ditambal pada 22 Oktober 2026, sehari setelah perbaikan dirilis. Anda tidak perlu melakukan apa pun pada akun atau lisensi Anda.

Apakah lisensi atau pengaturan plugin saya akan hilang setelah PHP diperbarui?

Tidak. Lisensi dan pengaturan tersimpan di database OJS. Memperbarui PHP tidak menyentuh database.

Jurnal saya error setelah PHP diperbarui. Apa yang harus dilakukan?

Kalau jurnal Anda OJS 3.5 di PHP 8.4.27, lihat bagian Catatan untuk OJS 3.5 di atas. Kalau bukan, kirim pesan lewat halaman bantuan di store.publiora.id. Sertakan alamat jurnal, versi OJS, versi PHP, dan pesan error dari log supaya kami bisa langsung membantu.

Butuh bantuan yang lebih spesifik untuk jurnal Anda? Buka tiket bantuan.