PHP Sudah Mati! Kata Developer yang Belum Pernah Deploy Laravel

Ada hal yang sepertinya tidak akan pernah hilang dari dunia programming: “mengumumkan kematian sebuah teknologi.”

PHP sudah mati.
jQuery sudah mati.
Monolith sudah mati.
WordPress sudah mati.

Tapi anehnya, teknologi yang katanya sudah mati itu masih menjalankan banyak website, aplikasi bisnis, dan sistem yang dipakai orang setiap hari.

Sekarang, PHP lagi jadi sorotan karena alasan yang kurang menyenangkan.

Tanggal 21 Oktober 2026, tim PHP merilis pembaruan keamanan untuk dua kerentanan kritis: CVE-2026-109618 dan CVE-2026-109619. Keduanya memiliki skor CVSS v4.0 sebesar 9,2 dan dapat memungkinkan remote code execution tanpa autentikasi pada instalasi yang terdampak.

Singkatnya, ini bukan bug receh yang bisa diselesaikan dengan menghapus cache Laravel lalu menjalankan php artisan optimize.

Ini masalah serius di runtime PHP itu sendiri. Jadi bukan kodingan kita yang bermasalah.

Sumber: PHP Security Advisory dan Google Cloud Security Analysis.

Tapi, pasti tidak akan lengkap tanpa pertanyaan yang lebih filosofis:

Apakah ini saatnya pindah ke Node.js?

Node.js developers, assemble!

Bayangkan skenarionya.

Ada developer yang sudah bertahun-tahun membangun aplikasi menggunakan PHP. Tiba-tiba muncul berita tentang dua CVE kritis.

Di sisi lain, ada developer Node.js yang buka laptop, baca berita, terus berpikir:

"Untung gue pakai JavaScript."

Tenang, Bro. Jangan buru-buru merasa aman.

Node.js sendiri juga ada riwayat kerentanan keamanan. Ekosistem npm pun membawa tantangan tersendiri, mulai dari dependency yang rentan hingga risiko supply-chain attack.

Pakai Node.js bukan berarti otomatis bebas masalah keamanan. Sama seperti menggunakan PHP bukan berarti server pasti akan diretas.

Runtime, framework, dependency, konfigurasi server, dan cara aplikasi dibangun semuanya berpengaruh terhadap keamanan.

Kalau mau pindah teknologi hanya karena satu atau dua CVE, sekalian saja pindah profesi setiap kali ada bug di teknologi yang sedang digunakan. Wakakakakakakaka!

Masalahnya bukan sekadar PHP

Ada hal menarik dari kasus ini: kerentanan tersebut berada di core PHP, bukan semata-mata di Laravel, WordPress, atau framework tertentu.

Artinya, memperbarui dependency aplikasi saja tidak menyelesaikan masalah. Yang perlu diperiksa itu adalah versi runtime PHP yang menjalankan aplikasi.

Ini bisa jadi pengingat kalau framework modern tidak otomatis melindungi kita dari seluruh masalah di lapisan bawah.

Laravel bisa membantu banyak hal: routing, autentikasi, validasi, ORM, queue, dan berbagai fitur keamanan aplikasi. Tapi, framework tidak bisa begitu saja memperbaiki bug pada runtime yang digunakan untuk mengeksekusi kode.

Sebagus apa pun aplikasi yang dibangun, fondasinya tetap perlu dirawat.

Dan ini berlaku untuk semua ekosistem, bukan PHP saja.

Kalau begitu, PHP masih layak dipakai?

Menurut saya, tentu saja masih!

Saya justru melihat kasus ini sebagai pengingat kalau memilih teknologi tidak bisa hanya berdasarkan tren, meme, atau framework yang sedang ramai, bro!

PHP masih punya ekosistem yang matang. Laravel menawarkan pengalaman pengembangan yang produktif. Dokumentasi dan komunitasnya luas, dan banyak kebutuhan aplikasi web bisa diselesaikan tanpa harus membangun semuanya dari nol.

Node.js juga punya kelebihan tersendiri, terutama ketika kebutuhan aplikasi cocok dengan ekosistem JavaScript dan TypeScript.

Keduanya punya tempat masing-masing.

Kalau mau membangun aplikasi baru, pilih berdasarkan kebutuhan proyek, kemampuan tim, ekosistem, dan biaya pemeliharaan.

Kalau aplikasi yang sekarang pakai PHP udah berjalan baik, tidak berarti kita harus tulis ulang seluruh sistem pakai Node.js hanya karena ada kerentanan baru.

Migrasi besar juga punya biaya, risiko, dan kemungkinan memperkenalkan bug baru. Capek bro!

Kadang keputusan paling masuk akal bukan ganti teknologi, tapi memperbarui sistem yang sudah ada.

Kedengarannya tidak terlalu keren untuk dijadikan konten flexing di LinkedIn, tetapi biasanya lebih masuk akal untuk bisnis.

Ada PR yang lebih penting daripada debat bahasa

Kalau kamu mengelola aplikasi PHP yang bisa diakses dari internet, ada beberapa hal yang jauh lebih penting daripada ikut perang komentar.

Pertama, periksa versi PHP yang dipakai oleh aplikasi. Jangan cuma lihat versi PHP CLI aja, karena versi yang digunakan PHP-FPM atau runtime di container bisa berbeda.

Kedua, pastikan pembaruan keamanan yang sesuai sudah diterapkan. Untuk rilis upstream yang diumumkan pada 21 Oktober 2026, versi perbaikannya meliputi PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35.

Ketiga, kalau pakai Docker, jangan lupa update image dan lakukan rebuild serta re-deploy. Memperbarui PHP di host tidak otomatis memperbarui PHP di dalam container.

Keempat, jangan menganggap WAF atau firewall sebagai pengganti patch. Lapisan perlindungan tambahan bisa membantu, tetapi bukan solusi permanen untuk kerentanan ini.

Informasi lengkapnya tersedia di situs resmi PHP.

Intinya, kalau kita jalankan PHP di production, sekarang waktunya periksa versi dan update sistem. Bukan waktunya debat soal siapa yang paling benar memilih bahasa pemrograman.

Kesimpulan: PHP belum mati, tapi update jangan ditunda

Saya rasa judul "PHP Sudah Mati" akan terus muncul selama PHP masih digunakan.

Akan selalu ada teknologi baru. Akan selalu ada framework yang lebih menarik. Dan akan selalu ada kerentanan keamanan yang mengingatkan kita kalau software tidak pernah benar-benar selesai.

Kasus CVE terbaru ini serius dan tidak boleh dianggap remeh. Tapi, adanya kerentanan bukan bukti bahwa sebuah bahasa pemrograman sudah tidak layak digunakan.

Yang membedakan pengelolaan sistem yang bertanggung jawab bukan bahasa pemrograman yang dipilih, tapi bagaimana kita merawat sistem tersebut.

Jadi, silakan pakai PHP. Silakan pakai Node.js. Silakan juga belajar teknologi lain kalau memang ada kebutuhan.

Tapi kalau server production masih menjalankan versi rentan, jangan sibuk menulis komentar bahwa PHP sudah mati.

Update dulu. Debatnya nanti.

Karena pada akhirnya, hacker tidak peduli kamu anggota kubu PHP atau Node.js.

Mereka hanya peduli apakah server kamu bisa ditembus.

Dan tagihan server tetap harus dibayar, apa pun bahasa pemrogramannya.

Catatan: Tulisan ini merupakan opini pribadi dengan konteks keamanan berdasarkan informasi yang tersedia pada 22 Oktober 2026. Periksa advisory resmi untuk status patch dan rekomendasi terbaru.